Безопасность · 3 мин чтения ·
Какой длины должен быть пароль? Считаем простыми словами
Длина важнее спецсимволов. Как быстро взламывают короткие пароли, почему 16 случайных символов достаточно и как безопасно создать такой пароль.
Правила для паролей обожают спецсимволы: одна заглавная буква, одна цифра, один специальный знак. Взломщиков гораздо больше волнует другое: сколько возможных паролей им придётся перебрать.
Каждый символ умножает работу
Со строчными и заглавными буквами, цифрами и символами генератор 4Dev выбирает из 88 возможных знаков. Каждый дополнительный символ умножает число комбинаций на 88. Длина увеличивает перебор экспоненциально, а один спецсимвол в коротком пароле почти ничего не даёт.
8 символов 88^8 ≈ 3,6 × 10^15 ≈ 52 бита
12 символов 88^12 ≈ 2,2 × 10^23 ≈ 78 бит
16 символов 88^16 ≈ 1,3 × 10^31 ≈ 103 битаЧто это значит на практике
Когда утекает база хешей паролей, злоумышленники перебирают варианты офлайн на видеокартах — миллиарды попыток в секунду против быстрых хешей. Случайный пароль из 8 символов может пасть за часы или дни. На 12 символов ушли бы десятки тысяч лет, а 16 символов недоступны для любой реалистичной атаки.
Ключевое слово — случайный
Эти цифры верны только для действительно случайных паролей. Leto2024! состоит из 9 символов, но окажется среди первых догадок взломщика, потому что построен по человеческому шаблону. Слова, имена, даты и последовательности клавиш проверяют задолго до случайных строк.
Практические советы
Используйте не меньше 12 символов, а для почты, банка и всего, через что можно сбросить другие аккаунты, — 16 и больше. Для каждого сайта свой пароль, хранящийся в менеджере паролей, и двухфакторная аутентификация везде, где возможно. Если сайт не принимает спецсимволы, просто добавьте несколько символов длины.
Парольные фразы: длинные и легко запоминаются
Для немногих паролей, которые приходится вводить или помнить, например мастер-пароля менеджера паролей, хорошо подходит фраза из случайных слов. В списке Diceware 7776 слов, и каждое случайно выбранное слово добавляет около 12,9 бита.
5 случайных слов 7776^5 ≈ 2,8 × 10^19 ≈ 64 бита
6 случайных слов 7776^6 ≈ 2,2 × 10^23 ≈ 77 битШесть случайных слов примерно так же надёжны, как случайный пароль из 12 символов, и их гораздо проще набирать. Слова должны быть выбраны случайно, кубиками или генератором: цитата, строчка из песни или придуманная вами фраза гораздо слабее, чем кажется.
Правила, которые не помогают
Рекомендации NIST (SP 800-63B) советуют не заставлять пользователей менять пароль по расписанию и не вводить правила состава вроде «одна цифра и один символ». И то и другое толкает людей к предсказуемым шаблонам вроде Password1! и Password2!. Правила получше: разрешить длинные пароли, разрешить вставку, чтобы работали менеджеры паролей, и проверять новые пароли по спискам паролей из известных утечек.
Если сайт, которым вы пользуетесь, взломали
Сразу смените этот пароль, а также везде, где вы использовали его повторно. Злоумышленники пробуют утёкшие пары почты и пароля на других сайтах уже через несколько часов — это называется credential stuffing. Уникальный пароль для каждого сайта превращает одну утечку в одну проблему, а не во множество.
Создайте пароль безопасно
Генератор паролей от 4Dev создаёт пароли прямо в браузере с помощью crypto.getRandomValues — криптографически стойкого генератора случайных чисел браузера. Выберите длину от 4 до 128 символов и наборы знаков; ничего не отправляется на сервер и не сохраняется.