Якої довжини має бути пароль? Рахуємо простими словами

Правила для паролів обожнюють спецсимволи: одна велика літера, одна цифра, один спеціальний знак. Зловмисників набагато більше хвилює інше: скільки можливих паролів їм доведеться перебрати.

Кожен символ множить роботу

З малими й великими літерами, цифрами та символами генератор 4Dev обирає з 88 можливих знаків. Кожен додатковий символ множить кількість комбінацій на 88. Довжина збільшує перебір експоненційно, а один спецсимвол у короткому паролі майже нічого не дає.

8 символів   88^8  ≈ 3,6 × 10^15  ≈ 52 біти
12 символів  88^12 ≈ 2,2 × 10^23  ≈ 78 біт
16 символів  88^16 ≈ 1,3 × 10^31  ≈ 103 біти

Що це означає на практиці

Коли витікає база хешів паролів, зловмисники перебирають варіанти офлайн на відеокартах — мільярди спроб на секунду проти швидких хешів. Випадковий пароль із 8 символів може впасти за години чи дні. На 12 символів пішли б десятки тисяч років, а 16 символів недосяжні для будь-якої реалістичної атаки.

Ключове слово — випадковий

Ці цифри правильні лише для справді випадкових паролів. Lito2024! має 9 символів, але опиниться серед перших здогадок зловмисника, бо побудований за людським шаблоном. Слова, імена, дати й послідовності клавіш перевіряють задовго до випадкових рядків.

Практичні поради

Використовуйте щонайменше 12 символів, а для пошти, банку й усього, через що можна скинути інші акаунти, — 16 і більше. Для кожного сайту свій пароль, збережений у менеджері паролів, і двофакторна автентифікація всюди, де можливо. Якщо сайт не приймає спецсимволи, просто додайте кілька символів довжини.

Парольні фрази: довгі й легко запам’ятовуються

Для небагатьох паролів, які доводиться вводити чи пам’ятати, наприклад майстер-пароля менеджера паролів, добре підходить фраза з випадкових слів. У списку Diceware 7776 слів, і кожне випадково обране слово додає близько 12,9 біта.

5 випадкових слів  7776^5 ≈ 2,8 × 10^19  ≈ 64 біти
6 випадкових слів  7776^6 ≈ 2,2 × 10^23  ≈ 77 бітів

Шість випадкових слів приблизно такі ж надійні, як випадковий пароль із 12 символів, і їх набагато простіше набирати. Слова мають бути обрані випадково, кубиками чи генератором: цитата, рядок із пісні чи вигадана вами фраза набагато слабші, ніж здається.

Правила, які не допомагають

Рекомендації NIST (SP 800-63B) радять не змушувати користувачів змінювати пароль за розкладом і не вводити правил складу на кшталт «одна цифра й один символ». І те, і те штовхає людей до передбачуваних шаблонів на кшталт Password1! та Password2!. Кращі правила: дозволити довгі паролі, дозволити вставлення, щоб працювали менеджери паролів, і перевіряти нові паролі за списками паролів із відомих витоків.

Якщо сайт, яким ви користуєтеся, зламали

Одразу змініть цей пароль, а також усюди, де ви використовували його повторно. Зловмисники пробують пари пошти й пароля, що витекли, на інших сайтах уже за кілька годин — це називається credential stuffing. Унікальний пароль для кожного сайту перетворює один витік на одну проблему, а не на безліч.

Створіть пароль безпечно

Генератор паролів від 4Dev створює паролі просто в браузері за допомогою crypto.getRandomValues — криптографічно стійкого генератора випадкових чисел браузера. Оберіть довжину від 4 до 128 символів і набори знаків; нічого не надсилається на сервер і не зберігається.

Відкрити генератор паролів