Как придумать надёжный пароль, который легко запомнить
Основы3 минРедакция Innovialabs
Коротко
Надёжный пароль — длинный и случайный, а не хитрый: для немногих паролей, которые нужно помнить, используйте фразу из 4–6 случайных слов, везде ставьте уникальные пароли, а остальные доверьте менеджеру паролей.
Короткий ответ
Надёжный пароль — длинный, случайный и используется только в одном месте. Проще всего этого добиться с помощью парольной фразы — нескольких случайных слов, например lantern-cactus-violin-harbor-pepper. Её легко запомнить и набрать, а подобрать гораздо сложнее, чем P@ssw0rd2024!.
Как на самом деле взламывают пароли
Вручную пароли почти никто не угадывает. Используются автоматические методы:
- Перебор (brute force) — проверка всех возможных комбинаций. Бесполезен против длинных паролей и быстр против коротких.
- Атака по словарю — перебор реальных слов, имён, утёкших паролей и их типичных вариаций. Программы для взлома применяют правила: заглавная первая буква,
@вместоa, год или!в конце. ПоэтомуSummer2024!падает быстро, хотя в нём «всё есть». - Credential stuffing — пары «почта + пароль» из старых утечек пробуют на других сервисах. Взламывать ничего не нужно: если пароль повторялся, злоумышленник просто входит.
- Офлайн-подбор — когда сервис взломан и утекли хэши паролей, варианты проверяют на своём оборудовании без ограничений на попытки входа. Здесь слабые пароли сдаются быстрее всего.
Почему длина важнее сложности
Каждый дополнительный символ умножает число комбинаций, которые придётся перебрать. Длина увеличивает это число гораздо быстрее, чем пара новых типов символов.
Это видно по простой математике:
| Тип пароля | Число комбинаций |
|---|---|
| 8 случайных символов со всей клавиатуры | около 6,6 × 10^15 |
| 4 случайных слова из списка в 7776 слов | около 3,7 × 10^15 |
| 6 случайных слов из списка в 7776 слов | около 2,2 × 10^23 |
Четыре случайных слова примерно так же стойки, как восемь случайных символов, но запомнить их несравнимо проще. Шесть слов — уже на порядки сильнее. Ключевое слово — случайных: придуманная вами фраза, известная цитата или строчка из песни есть в словарях атакующих.
Как составить парольную фразу
- Выберите 4–6 слов случайно — бросайте кубики по списку слов (метод Diceware) или используйте генератор в менеджере паролей. Не подбирайте слова сами: люди выбирают предсказуемые.
- Соедините их разделителем: дефисами, пробелами или точками.
- Если сайт требует цифру или заглавную букву, добавьте их по одному запоминающемуся правилу, например
Lantern-cactus-violin-harbor-7. - Представьте короткую картинку из этих слов — фонарь на кактусе играет на скрипке в гавани. После нескольких вводов фраза запоминается.
Слова можно брать и на русском, набранные латиницей или в любой раскладке, — главное, чтобы они были выбраны случайно.
Повтор пароля — главный риск
Идеальный пароль на десяти сайтах защищён ровно настолько, насколько защищён самый слабый из них. Утечка одного — и credential stuffing открывает остальные. Поэтому:
- У каждого аккаунта свой пароль. Без исключений для «неважных» сайтов — они утекают чаще всего.
- Запоминайте лишь несколько фраз: мастер-пароль менеджера паролей, пароль от основной почты и от входа в устройство.
- Все остальные пароли пусть генерирует и хранит менеджер — случайные строки от 16 символов, которые вам не нужно видеть.
- Включите двухфакторную аутентификацию для почты, банка и мессенджеров, чтобы одной утечки пароля было мало.
Частые ошибки
- Личные данные: имена, даты рождения, номера телефонов, клички питомцев.
- Клавиатурные дорожки:
qwerty,1q2w3e4r. - Смена одной цифры при принудительном обновлении:
Password1→Password2. - Хранение паролей в заметке на телефоне или в таблице.
- Отправка паролей в чатах и по почте.
Актуальные рекомендации NIST также не советуют заставлять менять пароли регулярно без причины: менять пароль стоит, когда есть признаки утечки.