Парольная фраза: длинная и запоминаемая замена короткому паролю

Парольная фраза это пароль из нескольких слов, например из четырёх-шести, составленный так, чтобы его легко запомнить, но трудно угадать. Она опирается не на замысловатые символы, а на длину. Строка вроде «Xk9#mQ2!» коротка и трудна для памяти, а фраза из пяти случайных слов длиннее и запоминается как небольшая история.

Причина, по которой это работает, чисто математическая. Число возможных вариантов определяется размером набора, из которого делается выбор, и числом выборов. Слово из словаря на несколько тысяч единиц даёт заметно больше неопределённости, чем один символ, поэтому каждое добавленное слово усиливает фразу существенно сильнее, чем лишний знак в коротком пароле.

Слова должны выбираться случайно, а не придумываться. Человек, которому предложили придумать «случайную» фразу, выбирает цитаты, названия, ассоциации, и всё это входит в словари атакующих. Надёжнее бросать кубик по списку слов или использовать генератор, встроенный в менеджер паролей, и брать результат как есть, не подгоняя под вкус.

Не годятся строчки из песен, известные пословицы, имена близких, даты и любое сочетание, которое можно вывести из вашей страницы в соцсети. Для запоминания помогает придумать связный образ из выпавших слов: чем нелепее картинка, тем лучше держится в памяти. Разделители между словами допустимы, но силу даёт не пунктуация, а выбор слов.

Классическое требование «заглавная, цифра, спецсимвол» на практике порождает предсказуемые шаблоны: слово с большой буквы и цифрой в конце. Атаки по словарю с правилами мутации это давно учитывают, о чём подробнее сказано на страницах про подбор паролей и энтропию.

Поэтому современные рекомендации организаций по стандартизации акцентируют длину и проверку по списку известных скомпрометированных паролей, а не принудительные усложнения и частую смену. Фраза из случайных слов по этим критериям выигрывает: её вычислительная стойкость выше при меньшей нагрузке на память.

Больше всего парольная фраза подходит для того, что нужно помнить наизусть: главный пароль менеджера паролей, пароль входа в компьютер, пароль шифрования диска, ключа резервных копий. Эти секреты нельзя записать в менеджер, потому что он сам от них зависит.

Для всех остальных сервисов эффективнее случайные строки, которые генерирует и подставляет менеджер паролей: вводить их вручную вам не придётся. Фраза не заменяет двухфакторную защиту, а дополняет её, и она не должна повторяться на разных сервисах, иначе возвращается риск подстановки из утечек.

Некоторые сайты ограничивают длину пароля или запрещают пробелы. Тогда используйте дефисы и не спешите записывать фразу в открытом файле. Проверить надёжность вашей фразы можно встроенным индикатором менеджера паролей, но не вводите настоящий пароль в незнакомые онлайн-калькуляторы.

Если фраза больше нигде не используется и составлена случайно, её не нужно менять по расписанию. Меняйте только при подозрении на компрометацию: например, если кто-то мог подсмотреть, как вы её вводите.

Современные рекомендации по цифровой идентификации, например документ NIST SP 800-63B, советуют разрешать длинные пароли, поддерживать пробелы и любые печатные символы, проверять пароль по спискам скомпрометированных и не требовать регулярной смены без причины. Это заметно отличается от привычных правил прошлых лет со странными обязательными символами.

Смысл перехода в том, что принудительные усложнения подталкивали людей к предсказуемым шаблонам и записыванию паролей на бумажках, а длина и уникальность дают реальную стойкость. Если сервис принимает длинные пароли и не режет пробелы, парольная фраза подойдёт к нему без всяких хитростей. Если он ограничивает длину слишком жёстко, это признак устаревшего подхода, и такому сервису стоит защиту вторым фактором.

Практический совет для запоминания: наберите фразу несколько раз в первые дни, затем через неделю, потом через месяц. Такое повторение с интервалами закрепляет её надёжнее, чем однократная попытка выучить, и потом вы будете вводить её на автомате.