Пароль или парольная фраза: длина, запоминаемость и стойкость

Много лет пользователям советовали придумывать короткие пароли с заглавными буквами, цифрами и символами. В итоге появились пароли вроде «Qwerty1!»: формально они сложные, на деле предсказуемые. Парольная фраза предлагает другой путь: несколько слов подряд, образующих длинную строку, которую легко представить и запомнить.

Обе схемы можно сделать хорошими и плохими. Разница в том, откуда берётся непредсказуемость и как это соотносится с возможностями человеческой памяти.

Здесь удобно сравнить два сценария по критериям. Для пароля от менеджера важна запоминаемость, потому что его нужно вводить по памяти на разных устройствах. Для остальных сервисов запоминаемость вторична, потому что подстановкой занимается программа. Разные роли требуют разных инструментов, и попытка использовать один подход везде даёт компромисс.

Стойкость определяется числом вариантов, которые придётся перебрать атакующему. Каждый дополнительный символ или слово умножает это число, поэтому длина обычно влияет сильнее, чем набор используемых знаков. Но считать нужно честно: пароль, придуманный человеком по привычной схеме, перебирается быстрее, чем предполагает его формальная сложность, потому что атакующие пробуют типичные замены вроде «а» на «@».

Парольная фраза из слов, выбранных случайно, например с помощью генератора, даёт большое число вариантов при доступной для запоминания длине. Фраза-цитата или строка из песни, наоборот, легко угадывается, поскольку слова связаны по смыслу и известны.

Длинную фразу из нескольких обычных слов проще удержать в памяти, чем набор случайных символов. Но её дольше набирать, особенно на телефоне, и некоторые сайты ограничивают длину или запрещают пробелы. Иногда форма отвергает пароль из-за отсутствия цифры или знака, и тогда приходится добавлять элементы ради формальности.

Случайный пароль из символов удобен тем, что его вводит менеджер, и запоминать не нужно вовсе. Для таких случаев выбор в пользу максимальной длины и случайности напрашивается сам собой. Человеку остаётся помнить лишь несколько ключевых паролей.

Ни длина, ни сложность не спасают от фишинга: введённый на поддельной странице пароль достаётся злоумышленнику любой стойкости. Не помогают они и при повторном использовании: утёкший на одном сайте пароль пробуют на других. Наконец, надёжность зависит от того, как сервис хранит пароли и защищает от массового подбора попыток входа.

Парольная фраза не защитит, если слова выбраны по личным предпочтениям, например имена, даты, клички, знакомые выражения. Всё, что можно найти в вашем профиле, злоумышленник тоже попробует.

Для парольной фразы выберите несколько слов случайным способом: бросьте кости по списку слов, воспользуйтесь генератором менеджера паролей или откройте словарь наугад. Не составляйте осмысленное предложение и не используйте слова из вашей биографии.

Для обычных аккаунтов доверьте создание генератору: попросите длинную случайную строку и разрешите менеджеру подставлять её. Запоминать эти пароли не нужно, и потому нет соблазна упрощать их. Если сайт ограничивает набор символов, выбирайте максимум допустимой длины.

Если всё же нужно придумать пароль вручную, избегайте замен вроде цифры вместо буквы, годов рождения и клавиатурных дорожек. Атакующие пробуют их в первую очередь.

Для мастер-пароля от менеджера и для входа на устройство подходит парольная фраза из нескольких случайно выбранных слов: её нужно помнить, и длина здесь даёт преимущество. Для всех остальных аккаунтов практичнее длинные случайные пароли, создаваемые менеджером, уникальные для каждого сайта.

Добавьте второй фактор на важные аккаунты: он компенсирует то, что пароль сам по себе может утечь.

Наконец, меняйте пароль не по календарю, а по событию: при утечке, при подозрении на взлом или когда им пользовались посторонние. Регулярная замена без причины часто приводит к более слабым и предсказуемым вариантам.