Как создать надёжный пароль: длина, энтропия и менеджеры паролей

Как взламывают пароли

Злоумышленники используют три основных метода: подстановку учётных данных, когда пробуют логины и пароли, утёкшие с других сайтов; атаки по словарю, перебирающие популярные пароли и слова; и полный перебор всех комбинаций.

Основной реальный ущерб приносит первый метод. Каким бы сложным ни был пароль, если он используется повторно, самый слабый из ваших сайтов может раскрыть все аккаунты. Уникальный пароль для каждого сайта важнее даже его сложности.

Как измерить надёжность энтропией

Надёжность случайно сгенерированного пароля измеряют в битах энтропии: длина × log2(число возможных символов). Каждый дополнительный бит вдвое увеличивает число попыток, которые нужны злоумышленнику.

Шестизначный PIN-код даёт около 20 бит — всего миллион вариантов, которые компьютер перебирает мгновенно. Двенадцать случайных символов из 94 печатаемых знаков ASCII дают около 79 бит, а шестнадцать случайных строчных букв — около 75 бит.

6 цифр                              : 6 × log2(10)  ≈ 20 бит
16 случайных строчных букв          : 16 × log2(26) ≈ 75 бит
12 случайных символов из 94         : 12 × log2(94) ≈ 79 бит
16 случайных букв и цифр            : 16 × log2(62) ≈ 95 бит

Эти цифры верны только для случайного выбора. Придуманные людьми пароли вроде Password1! или комбинаций дат рождения выглядят разнообразно, но стоят в начале любого списка для атак, поэтому их реальная энтропия близка к нулю.

Почему длина важнее сложности

Как видно из таблицы, увеличение длины повышает энтропию гораздо эффективнее, чем добавление типов символов. Рекомендации по цифровой идентификации американского NIST (SP 800-63B) также советуют разрешать длинные пароли и сверять их со списками утёкших паролей, а не навязывать правила состава.

Для паролей, которые нужно запомнить, хорошо подходит парольная фраза из четырёх–шести случайных несвязанных слов. Шесть слов, выбранных случайно из списка в 7776 слов, дают около 77 бит и при этом легко запоминаются. Слова нужно выбирать случайно — игральными костями или генератором, — а не самостоятельно.

Каких шаблонов избегать

Все эти шаблоны встроены в правила программ для взлома и поддаются гораздо быстрее, чем кажется.

• Имена, дни рождения, номера телефонов или автомобилей, которые можно найти в соцсетях.
• Последовательности клавиш вроде qwerty, йцукен, 1q2w3e4r или asdf.
• Слово с цифрами или ! на конце (например, leto2026!).
• Замены вроде a→@ и o→0 — программы для взлома проверяют их по умолчанию.
• Смена пароля изменением только цифры (pass01 → pass02).

Практичный ответ: менеджер паролей и 2FA

Никто не способен запомнить отдельный случайный пароль из 20 символов для каждого сайта. Реалистичное решение — менеджер паролей: вы помните одну надёжную мастер-фразу, а остальное создаёт и хранит генератор.

Добавьте двухфакторную аутентификацию — приложение-аутентификатор, ключ безопасности или ключи доступа, — чтобы одного утёкшего пароля было недостаточно. Начните с защиты почты: через неё восстанавливаются все остальные аккаунты.

На что обратить внимание в генераторе паролей

Хороший генератор использует криптографически стойкий генератор случайных чисел, который предоставляет операционная система. Универсальные функции вроде Math.random предсказуемы и для паролей не годятся.

В генераторе паролей AIBIZAP можно выбрать длину и наборы символов. Если сервис не принимает спецсимволы, увеличьте длину: шестнадцать букв и цифр уже дают около 95 бит. Для машинных секретов, таких как идентификаторы и секреты клиентов API, используйте генератор клиентских учётных данных.