Безопасность паролей: почему большинство паролей слабые и как создавать надёжные

Если вы используете пароль вроде password123, qwerty или кличку питомца с годом рождения, вы не одиноки — но вы в серьёзной опасности. Исследование NordPass 2023 года показало, что самый распространённый пароль в мире по-прежнему «123456», его используют более 4,5 миллиона человек. По данным Google, 65% людей используют один и тот же пароль на разных сайтах. Это самая серьёзная ошибка безопасности, которую можно совершить в интернете.

Это руководство подробно разбирает, что именно делает пароль слабым или надёжным, как злоумышленники их взламывают и как вы можете защитить себя — с помощью бесплатных инструментов, работающих полностью в браузере, без отправки данных на сервер.

Самые распространённые пароли — нет ли в этом списке вашего?

Каждый год исследователи безопасности анализируют миллиарды утёкших учётных данных из утечек. Результаты стабильно тревожны. Вот главные «нарушители», встречающиеся практически в каждой базе утечек:

• 123456 / 12345678 / 123456789
• password / password1 / Password123
• qwerty / qwerty123 / qwertyuiop
• iloveyou / letmein / welcome
• admin / root / user / login
• abc123 / 111111 / 000000
• monkey / dragon / master / sunshine

Особенно опасно то, что многие считают себя хитрыми, заменяя буквы цифрами — пишут p@ssw0rd вместо password. Злоумышленники знают и этот трюк. Современные инструменты взлома содержат «правила искажения», автоматически применяющие такие замены к каждому слову из своего словаря.

Что делает пароль слабым?

Слабость пароля порождается предсказуемостью. Пароль слаб, когда злоумышленник может угадать его быстрее, чем перебрать все возможные комбинации. Главные виновники:

1. Малая длина

Длина — самый важный фактор надёжности пароля. У пароля из 6 символов только из строчных букв всего 308 миллионов возможных комбинаций — современный GPU исчерпает их менее чем за секунду. У пароля из 8 символов с разным регистром и цифрами 218 триллионов комбинаций, что звучит внушительно, но современные взломочные установки, делающие миллиарды попыток в секунду, всё равно взломают его за минуты.

2. Словарные слова

Любое реальное слово на любом языке мгновенно уязвимо для атаки по словарю. Сюда входят слова с очевидными заменами (3 вместо e, 0 вместо o, @ вместо a) и слова с цифрами в конце (monkey1, dragon99). У злоумышленников есть словари с сотнями миллионов таких заранее вычисленных вариаций.

3. Личная информация

Имена, дни рождения, годовщины, клички питомцев и любимые спортивные команды — крайне распространённые составляющие паролей. Если злоумышленник что-либо о вас знает — хотя бы из ваших профилей в соцсетях — он может составить целевой список слов и резко сократить время, нужное на взлом вашего пароля.

4. Шаблоны и «прогулки» по клавиатуре

Последовательности вроде qwerty, asdfgh, 1qaz2wsx или zxcvbn — это клавиатурные шаблоны, которые взломщики проверяют в первые секунды. Для их угадывания не нужны дополнительные сведения — лишь знание раскладки клавиатуры.

Как на самом деле работает взлом паролей

Понимание того, как злоумышленники взламывают пароли, помогает понять, почему одни практики реально вас защищают, а другие лишь создают ощущение безопасности.

Атаки полным перебором

Атака полным перебором (brute force) пробует все возможные комбинации символов, пока не найдёт нужную. Для коротких паролей это до смешного быстро. Для длинных время растёт экспоненциально. У пароля из 12 символов с прописными, строчными буквами, цифрами и символами около 19 септиллионов возможных комбинаций — при миллиарде попыток в секунду на их полный перебор ушло бы более 600 лет. В этом сила длины.

Атаки по словарю

Вместо перебора всех комбинаций словарные атаки используют заранее составленные списки известных паролей, распространённых слов и утёкших учётных данных из прошлых утечек. Один только список RockYou — утёкший в 2009 году — содержит 14 миллионов паролей и до сих пор служит отправной точкой большинства сессий взлома. Если ваш пароль когда-либо использовался кем-то раньше и попал в утечку, он уже где-то в словаре.

Радужные таблицы

Когда сайты хранят пароли, они должны хранить их в виде криптографических хешей — а не самих паролей. Радужные таблицы (rainbow tables) — это заранее вычисленные таблицы соответствия, отображающие значения хешей обратно в исходные пароли. Если сайт хранит пароли без «соли» у хешей (добавления случайного значения перед хешированием), атака радужной таблицей может восстановить миллионы паролей за секунды. Вот почему утечки данных так разрушительны.

Энтропия пароля: почему длина побеждает всегда

Энтропия — это мера непредсказуемости, выраженная в битах. Чем выше энтропия, тем больше времени уходит на взлом пароля полным перебором. Вот как это работает на практике:

• Пароль только из строчных букв (26 символов) добавляет около 4,7 бита энтропии на символ.
• Добавление прописных удваивает набор до 52 символов — 5,7 бита на символ.
• Добавление цифр (62 символа) — 5,95 бита на символ.
• Добавление символов (95 печатаемых символов ASCII) — 6,57 бита на символ.

Но множительный эффект длины гораздо мощнее, чем добавление любого отдельного типа символов. У полностью случайного пароля из 12 символов из полного набора печатаемых ASCII около 79 бит энтропии. При 16 символах это становится 105 бит — практически невзламываемо при любой обозримой технологии.

Три типа паролей, которые используют люди

Большинство стратегий паролей попадает в одну из трёх категорий — у каждой свои компромиссы:

Тип 1: легко запомнить, легко взломать

Это категория fluffy2009! — кличка питомца, год и знак препинания. Вы запоминаете его без усилий. Злоумышленник взломает его менее чем за час с приличным списком слов и правилами искажения. Такие пароли почти не дают реальной защиты.

Тип 2: сложный, но невозможно запомнить

Некоторые пытаются создать по-настоящему сложные пароли, барабаня по клавиатуре — xK3#mQ9!pL — но потом не могут их запомнить. Это приводит к записи на стикере, хранению в незашифрованном текстовом файле или просто к постоянному сбросу. Выигрыш в безопасности теряется из-за плохого хранения.

Тип 3: надёжный и правильно сохранённый

Это единственный подход, который реально работает в масштабе. Сгенерируйте длинный, полностью случайный пароль и сохраните его в менеджере паролей. Вам нужно помнить лишь один надёжный мастер-пароль. Остальные генерируются, хранятся и подставляются автоматически. Именно так специалисты по безопасности управляют сотнями учётных записей.

Визуальное сравнение надёжности

Вот наглядное сравнение того, насколько резко различается надёжность паролей:

Разница между первым и третьим паролями не просто постепенная — это разница между отсутствием защиты и практически невзламываемой безопасностью. И вам не нужно запоминать v8K#mX2qLn&4jR7 — за вас это делает менеджер паролей.

Проверьте надёжность текущего пароля мгновенно

Прежде чем что-либо менять, стоит точно понять, насколько надёжны ваши нынешние пароли. BrowseryTools предлагает бесплатную приватную проверку надёжности пароля, которая анализирует ваш пароль локально — символы, которые вы вводите, никогда не покидают ваш браузер.

Проверка даёт чёткую оценку с пояснением, что слабо и что улучшить. Это самый быстрый способ получить честный аудит уже используемых вами паролей.

Создавайте надёжные пароли одним кликом

Знать, как выглядит надёжный пароль, и действительно его создать — две разные задачи. Человеческий мозг крайне плох в генерации случайности — мы всегда скатываемся к шаблонам, знакомым словам и предсказуемым структурам. Решение — позволить машине сгенерировать случайность за вас.

Генератор паролей BrowseryTools создаёт криптографически случайные пароли с помощью встроенного в браузер безопасного генератора случайных чисел. Вы можете настроить:

• Длину пароля (до 128 символов)
• Включаемые наборы символов: прописные, строчные, цифры, символы
• Исключение неоднозначных символов (вроде 0, O, l, 1) для удобства ручного ввода
• Количество паролей, генерируемых за один раз

Зачем нужен менеджер паролей

Возражение номер один против надёжных паролей — запоминаемость. «Я не могу запомнить 30 разных 20-символьных случайных строк». Вы правы — и не должны. Именно для этого и существуют менеджеры паролей.

Менеджер паролей — это зашифрованное хранилище всех ваших паролей. Вы разблокируете его одним надёжным мастер-паролем (единственным, который нужно запомнить), а он берёт на себя всё остальное:

• Безопасно хранит неограниченное число паролей со сквозным шифрованием
• Автоматически заполняет формы входа в браузере
• Генерирует новые надёжные пароли при создании учётных записей
• Предупреждает, когда пароль засветился в известной утечке
• Безопасно синхронизирует данные между всеми вашими устройствами

Популярные варианты — Bitwarden (с открытым кодом и бесплатный), 1Password и KeePass (полностью локальный). Главное — пользоваться любым из них: улучшение безопасности по сравнению с отсутствием менеджера огромно.

Двухфакторная аутентификация: почему одного пароля недостаточно

Даже у самого надёжного пароля есть одна фундаментальная уязвимость: его можно украсть, не взламывая. Фишинговые атаки, кейлоггеры, атаки «человек посередине» и утечки данных могут раскрыть ваш пароль вообще без перебора. Как только у злоумышленника есть ваш пароль, длина и сложность теряют смысл.

Двухфакторная аутентификация (2FA) добавляет второй слой, который защищает вас даже при компрометации пароля. Распространённые формы:

• TOTP-приложения (Google Authenticator, Authy): генерируют 6-значный код, меняющийся каждые 30 секунд. Даже с вашим паролем злоумышленник не сможет войти без актуального кода.
• Аппаратные ключи (YubiKey): физическое устройство, которое вы вставляете или прикладываете. Устойчиво к фишингу, потому что ключ проверяет домен сайта перед аутентификацией.
• SMS-коды: лучше, чем ничего, но уязвимы к атакам подмены SIM-карты. По возможности используйте приложение-аутентификатор.

Включайте 2FA на каждом аккаунте, который её поддерживает — особенно на почте, в банке, облачном хранилище и соцсетях. Надёжный пароль плюс 2FA делают несанкционированный доступ крайне трудным даже для хорошо оснащённых злоумышленников.

Полный чек-лист безопасности паролей

• Используйте минимум 16 символов для каждого пароля
• Используйте разный пароль на каждом сайте и сервисе
• Никогда не используйте словарные слова, имена или личную информацию
• Используйте менеджер паролей для генерации и хранения всех паролей
• Включайте двухфакторную аутентификацию везде, где она доступна
• Проверьте существующие пароли с помощью проверки надёжности уже сегодня
• Проверьте, не появлялась ли ваша почта в известных утечках (haveibeenpwned.com)
• Никогда не передавайте пароли по почте, SMS или в мессенджерах

Начните прямо сейчас — это займёт 2 минуты

Не нужно перестраивать всё сразу. Начните с самых важных аккаунтов: почты, банка и основной соцсети. Сначала замените эти пароли с помощью генератора паролей BrowseryTools, затем проверьте надёжность того, что у вас уже есть, с помощью проверки надёжности паролей.

Оба инструмента работают полностью в вашем браузере. Ваши пароли никогда не передаются, не логируются и не хранятся нигде за пределами вашего собственного устройства. Это и есть обещание BrowseryTools — мощные инструменты, которые по-настоящему уважают вашу приватность.