Генератор надёжных паролей и проверка стойкости

Почему пароль нужно генерировать, а не придумывать

Люди плохо придумывают случайное. Мы берём слова, имена, даты, клавиатурные дорожки и добавляем в конец «1!» — и злоумышленники это знают. Программы подбора начинают не с перебора всех комбинаций, а со словарей утёкших паролей и правил вроде «слово с заглавной буквы плюс год». Пароль «Natasha1990!» выглядит сложным: заглавная, цифры, спецсимвол. Но по сути это имя и год — его найдут среди первых миллионов вариантов. Сгенерированный пароль из 16 случайных символов такой слабости не имеет: его можно только перебирать целиком.

Что такое энтропия пароля

Энтропия — мера непредсказуемости в битах. Для случайного пароля она считается просто: длина × log₂(размер алфавита). Пароль из 16 символов, выбранных примерно из 80 возможных, даёт около 100 бит — это порядка 2¹⁰⁰ вариантов. Каждый лишний бит удваивает время подбора. Для придуманных людьми паролей формула завышает стойкость, поэтому проверка на странице вносит поправки: словарные пароли, последовательности, повторы и даты резко снижают оценку.

Онлайн-подбор и утечка хеша: почему время такое разное

Проверка показывает два времени. Онлайн-подбор — когда злоумышленник пробует пароли через форму входа: сервис ограничивает попытки, и счёт идёт на единицы-десятки в секунду. Утечка хеша — когда база паролей украдена и подбор идёт на собственном оборудовании: для быстрых хеш-функций это миллиарды вариантов в секунду и больше. Пароль, который онлайн «не подобрать за век», офлайн может пасть за минуты. Поэтому ориентироваться нужно на второй сценарий: утечки баз случаются регулярно, и вы не контролируете, как сервис хранит ваш пароль.

Пароль или парольная фраза

Случайный пароль вида «r7#Kq2!vXm9@Lp4s» максимально стоек на символ, но его невозможно запомнить — он для менеджера паролей. Парольная фраза из нескольких произносимых слов вроде «Bavu-Kene-Ropi72-Lato-Sime» длиннее, но запоминается за пару повторений. Генератор собирает слова из слогов «согласная-гласная», так что их нет ни в одном словаре: каждое слово даёт около 12 бит энтропии, пять слов с числом — примерно 70 бит. Такие фразы хороши для того, что приходится вводить руками: мастер-пароль менеджера, вход в компьютер, шифрование диска.

Правила, которые действительно работают

• Длина важнее сложности. 16–20 случайных символов надёжнее, чем 8 символов «со всеми типами».
• Уникальность важнее всего. Один пароль на несколько сервисов означает, что утечка любого из них открывает остальные. Менеджер паролей решает эту проблему.
• Второй фактор. Двухфакторная аутентификация защищает даже при утёкшем пароле. Подробно — в статье двухфакторная аутентификация.
• Не меняйте пароли по расписанию без причины. Принудительная смена каждые 90 дней приводит к «Пароль1», «Пароль2». Меняйте при подозрении на компрометацию.
• Проверяйте утечки. Сервисы проверки утечек и встроенные функции браузеров и менеджеров паролей предупреждают, если пароль засветился в известных базах.

Как навести порядок с паролями в компании

В компании пароль — не личное дело сотрудника. Общие учётные записи в таблице, пароли в чатах, один пароль от CRM на весь отдел — типичная картина, и именно так чаще всего утекают клиентские базы. Начните с корпоративного менеджера паролей, обязательного второго фактора для почты и админок и письменной парольной политики — её соберёт генератор политики паролей. Подробный план — в статье пароли сотрудников: как навести порядок.

Сравнение на примерах

«qwerty123» подбирается мгновенно: он в каждом словаре утёкших паролей. «Natasha1990!» выглядит сложным, но это имя и год — проверка покажет предупреждения и низкую оценку. Случайные 12 символов из всех наборов дают около 75 бит, 16 символов — около 100 бит: этого хватит с огромным запасом даже при утечке хеша. Парольная фраза из пяти слов-слогов с числом — около 70 бит при том, что её можно запомнить за пару минут. Вывод простой: для всего, что хранит менеджер паролей, генерируйте длинные случайные пароли, а для того, что вводите руками, — парольные фразы.