Як створити надійний пароль, який ви справді запам'ятаєте

Більшість людей знають, що варто використовувати «надійні» паролі, але все одно повторно використовують ту саму коротку комбінацію слова й числа в десятках акаунтів. Проблема не в браку обізнаності — справді надійні паролі виглядають як безглуздя, а безглуздя важко запам’ятати. Хороша новина в тому, що не обов’язково обирати між безпекою й запам’ятовуваністю, якщо розуміти, що насправді робить пароль важким для вгадування.

Цей гайд пройдеться по тому, що робить пароль слабким, кількох методах побудови паролів, що водночас надійні й запам’ятовувані, і коли має більше сенсу взагалі перестати запам’ятовувати й дозволити генератору робити роботу.

Чому надійність пароля справді важлива

Робота пароля — протистояти двом дуже різним типам атак. Перший — цілеспрямоване вгадування, коли хтось, хто вас знає, пробує ім’я вашого улюбленця, дату народження чи улюблену спортивну команду. Другий, набагато поширеніший сьогодні, — автоматизована атака: скрипт, що пробує мільйони комбінацій за секунду, чи повторне використання пароля, витеклого з одного зламаного сайту, для входу в ваші акаунти деінде. Цей другий тип, званий credential stuffing, — причина, чому повторне використання паролів часто ризикованіше, ніж використання слабкого, але унікального пароля на малозначущому акаунті.

Довжина важливіша, ніж більшість людей очікує. Кожен додатковий символ множить кількість можливих комбінацій, які має спробувати зловмисник, тому довша парольна фраза зі звичайних слів може пережити коротший рядок форсованих символів. Правила складності, що вимагають одну велику літеру, одну цифру й один символ, були створені для попередньої ери обчислювальної потужності й часто просто підштовхують людей до передбачуваних патернів на кшталт «Password1!».

Що робить пароль слабким

Перед побудовою надійного пароля корисно розпізнати звички, що його підривають:

• Коротка довжина. Все, що менше дванадцяти символів, дедалі легше зламати сучасним обладнанням методом грубої сили.
• Самі лише словникові слова. Одне поширене слово, навіть довге, — одна з перших речей, які пробують автоматизовані інструменти.
• Особиста інформація. Імена, роки народження, імена улюбленців та адреси часто є першими здогадками в цілеспрямованій атаці, особливо якщо ця інформація публічна в соцмережах.
• Передбачувані заміни. Заміна «a» на «@» чи «o» на «0» ледь сповільнює сучасні інструменти зламу, які вже враховують ці патерни.
• Повторне використання на різних сайтах. Пароль, використаний у кількох акаунтах, означає, що один злам може розкрити все.

Метод парольної фрази

Один із найпрактичніших способів отримати і довжину, і запам’ятовуваність — підхід парольної фрази: з’єднати кілька непов’язаних слів замість спроби запам’ятати мішанину символів. Парольна фраза на кшталт «правильний кінь скріпка блукаючий» довга, легко вимовляється вголос і набагато важча для грубого зламу, ніж восьмисимвольний пароль, напханий символами, просто через кількість символів, які вона містить.

Щоб зробити парольну фразу сильнішою, не роблячи її важчою для запам’ятовування:

1. Використовуйте чотири чи більше слів, що не утворюють поширену фразу чи речення, яке можна вгадати з контексту.
2. Уникайте використання їх у порядку, що має граматичний сенс, оскільки це звужує простір вгадування.
3. Додайте число чи символ десь посередині, а не на самому початку чи в кінці, де їх очікують зловмисники.
4. Тримайте слова непов’язаними з чимось публічним про вас.

Компроміс у тому, що парольні фрази найкраще працюють для акаунтів, у які ви входите часто, де повторення допомагає запам’ятати послідовність. Для акаунтів, до яких ви рідко торкаєтесь, запам’ятовуваність важить менше за сиру надійність.

Додавання структури без послаблення

Якщо ви радше побудуєте пароль, ніж парольну фразу, узгоджена особиста система може допомогти, поки вона не вгадувана ззовні. Наприклад, поєднання непов’язаної короткої фрази зі специфічним для сайту елементом, який ви ніколи не повторюєте однаково двічі, може допомогти генерувати різні паролі для різних сайтів, не запам’ятовуючи десятки унікальних рядків.

Будьте обережні тут: передбачувані системи все ще слабкість. Зловмисники, що отримали один з ваших паролів через злам, спробують його варіації проти ваших інших акаунтів, тож система, де «Netflix» просто стає «Netflix2024!», а «Gmail» — «Gmail2024!», ледь краща за просте повторення. Мета — система, що змінюється достатньо між акаунтами, щоб знання одного пароля не розкривало патерн.

Використання генератора паролів і менеджера паролів

Для всього чутливого, наприклад банкінгу, пошти чи робочих акаунтів, найнадійніший підхід — взагалі перестати запам’ятовувати. Менеджер паролів зберігає унікальні, випадкові паролі для кожного акаунта й автоматично їх заповнює, тож потрібно запам’ятати лише одну майстер-парольну фразу. Більшість авторитетних менеджерів включають вбудований генератор надійних паролів, але якщо потрібен швидкий, приватний спосіб створити один, нічого не встановлюючи, безкоштовний генератор паролів Holsha створює випадкові паролі з високою ентропією прямо у вашому браузері, з регульованою довжиною й наборами символів.

Поєднання просте: використовуйте запам’ятовувану парольну фразу для головного входу й для невеликої кількості часто набираних акаунтів, а згенеровані, незапам’ятовувані паролі — всюди інде, збережені в менеджері.

Паролі для різних типів акаунтів

Не кожен акаунт заслуговує на той самий рівень зусиль. Корисно мислити рівнями:

Тип акаунта	Рекомендований підхід
Головний вхід пошти й менеджера паролів	Довга парольна фраза, запам’ятана, ніколи не повторювана
Банківські й фінансові акаунти	Згенерований випадковий пароль, збережений у менеджері, з увімкненою двофакторною автентифікацією
Робочі акаунти	Слідуйте політиці вашої організації, згенерований пароль, збережений у менеджері
Малозначущі чи одноразові реєстрації	Згенерований пароль, унікальний для кожного сайту, збережений у менеджері

Двофакторна автентифікація теж заслуговує на згадку тут. Навіть надійний пароль зрештою може витекти через злам, який ви не контролюєте, і другий крок перевірки, наприклад застосунок-автентифікатор, значно зменшує шкоду, яку може завдати самий лише витік пароля.

Поширені помилки

• Зміна паролів за фіксованим розкладом замість за потреби. Примусові періодичні зміни часто ведуть до слабших, передбачуваніших паролів, а не сильніших. Ефективніше змінити пароль одразу після повідомлення про злам, ніж ротувати за календарем.
• Записування паролів у звичайний текстовий файл чи стікер. Якщо потрібен бекап, вбудоване сховище менеджера паролів чи зашифрована нотатка безпечніші за незахищений файл.
• Чесна відповідь на контрольні запитання. Відповіді на кшталт дівочого прізвища матері чи першого улюбленця часто можна знайти, тож трактування їх як поля другого пароля й введення непов’язаного випадкового тексту безпечніше.
• Припущення, що довгий пароль автоматично хороший. Двадцять повторюваних символів чи патерн ходьби по клавіатурі на кшталт «qwertyuiop1234» довгий, але все ще передбачуваний.
• Сліпе довіряння «індикаторам надійності». Багато вбудованих індикаторів винагороджують символи й карають довжину способами, що не відповідають тому, як насправді працюють сучасні атаки.

Відновлення після витоку пароля

Якщо ви отримуєте повідомлення про злам, чи виявляєте через сервіс перевірки паролів, що один із ваших паролів з’явився у відомому витоку даних, пріоритет — швидкість, а не повний аудит кожного акаунта, яким ви володієте. Змініть витеклий пароль негайно на постраждалому сайті, і якщо ви коли-небудь повторно використовували будь-яку версію цього пароля деінде, ставтесь до кожного акаунта, що ним ділиться, як до скомпрометованого, поки не зміните й ті. Це саме той сценарій, де повторне використання пароля перетворює один витік на набагато більшу роботу з прибирання, і де здатність менеджера паролів показати вам, які акаунти ділять пароль, стає справді корисною, а не приємною додатковою функцією.

Також варто перевірити, чи має зламаний акаунт якісь підключені сервіси, наприклад збережений спосіб оплати чи акаунт пошти, використовуваний для скидання інших паролів, оскільки зловмисник із доступом до вашої пошти часто може скинути паролі на інших акаунтах незалежно від того, наскільки надійними були ці паролі.

Підсумок

Надійні паролі не мусять бути жахливими у використанні. Запам’ятовувана парольна фраза покриває акаунти, які ви набираєте часто, менеджер паролів покриває все інше, а двофакторна автентифікація покриває прогалину, яку не може закрити сам пароль. Якщо вам прямо зараз потрібен швидкий, випадковий пароль для нового акаунта, безкоштовний генератор паролів Holsha створить його у вашому браузері за кілька кліків, без акаунта чи встановлення.