Что делает пароль надёжным
Пароль надёжен ровно настолько, сколько попыток нужно атакующему. Это число определяют длина и настоящая случайность, а не хитрые замены вроде @ вместо a.
Энтропия: считаем попытки
Надёжность пароля измеряется в битах энтропии. Пароль, случайно выбранный из N вариантов, имеет log2(N) бит, и каждый дополнительный бит удваивает работу атакующего. Случайный пароль из 12 символов среди 94 печатных символов имеет около 79 бит. Всё дело в слове случайный: пароль, который выбрал человек, например имя с годом и восклицательным знаком, имеет гораздо меньше бит, чем подсказывает его длина, потому что атакующие пробуют такие шаблоны в первую очередь.
Diceware и парольные фразы
В 1995 году Арнольд Рейнхольд опубликовал diceware: бросьте пять кубиков, чтобы выбрать слово из списка в 7776 слов, и повторите. Каждое слово добавляет около 12,9 бита, так что шесть слов дают около 77 бит и при этом легко набираются. Electronic Frontier Foundation в 2016 году опубликовал улучшенные списки слов, и этот генератор использует его большой список. Идея прославилась благодаря комиксу 2011 года, где correct horse battery staple сравнивали с трудным для запоминания, но слабым Tr0ub4dor&3.
Что говорят рекомендации
NIST Digital Identity Guidelines (SP 800-63B) ставят длину выше правил состава: разрешать длинные пароли и фразы, проверять новые пароли по спискам утёкших и не требовать периодической смены без причины. Принудительные правила сложности в основном приводят к предсказуемым шаблонам. Длина вместе с настоящей случайностью и отдельный пароль для каждого сайта значат гораздо больше.
Как быстро угадывают атакующие
Когда сайт взламывают, атакующие перебирают варианты офлайн по украденным хешам. С быстрыми хешами и современными видеокартами это миллиарды попыток в секунду, и именно это допущение лежит в основе показанного здесь времени взлома. Медленные хеши вроде bcrypt или Argon2 сильно снижают скорость, но вы не знаете, что использует сайт. Стремитесь к 70 или 80 битам и выше, уникальным паролям, менеджеру паролей и двухфакторной аутентификации.
Часто задаваемые вопросы
Какой длины должен быть пароль?
Для случайного пароля с буквами, цифрами и символами 16 символов и больше дают более 100 бит. Для парольной фразы используйте не менее 5 или 6 случайных слов. Длина это самый простой способ повысить надёжность.
Надёжны ли замены вроде P@ssw0rd?
Нет. Атакующие знают распространённые замены и пробуют их автоматически, поэтому они почти ничего не добавляют. Надёжным пароль делает настоящая случайность.
Нужно ли регулярно менять пароли?
Современные рекомендации говорят нет, если нет причины, например утечки. Частая принудительная смена обычно даёт более слабые и предсказуемые пароли. Используйте уникальные пароли и меняйте пароль, если он мог утечь.
Сопутствующие инструменты
Генератор паролей
Бесплатный генератор паролей: надёжные случайные пароли и парольные фразы из crypto.getRandomValues, с длиной, наборами символов, исключением похожих символов, массовой генерацией, энтропией, индикатором надёжности и временем взлома. Ничего не сохраняется и не отправляется.
Генератор lorem ipsum
Бесплатный генератор lorem ipsum: текст-заполнитель в абзацах, предложениях, словах, пунктах списка или байтах, на классической латыни, в оригинале Цицерона или с тематическими наборами слов, с выводом HTML, заголовками и воспроизводимым зерном.
Конвертер регистра
Бесплатный конвертер регистра: ВСЕ ПРОПИСНЫЕ, все строчные, заголовочный регистр с правилами языка, как в предложении, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case и URL slug, а также очистка пробелов, переносов, маркеров и эмодзи.
Форматировщик JSON
Бесплатный форматировщик и валидатор JSON: красиво оформите или сожмите JSON, найдите строку и столбец ошибки, отсортируйте ключи, просмотрите дерево, копируйте пути и преобразуйте массивы в CSV прямо в браузере.
История lorem ipsum
Откуда взялся lorem ipsum: отрывок из сочинения Цицерона De finibus bonorum et malorum 45 года до н. э., превращённый в текст-рыбу и распространённый листами Letraset в 1960-х и программами вёрстки вроде Aldus PageMaker.
Готовы попробовать?
Откройте PictorX в своем браузере — установка не требуется, для запуска не требуется кредитная карта.
Открыть генератор паролей