Пароли, которые не подберут

Как подбирают пароли

Пароль к вашему аккаунту редко «взламывают» в кино-смысле. Его угадывают, перебирают или берут готовым из утечки. У каждого способа своя защита, и знать их полезно, чтобы понимать, зачем нужны правила следующих глав.

Угадывание по словарю. Программе дают список самых популярных паролей — 123456, qwerty, password, 1q2w3e — и она пробует их первыми. Потом идут слова, имена, клички, даты и их сочетания: masha1990, Barsik2015. Если мошенник знает о вас что-то из соцсетей — имя ребёнка, дату свадьбы, любимую команду, — он добавит и это. Замены вроде «@» вместо «a» и «0» вместо «o» программа тоже знает: P@ssw0rd угадывается почти так же быстро, как password.

Полный перебор. Если угадать не вышло, программа пробует все сочетания подряд: aaaa, aaab, aaac… Сколько их, считается просто: размер алфавита в степени длины. У кода из четырёх цифр алфавит — 10 знаков, длина — 4, значит вариантов 10 × 10 × 10 × 10 = 10 000.

На самом сайте перебирать долго: после нескольких неверных попыток вход блокируют или просят подождать. Поэтому перебор идёт в другом месте. Когда базу сайта крадут, в ней обычно лежат не сами пароли, а их зашифрованные отпечатки. Отпечаток обратно не расшифровать, но можно перебирать пароли на своём компьютере и сравнивать отпечатки — без ограничений, со скоростью в миллиарды вариантов в секунду.

Готовый пароль из утечки. Самый дешёвый способ. Если где-то утёк ваш пароль открытым текстом или его уже подобрали, его пробуют на других сайтах. Этому посвящены главы 3 и 4.

Длина важнее сложности

Требования сайтов — «заглавная буква, цифра и спецсимвол» — создают впечатление, что надёжность пароля в сложности. На деле сильнее работает длина. Каждый новый знак умножает число вариантов на весь алфавит, а спецсимволы лишь немного увеличивают сам алфавит.

Сравните: восемь знаков всех видов — это около 94 в восьмой степени. Двенадцать строчных букв — 26 в двенадцатой, и это в пятнадцать раз больше, хотя в пароле нет ни одной цифры. Шестнадцать строчных букв перебирать дольше, чем существует человечество. Скорость в схеме взята для примера: техника становится быстрее, но разрыв между длинным и коротким паролем от этого не меняется.

Длинный пароль проще всего сделать из слов. Фраза-пароль — это несколько случайных слов подряд: zakat-gvozd-bereza-chainik. Такое запомнить легче, чем Kx7#p2Lq, а подобрать труднее. Если слова выбраны случайно из словаря примерно в восемь тысяч слов, четыре слова дают столько же вариантов, сколько восемь случайных знаков всех видов, а пять — в тысячи раз больше.

Если сайт требует цифру и заглавную букву, добавьте их к фразе: Zakat-gvozd-bereza-chainik7. Требование выполнено, а надёжность держится на длине.

И одна частая ошибка. Пароль, который вы меняете раз в полгода, дописывая к нему цифру — Masha2024, Masha2025, — не становится новым: программа пробует такие варианты сразу после исходного. Менять пароль нужно не по календарю, а когда есть причина: утечка, подозрительный вход, пароль кому-то называли.

Один пароль на всё — одна дверь на всё

Даже очень длинный пароль не спасёт, если он один на всё. Вы не можете повлиять на то, как хранит пароли сайт доставки еды, форум про рыбалку или магазин, где вы купили что-то пять лет назад. Когда такой сайт взламывают и база утекает, ваш пароль оказывается в чужих руках — не по вашей вине.

Дальше работает программа: она берёт пары «почта + пароль» из утечки и пробует их на почтовых сервисах, в соцсетях, на маркетплейсах, в мессенджерах. Этот приём дешёвый и массовый, и он срабатывает ровно там, где пароль повторяется. Самый опасный повтор — пароль от почты: через почту восстанавливают доступ почти ко всему остальному. Об этом подробно урок 8.

Отсюда правило: у каждого важного аккаунта свой пароль. Почта, банк, Госуслуги, мессенджер, маркетплейс с привязанной картой — у каждого отдельный. Для сайтов, где у вас нет ни денег, ни личных данных, требование мягче, но и там повтор лучше не заводить: утечка с такого сайта станет утечкой пароля везде, где он совпадает.

Естественный вопрос: как запомнить двадцать разных длинных паролей? Никак — и не нужно. Их хранит менеджер паролей, и помнить приходится один главный пароль. Как его выбрать и как переехать на менеджер, разбирает урок 6. А пока можно начать с малого: придумать отдельные фразы-пароли для почты и банка — двух дверей, за которыми всё остальное.

Утечки и что с ними делать

Утечка — это когда база сайта или сервиса оказывается у посторонних. В ней бывают адреса почты, телефоны, имена, адреса доставки, история заказов и пароли — открытым текстом или отпечатками. Утечки случаются у крупных и мелких компаний, и почти у каждого человека, который давно пользуется интернетом, какие-то данные уже в них есть. Это не повод для паники, а повод для нескольких конкретных действий.

Как узнать, что ваши данные утекли? Сервис сам может прислать уведомление. Есть сайты, которые проверяют, встречается ли ваша почта в известных утечках, и менеджеры паролей и браузеры, которые предупреждают, если сохранённый пароль нашёлся в утечке. Такой проверке пароль вводить не нужно — достаточно адреса почты или предупреждения от программы, которой вы уже пользуетесь.

Узнав об утечке, сделайте по порядку:

Пароль меняют в самом сервисе, открытом из закладки или приложения, а не по ссылке из письма «о безопасности». Письмо выше — пример того, как утечку используют второй раз: мошенник знает, что вы встревожены, и предлагает «быстро сменить пароль» на его странице.

Отдельно о том, что в утечке могли оказаться не пароли, а только телефон и почта. Тогда менять ничего не нужно, но стоит ждать больше спама и звонков «из службы безопасности». Правила курса работают и здесь: срочность — признак обмана, код — это подпись, перезваниваете вы сами.