Почему мы придумываем плохие пароли и что с этим делать без мучений
Каждый год публикуют списки самых частых паролей мира, и каждый год в верхних строчках стоят одни и те же комбинации: подряд идущие цифры, слово «password» и его местные аналоги, имена и годы рождения. Это не потому, что люди легкомысленные. Это потому, что требования к паролям придумывали не для людей.
Правила, которые сделали хуже
Классическое требование — «минимум восемь символов, заглавная буква, цифра и спецсимвол» — выглядит строго, а на практике порождает предсказуемое поведение. Человек берёт понятное слово, делает первую букву заглавной, в конце ставит год и восклицательный знак. Формально требование выполнено, фактически пароль остался словарным.
Второе вредное правило — обязательная смена пароля каждые три месяца. Смысл был в том, чтобы украденный пароль быстро устаревал. Получилось иначе: люди начали менять последнюю цифру и записывать текущий вариант на стикере. Многие организации по безопасности от этой практики уже отказались — частая принудительная смена делает пароли слабее, а не сильнее.
Третья беда — количество. У обычного человека десятки аккаунтов, и запомнить десятки разных сложных строк невозможно физически. Поэтому пароль переиспользуется, и одна утечка на форуме открывает доступ к почте, а через почту — вообще ко всему.
Что на самом деле делает пароль сильным
Длина, а не экзотика символов. Четыре случайных несвязанных слова подряд запоминаются легко, а перебираются несопоставимо труднее, чем «P@ssw0rd!». Ключевое слово — случайных: «мама мыла раму снова» это не случайные слова, а известная фраза.
Второе — уникальность. Даже средний пароль, использованный в одном месте, безопаснее отличного пароля, которым вы закрыли двадцать сайтов сразу.
Третье и самое важное — второй фактор. Код из приложения-аутентификатора или ключ безопасности защищает лучше, чем любые ухищрения с символами: даже зная пароль, войти без второго фактора не получится. Если включать его везде лень, включите хотя бы на почте — она восстанавливает доступ ко всему остальному.
Как жить с этим по-человечески
Самый разумный вариант — менеджер паролей. Он придумывает и хранит уникальные строки за вас, а вам нужно помнить ровно один длинный мастер-пароль. Да, это выглядит как «сложить яйца в одну корзину», но корзина эта устроена куда надёжнее, чем блокнот у монитора или единственный пароль на все случаи жизни.
Если менеджер не нравится, работает бумажный компромисс: длинные разные пароли, записанные в тетрадь, которая лежит дома. Домашняя тетрадь недоступна интернет-злоумышленнику из другой страны — а именно он, а не гость в вашей квартире, представляет реальную угрозу.
И последнее: проверьте, не всплывала ли ваша почта в известных утечках — сервисы такой проверки бесплатны. Если всплывала, менять надо не последнюю цифру, а сам пароль, и в первую очередь там, где вы использовали его повторно.
А вы честно признайтесь: сколько сайтов сейчас закрыто одним и тем же паролем?