Что делает пароль сильным

Под «силой» пароля большинство людей понимают его разнообразие в типах символов. Но хотя формы регистрации могут считать сложность безопасностью, злоумышленники с этим не согласятся. Сложность больше не защищает от современных угроз. Что делает пароли сильными? Сначала нам нужно рассмотреть фактическую модель угроз, с которой сталкиваются большинство людей.

Сложность пароля упускает из виду суть

Сила пароля часто просто является функцией сложности, или количества случайности в пароле, измеряемой использованием символов, цифр и букв верхнего и нижнего регистра. Но добавление нескольких различных символов в ваш пароль незначительно увеличивает его «силу», несмотря на то, что этот обманчивый зеленый «планка силы» рядом с вашим паролем может sugerir. Сложность увеличивает трудности брутфорс-атаки, но такой тип атаки не так уж и распространен.

Вместо этого кражи учетных данных происходят в результате массовых краж данных или утечек из крупных организаций. Сила пароля не поможет вам, если злоумышленники имеют ваш пароль в открытом виде.

Используйте уникальные пароли

Большинство людей невероятно уязвимы к тому, что называется «взлом учетных данных»: скомпрометированные учетные данные пробуют на популярных платформах, чтобы использовать человеческую склонность к повторному использованию пароля. Это гораздо более большая опасность, чем «слабый» пароль. В конце концов, один «супер сильный», совершенно случайный пароль, повторно используемый на каждой платформе, станет катастрофой после одной утечки.

Вместо того, чтобы думать о силе пароля как о единственном свойствах, нам нужно думать о силе вашей системы аутентификации. Современные пароли создают эту систему и должны рассматриваться как таковые. Использование уникальных паролей гораздо проще с менеджером паролей, поэтому начните использовать один сегодня, если вы еще этого не сделали.

Также читайте: 10 лучших менеджеров паролей для веб, рабочего стола и мобильных устройств

Длина важнее сложности

На протяжении многих лет нас приучали считать сложность самым важным фактором пароля. И хотя мы знаем, что брутфорс-атаки редки, сложность даже не является лучшей защитой от брутфорса: длина на самом деле гораздо важнее.

Длина пароля имеет экспоненциальную зависимость от времени взлома, поэтому умеренное увеличение длины может привести к массовым увеличениям времени взлома. Сложность же, с другой стороны, имеет более линейную зависимость от времени взлома.

Возьмем этот пример: высокопроизводительная машина для взлома может сломать сложный пароль, такой как *nRyU86), всего за восемьдесят минут. Увеличение длины на одну заглавную букву растягивает это время до почти тридцати шести часов, тогда как замена буквы на символ не приводит к значительным изменениям во времени взлома.

Давайте максимально используем экспоненциальные силы длины. Как насчет четырехсловной фразы-пароля, используя известные слова из словаря и составляя в общей сложности шестнадцать символов? Даже учитывая атаки словарем (атаки, которые используют базу данных известных слов для угадывания паролей вместо случайной генерации предположений), на взлом такого пароля все равно потребовалось бы девяносто миллиардов лет.

Забудьте о сложности. Лучшие пароли — это на самом деле фразы-пароли. Вы никогда не сможете запомнить подобный сильный сложный пароль. Но наш мозг любит смешные истории и удивительные образы. Если вы создадите абсурдно запоминающуюся историю для случайно сгенерированной фразы, вам будет трудно её забыть.

Также читайте: Дают ли предложения лучшие пароли?

Требуется действительно случайная генерация фраз-паролей. Выбор слов, связанных с вами, например, месяцом вашего рождения, сделает фразу более легкой для угадывания. Используйте кубики паролей EFF, чтобы безопасно и надежно генерировать случайные фразы-пароли.

Включите все системы двухфакторной аутентификации

Все системы имеют утечки. Сила пароля вас не спасет. Так как же можно защитить себя? Системы двухфакторной аутентификации (2FA) предоставляют дополнительный уровень безопасности. 2FA требует два типа учетных данных: что-то, что вы знаете (то есть ваш пароль) и что-то, что вы имеете (то есть ваш телефон). В большинстве систем 2FA эти коды генерируются удаленным сервером. Сервер отправляет активный код пользователю во время входа.

К сожалению, злоумышленники могут относительно легко перехватить коды SMS через клонирование SIM-карт. Чтобы предотвратить это прослушивание, генерируйте коды на своем мобильном устройстве с помощью приложения 2FA, такого как Authy, Google Authenticator или менеджера паролей с поддержкой 2FA, например 1Password.

Заключение

«Сила» одного пароля - это ложный след. Сильная система аутентификации важнее. Утечки и кража данных неизбежны. Уникальные пароли ограничивают ущерб. Двухфакторная аутентификация может снизить ущерб от украденных учетных данных до нуля.