Як створити пароль, який справді витримає перевірку
Більшість із нас засвоїли хибні уроки щодо паролів. Нас навчали замінювати «a» на «@», додавати знак оклику в кінці й писати першу літеру великою — і називати це надійним захистом. Проблема в тому, що зловмисники теж знають ці прийоми. Пароль на зразок «P@ssw0rd!» виглядає складним для людини, але тривіальним для програми злому. Справжній захист акаунта забезпечується не кмітливістю, а довжиною, випадковістю і простою дисципліною: ніколи не використовувати один і той самий пароль двічі.
Ця сторінка генерує паролі прямо у вашому браузері. Ви обираєте довжину і набір символів, а інструмент одразу ж створює новий випадковий рядок. Жодне зі згенерованих значень не передається, не журналюється і не зберігається. Нижче — пояснення, чому налаштування за замовчуванням саме такі і як отримати від них максимум.
Довжина та ентропія важливіші за правила складності
Кожен пароль має вимірювану кількість непередбачуваності — фахівці з безпеки називають це ентропією. Що більше ентропії, то більше спроб потрібно зловмиснику, перш ніж він натрапить саме на ваш пароль. Ентропію підвищують два чинники: кількість можливих символів, з яких ви обираєте, і кількість символів у рядку. Довжина робить основну роботу: кожен додатковий символ множить кількість можливих комбінацій, тоді як додатковий тип символів лише трохи її збільшує.
Саме тому випадковий 16-символьний пароль із малих літер і цифр набагато надійніший, ніж 8-символьний, напханий різними знаками. Сучасні рекомендації від організацій на зразок CISA та Національного альянсу кібербезпеки раз у раз вказують на одну й ту саму цифру: прагніть до щонайменше 16 символів. Більше — краще. Якщо сайт дозволяє 20 і більше символів для важливих акаунтів — скористайтеся цим. Кілька зайвих секунд набору забезпечують роки стійкості до брутфорсу.
Правила складності, які вимагають «одну велику літеру, одну цифру, один символ», існують переважно для того, щоб зупинити тих, хто вибирає «password123». Вони не роблять по-справжньому випадковий рядок суттєво надійнішим. Справді випадковий пароль і без того відповідає всім цим вимогам. Тож увімкніть кілька типів символів для сумісності з примхливими формами входу, а решту нехай бере на себе довжина.
Парольні фрази: довгі, випадкові та запам'ятовувані
Є одна ситуація, де пароль справді потрібно пам'ятати: головний пароль менеджера паролів або вхід на комп'ютер. Для цього чудово підходить парольна фраза. Оберіть від чотирьох до шести непов'язаних між собою слів навмання — що безглуздіше поєднання, то краще — і з'єднайте їх разом: наприклад, «мідь-ліхтар-мряка-горіх». Це довго, містить достатньо ентропії, і ваш мозок цілком здатний утримати це в пам'яті.
Ключове слово тут — «навмання». «Правильний кінь акумулятор скоба» знаменита саме тим, що слова не мають жодного логічного зв'язку. Фраза з тексту пісні чи цитата не є випадковою — зловмисники використовують саме такі джерела у своїх інструментах вгадування. Для всього іншого — акаунтів, якими ви користуєтесь кілька разів на рік — не варто нічого запам'ятовувати. Це завдання для програмного забезпечення.
Чому повторне використання паролів — справжня небезпека
Ось статистика, яка має змінити ваше ставлення до проблеми: значна частка витоків даних пов'язана з повторно використаними або слабкими обліковими даними. Механізм жахливо простий. Якийсь сайт, де ви колись реєструвалися, зазнає злому й витоку бази паролів. Зловмисники беруть пари «email–пароль» і автоматично перевіряють їх у банках, поштових сервісах і магазинах — мільйонами за раз. Це називається credential stuffing, і це спрацьовує, бо стільки людей використовують один пароль скрізь.
Вирішення проблеми — унікальний пароль для кожного акаунта. Зробіть це, і злом одного сервісу залишиться в межах лише цього сервісу. Підступ, звісно, у тому, що ніхто не може запам'ятати сотню різних випадкових рядків. Саме цю проблему і вирішують менеджери паролів.
Менеджери паролів і другий замок
Менеджер паролів генерує і зберігає унікальний випадковий пароль для кожного з ваших акаунтів, автоматично заповнює їх і вимагає запам'ятати лише один головний пароль. Інструменти на зразок Bitwarden, 1Password, Proton Pass та інших шифрують ваше сховище так, що навіть компанія-розробник не може прочитати ваші логіни. Ви отримуєте безпеку довгих випадкових паролів без навантаження на пам'ять. Для більшості людей це найважливіше поліпшення, яке вони можуть зробити для своєї онлайн-безпеки.
Доповніть це двофакторною автентифікацією — її часто позначають як 2FA — на кожному акаунті, де вона підтримується. З увімкненим 2FA вкраденого пароля самого по собі недостатньо для входу, адже зловмиснику також потрібен код із вашого телефону або апаратний ключ. Коди з додатків і фізичні ключі безпеки надійніші за SMS-коди, але будь-який другий чинник кращий за жоден. Пароль плюс 2FA — справді складна для подолання комбінація.
Чому генерація в браузері зберігає приватність
Коли цей інструмент створює пароль, він працює повністю на вашому пристрої, використовуючи вбудований у браузер криптографічно захищений генератор випадкових чисел — те саме надійне джерело, яке операційні системи використовують для ключів. Результат ніколи не покидає ваш пристрій. Немає звернення до сервера, немає аналітичних запитів зі значенням, нічого не записується в журнал. Ви можете переконатися в цьому самостійно: відкрийте сторінку, вимкніть мережу й генеруйте паролі. Це все одно працює, бо все відбувається локально.
Це важливо, тому що пароль, для створення якого потрібно довіряти віддаленому серверу, — це пароль, який короткочасно існував десь поза вашим контролем. Локальна генерація повністю виключає цей крок. Скопіюйте новий пароль прямо в менеджер паролів — і готово. Поки ви тут, перегляньте нашу колекцію всі генератори або візьміть випадковий ідентифікатор у генераторі UUID, якщо він вам потрібен для розробки.
Часті запитання
Якої довжини має бути мій пароль?
Прагніть до щонайменше 16 символів і робіть довшими паролі для важливих акаунтів, як-от електронна пошта та банківські сервіси. Довжина дає більше безпеки, ніж будь-яке поєднання символів, тому якщо сумніваєтесь — робіть довше, а не складніше.
Чи справді паролі, створені цим інструментом, є випадковими?
Так. Вони генеруються за допомогою криптографічно захищеного генератора випадкових чисел вашого браузера — того самого джерела, на яке покладаються операційні системи для ключів. Кожне натискання дає свіжий незалежний результат без жодного передбачуваного шаблону.
Чи безпечно генерувати паролі у веббраузері?
Так, за умови що генерація відбувається локально. Цей інструмент працює повністю на вашому пристрої і ніколи не надсилає пароль на сервер. Ви можете відключитися від інтернету, і він все одно працюватиме — це доводить, що нічого не передається.
Що краще: парольна фраза чи випадковий пароль?
Використовуйте довгий випадковий пароль для акаунтів, які зберігаєте в менеджері паролів, — їх не потрібно запам'ятовувати. Запам'ятовувану парольну фразу з кількох непов'язаних слів використовуйте для тих кількох входів, які доводиться вводити вручну, — наприклад, для головного пароля.
Чому повторне використання одного пароля таке ризиковане?
Якщо один сайт зазнає злому, зловмисники беруть витоклий пароль і автоматично перевіряють його на інших ваших акаунтах. Унікальний пароль для кожного акаунта не дає одному злому поширитися далі. Саме для цього й існують менеджери паролів.
Чи потрібна мені двофакторна автентифікація?
Так. Надійний унікальний пароль захищає від вгадування і підстановки, але 2FA додає другий замок, щоб вкраденого пароля самого по собі не вистачило для входу. Вмикайте її скрізь, де пропонують, — в ідеалі через додаток або апаратний ключ, а не через SMS.