Какой пароль можно придумать для аккаунтов

Содержание статьи:

Оправдывая использование слабых очевидных паролей, люди ссылаются на распространённый стереотип о том, что доступ к их учётным записям никому не нужен. Но это далеко не так. Даже если в своих электронных письмах пользователь не пересылает информацию, способную повлиять на судьбы стран или крупных корпораций, подобранный пароль к ящику электронной почты может стать отмычкой для других учётных записей. Например, через сервис восстановления паролей можно перехватить доступ к учётной записи в социальной сети или электронного кошелька, а это повлечёт за собой уже реальные финансовые потери.

Введение в основы безопасности паролей

Какой пароль считается «надежным»

Итак, давайте сначала рассмотрим, какой же пароль считается надежным. А потом перейдем к правилам по его созданию. Надежный пароль — это такой пароль, который в течении очень длительного времени невозможно подобрать (отгадать) методом перебора по словарю или методом прямого брутфорса. Что это за методы рассмотрим ниже.

Перебор по словарю

Метод перебора по словарю заключается в том, что злоумышленник пытается подобрать ваш пароль путем вставки паролей из словаря. В словаре этом записаны пароли, которые чаще всего используют пользователи. Поэтому, есть вероятность, что ваш пароль, если он был неграмотно создан, также есть в словаре. Так как подбор идет с помощью компьютера, а не вручную, взлом проходит всего за несколько минут. В такой словарь попадают пароли простые, совпадающие с общеупотребительными словами, или состоящие из легко запоминающихся сочетаний букв и цифр. Вот, например, список из 20 самых распространенных паролей по миру:

123456 12345 123456789 password iloveyou

princess 1234567 rockyou 12345678 abc123

nicole daniel babygirl monkey lovely

jessica 654321 michael ashley qwerty

Все они есть в словаре, и если вы будете использовать их или что-то подобное, то вас точно взломают.

Брутфорс

Второй способ взлома — это метод брутфорса. Он заключается в том, что злоумышленник пытается подобрать ваш пароль путем последовательного введения вообще всех возможных паролей. Причем сначала он начинает с легкого, перебирает пароли, состоящие только цифр или только из маленьких букв. Также, сначала он подбирает пароли состоящие из небольшого кол-ва символов, в надежде, что ваш пароль именно такой и его можно будет взломать. Например, он последовательно вводит: 0001, 0002, 0003 и так до 9999. Таким образом, если ваш пароль был 6721, то злоумышленник рано или поздно до него дойдет и все.

Как создать и запомнить надежный пароль

Как мы уже выяснили, длина пароля должна быть не меньше 8 знаков, причём очень желательно, чтобы в нём использовались разные типы символов:

• строчные буквы — a,b,c…;
• заглавные буквы — A, B, C…;
• цифры — 0,1,2…;
• знаки препинания — запятая, тире, знак вопроса и т.д.;
• специальные символы — @, #, $, % и т.д.

Проверить сложность пароля можно, например, на сайте Лаборатории Касперского, выглядит довольно живенько:

Пароль необязательно создавать вручную, существует куча сайтов, где можно это сделать, просто введите в поисковой системе запрос «генератор паролей» — вам выдаст большой список. Конечно, возникает вопрос — а не записывает ли конкретный сайт введённые пароли? Даже если так, еще нужно знать логин, да и неизвестно ведь, где вы будете применять полученную комбинацию.

Чтобы все же успокоить свою паранойю, можно сгенерировать пароль на сайте, а потом изменить в нём несколько символов — сложность не поменяется, а риск взлома грубым перебором будет по прежнему очень низким.

Проблема со сгенерированными паролями одна — запомнить хотя бы один довольно сложно, а в идеале-то для каждого сайта нужен уникальный. Один из лучших способов упростить себе задачу — использовать слова на вашем родном языке в английской раскладке, разбавляя их цифрами и знаками.

Вот пример несложного для запоминания, но очень даже качественного пароля. Возьмем русское существительное «утюг» и логически не относящийся к нему глагол «зеленеет». В качестве цифр, допустим, будет год рождения известного писателя — Льва Толстого, 1828. Ну и приправим восклицательным знаком!

Немножко перемешаем — и получаем такой пароль — en.u18!ptktyttn28. Я записал русские слова с использованием английской раскладки, год рождения разбил на 2 части и подставил в конце каждого слова, а посередине восклицательный знак. Вроде бы ничего сложного, но пароль получается весьма качественным:

Можно придумать и другие похожие способы создания пароля — все они дадут отличный результат. Впрочем, это всё равно не помогает следовать правилу 1 сайт — 1 пароль, сложно запомнить больше пяти комбинаций и не начать их использовать по нескольку раз. Получается, необходимо место для хранения важных данных.

Как составляли и проверяли политики

Количество и классы символов. В основе всех политик лежали требования к длине пароля и числу классов: это буквы верхнего и нижнего регистра, цифры и специальные символы. Каждую политику исследователи обозначили формулой вида:

Эта политика требует пароль, который содержит три класса символов из четырех.

Все протестированные политики включали длину пароля не менее 8 символов. Получился примерно такой список политик: 1с8, 3c8, 4c8, 1с10, 1с12, 2с12, 3c12, 1с16.

Проверка по словарю. Требования к символам помогают генерировать более сложные пароли. Но некоторые пользователи могут соблюдать требования и все равно придумать слабый пароль. Например, для политик 4c8 и 1c16 можно создать предсказуемые варианты: 1Password! и passwordpassword. Чтобы этого избежать, политики часто комбинируют с поиском по словарям.

Для словарной проверки нужен список часто используемых, предсказуемых или скомпрометированных паролей, а также сам алгоритм поиска по словарю. Например, можно искать точные совпадения в списке, а можно использовать нечеткий поиск, который найдет совпадения с разницей в регистрах или отдельных символах. Допустим, в словаре есть password. Нечеткий поиск также посчитает “словарными” пароли типа pa$$word или Passw0rd.

В эксперименте использовались словари Xato и Pwned, а также разные алгоритмы поиска:

• поиск полного совпадения со строками словаря без учета регистра – case-insensitive full-string comparison (cifs);

• поиск полного совпадения со строками словаря с учетом регистра – case-sensitive full-string comparison (fs);

• отделение цифр и специальных символов и последующий регистронезависимый поиск точно таких же строк в словаре (strip-cifs);

• регистронезависимый поиск любых 5-символьных совпадений словарных фрагментов с фрагментами пользовательского пароля (ciss).

В сочетании с разными словарями получились такие варианты для проверки: Pwned-fs, Xato-cifs, Xato-strip-cifs, Xato-ciss и так далее.

Количество попыток перебора. Один из методов оценки надежности пароля – сколько попыток сделает злоумышленник, прежде чем подберет пароль. Для такой проверки используются разные модели, в том числе нейронные сети. Минимальные требования к количеству и частоте попыток зависят от многих факторов, например, используемых средств защиты или характера атаки. В своей работе CMU рассматривают 2 вида атак:

• при онлайн-атаках хакер может перебирать пароли только при взаимодействии с сервером. Если отрубить доступ, продолжить попытки не получится.

• при офлайн-атаках хакер может подбирать пароли без обратной связи от сервера, то есть дольше. Это возможно, если у злоумышленников есть краденая база с хэшами паролей.

Для оценки надежности в CMU использовали модели машинного обучения. С помощью базы данных скомпрометированных паролей нейронную сеть обучили предсказывать, какова вероятность подобрать пароль. Степень надежности определяли по количеству необходимых попыток и записывали формулой:

В этом случае считаем пароль надежным, если нейронка не угадала его за 1 млн попыток.

Гипотезы по совместному использованию методов. Исследователи использовали разные комбинации политик, чтобы ответить на вопросы:

1. Как проверка по словарю сочетается с политиками вида 1c8 и 3c8?

2. Как разные варианты проверок по словарю сочетаются с политикой вида 1с8?

3. Насколько разные политики по длине и классам от 1с8 до 3с12 выполняют требование надежности на уровне NN6?

4. Насколько проверка по словарю сочетается с проверкой с помощью нейронных сетей?

5. Насколько успешна проверка надежности на уровне NN8 и NN10 при разных требованиях только к длине пароля?

6. Как проверка по словарю сочетается с разными требованиями к числу классов символов (от 1с8 до 4с8)?

Получилась такая таблица проверки разных условий:

Интернет без бед на весьма неплохом канале

Данная статья в видео формате.

Уважаемый, хочу представить твоему вниманию проект «Интернет без бед».

Советы и приемы, которыми может воспользоваться каждый пользователь домашнего компьютера, чтобы обезопасить себя в интернете, а не только профессионал в этой области.

Контент только начинаю генерить. Буду откровенно рад любым замечаниям или вопросам, которые не дают спать спокойно, от продвинутой аудитории на Хабре. Спасибо.

Подробней о миссии: https://www.youtube.com/watch?v=bt6Us…

Телеграм-канал о безопасности в сети: https://t.me/internetnotbad

#internetnotbad #интернетбезбед

Генераторы паролей

Если предположить, что базовый уровень безопасности не удовлетворяет вас, мы можем пойти дальше и доверить создание паролей машине. Другими словами – используйте, так называемые, генераторы паролей. Даже самые простые версии программ могут создавать такие сложные комбинации, что для подбора пароля потребуются не дни, а годы! Большинство приложений предлагают пользователю возможность самостоятельно указывать диапазон используемых символов и длину пароля – после нажатия на соответствующую кнопку мы получаем надежный, сложный и полностью случайный код. Только как это запомнить?

В таких случаях полезны менеджеры паролей – это программы, которые хранят все наши пароли в специальном и сильно зашифрованном дисковом пространстве. Список наиболее интересных предложений вы найдете позже в тексте, а здесь мы наметим правила их работы.

Чтобы добраться до паролей, мы должны ввести главный пароль. Он должен быть чрезвычайно сложным, и хотя не всем будет легко его запомнить, утешительно то, что нам нужно помнить только один пароль, а не пару дюжин.

Некоторые из пользователей также используют ручной метод сохранения паролей на физическом носителе, таком как карта, – мы настоятельно не рекомендуем использовать подобное решение! Хотя, конечно, никто не сможет украсть их через сеть, потерять такие записи очень просто. Тогда мы останемся ни с чем… Помимо проблем и необходимости пройти через очень сложный процесс восстановления данных.

В конце концов, наиболее важным для безопасности пользователя является использование сложных паролей. Независимо от того, как мы их создаем и как храним, они не могут быть очевидными! Выбор простейших решений значительно упрощает сетевые операции, но экономия нескольких секунд редко стоит риска. Об этом стоит помнить при следующем входе в онлайн-банк, почтовый ящик или профиль в социальной сети.

Как хакеры взламывают пароли

Мне сразу вспоминается сериал «Шерлок» (4 сезон в январе ура-ура), где наш гениальный детектив всего за несколько попыток смог разгадать весьма нетривиальный пароль на телефоне Ирен Адлер:

Выбери она любую случайную комбинацию из четырёх букв и цифр — вряд ли даже у Шерлока Холмса что-то получилось бы. Вообще киношники любят вставлять такие сцены (вспомните любой другой фильм с отгадыванием пароля), но самое интересное, что и в жизни подобное очень даже работает. Такой метод взлома называется логическим угадыванием — и основывается на известной информации о пользователе.

Если злоумышленник знает имя, фамилию и дату рождения — он за несколько минут может перебрать возможные комбинации и взломать пароль, в котором используется эта информация.  Ну что, наверняка же используете хотя бы один такой? 🙂

Кстати, а вы знаете, какие пароли встречаются чаще всего? В сети я нашел такую табличку с примерами самых популярных паролей:

Как видите, в основном это простые комбинации цифр и букв. Частота здесь не указана, но допустим если хотя бы 1% пользователей использует примитивный пароль 123456 — сколько аккаунтов сможет взломать хакер на большом сервисе? А если прогнать все известные популярные пароли? Вот именно…

Между прочим, существуют специальные словари паролей, которые можно скачать из Интернета. К счастью, популярные сайты уже давно требуют от пользователей хотя бы минимально усложнять вводные данные — использовать заглавные и строчные буквы, как минимум пару цифр и проверяют, чтобы пароль не был в тех же словарях.

Тем не менее, этого может быть недостаточно, если хакер обладает большими ресурсами и специальными программами. Так называемый метод грубой силы позволяет отгадывать пароли простым перебором всех возможных комбинаций, современные возможности компьютеров вполне это позволяют.

Чем больше используется разных символов (заглавные и строчные буквы, цифры, точки/тире/запятые и т.д.) и чем длиннее пароль — тем больше времени понадобится компьютеру, чтобы проверить все возможные варианты. Сколько же? Допустим, в пароле используются только строчные английские буквы и цифры, тогда ситуация такая:

Как видите, пароль меньше 7 символов вполне можно взломать за один день, а 7-символьный ломается за недельку, если хакеру повезет — ещё быстрее. В общем, примерно так выглядит сложность паролей для метода грубой силы, выводы я думаю очевидны.

Впрочем, даже если вы создадите хороший, сложный пароль, есть и обходные способы для его взлома. Например, на почту приходит письмо с фразой вроде «для вывода денег пришлите свой пароль для проверки», разумеется этого делать ни в коем случае не следует! Администрация любого сайта или сервиса никогда не будет спрашивать ваш пароль, он и так у них есть в базе данных.

Еще один способ получить пароль — каким-то образом «подсмотреть» его. В детстве, когда я ходил в компьютерный клуб, это было реальной проблемой — вокруг куча людей и ввести пароль от своего игрового аккаунта так, чтобы никто не подсмотрел его, было непросто. Случаи краж игровой валюты и вещичек случались 🙂

Злоумышленники также могут подсадить на ваш компьютер программу-троян, которая записывает, что вы вводите с клавиатуры. Для защиты от подобной атаки, разумеется, нужно использовать антивирус.

Ну вот, теперь вы знаете самые простые способы взлома ваших данных. Как же от них защититься и создать сложный и надежный пароль?

Как создать пароль сложным — почему это важно

В интернете, как и в реальной жизни, существует очень много всяких котов Базилио и лис Алиса, только и мечтающих, как вытряхнуть деньги из очередного Буратино, или овладеть его конфиденциальными данными, с целью использовать их в своих корыстных, или грязных целях.

Существуют программы для быстрого подбора паролей, которыми пользуются злоумышленники. Такие программы пароль из 8 знаков подбирают за несколько секунд. Требования безопасности — не менее 12 знаков.

Поэтому в безопасности пользования интернетом, пароли являются очень важной составляющей, к которой стоит относиться со всей серьезностью.  

Очень даже запросто можно оказаться тем самым, очередным Буратино, ожидающим, когда вырастет денежное дерево на сайте, где к примеру, сделаны вложения в очень перспективный инвестиционный проект.

И если не озадачиться вопросом, как придумать  пароль соответствующий требованиям безопасности, то вполне возможно, придя за своими золотыми, вместо обещанного дерева, можно обнаружить выкопанную “ямку”.

Или, например все это прекрасно зная, и всегда создавая сложные пароли в 12-20 знаков, применяя все символы клавиатуры, приходится решать задачу сохранения паролей, поскольку запомнить произвольные наборы символов невозможно, особенно при большом количестве аккаунтов на разных сайтах.

Все это легко решается, если при создании паролей соблюдать свою схему введения символов и всегда следовать ей. Вот о 2-х примерах таких схем я и рассказываю в этой заметке.

Сложный пароль — гарантия конфиденциальности

Почему нужно придумать хороший пароль? Да потому, что он является самым первым и самым важным уровнем защиты ваших личных данных. Компьютерные злоумышленники множество пользовательских профилей «вскрывают» методом подбора пароля при помощи специальных программ. Лёгкие символьные ключи для них находка. Раз — и готово! Особо трудиться над взломом не нужно.

Чтобы ещё больше прояснить эту ситуацию статистическими доводами, воспользуемся специальным веб-сервисом https://howsecureismypassword.net/. Он сообщает, сколько времени может понадобиться на взлом указанного пользователем пароля. То есть оценивает степень его устойчивости к взлому.

Итак, предположим, что мы решили придумать пароль, используя расположение букв на клавиатуре — qwerty (ну очень тривиальная комбинация). Спрашиваем у сервиса.

Ответ категорический: «… будет взломан немедленно». Значит такую последовательность символов и ей подобные для использования в ключе нельзя рассматривать в принципе.

Теперь попробуем протестировать ключ длиной в 6 знаков, состоящий из маленьких английских букв и цифр — ty23ds.

Результат тоже неутешительный: 54 миллисекунды. Конечно, за такой отрезок времени «разгадать» последовательность можно исключительно автоматизированным методом. Однако в большинстве случаев взломщики используют именно такую технологию.

Усложним комбинацию: добавим большие буквы в набор и увеличим длину ключа до 11 знаков. Вводим — eYtou349i93.

Вот так уже куда лучше: 41 год придётся злодею-взломщику корпеть над подбором ключа (конечно, теоретически!).

Но можно придумать пароль и посложней: ещё увеличить длину, к примеру, до 18 знаков, и наряду с буквами и цифрами использовать спецсимволы. Что-то вроде — ew$yu*ow)RweQ23&tT.

Результат просто «космический» (между прочим, на радость пользователю): расчётное время необходимое для подбора — 7 квадриллионов лет. А в 1 квадриллионе, как известно, 15 нулей. В общем, без комментариев.

Бдительные читатели, тут же, конечно сразу зададут вопрос: «Подбор подбором, а как же трояны? Они же воруют пароли?». Да, инструментарий злоумышленников обширен: это и вирусы, и социнженерия, и специальный софт. И сложный пароль, безусловно, это не безупречная панацея от взлома учётной записи. Но его смело можно назвать мощным защитным препятствием на пути взломщиков к конфиденциальным данным.

Стёпка, хочешь щец?

Даже если вы придумали отличные пароли (а они — в целях вашей же безопасности — должны быть индивидуальны абсолютно для каждого интернет-сервиса), возникает проблема, как же их все запомнить. Конечно, можно воспользоваться встроенной в любой браузер функцией запоминания паролей, но если злоумышленник каким-то образом получит доступ к вашей машине, это будет означать, что он сможет залезть не только на вашу страничку в соцсети, но и, например, в ваш интернет-банкинг.

Некоторые люди обладают фотографической памятью на символы, и для них не составляет труда запомнить даже самую нелепую абракадабру. Другим же приходится пользоваться иным способом, который описан в заголовке этой части статьи. Автор вовсе не сошёл с ума, просто в этом заголовке приведена часть мнемонического правила для запоминания глухих согласных в русском языке: «СТёПКа, ХоЧеШь ЩеЦ? — Фи!» Мнемотехника облегчает запоминание любой информации при помощи ассоциативных связей, подменяя абстрактные данные яркими образами.

Даже самый сложный пароль можно запомнить, используя мнемотехнику, особенно какую-то близкую вам тематику. К примеру, «AsTKp2eshe:)»: «Аркадий съел большую тарелку каши, попросил две ещё, улыбнулся» и т. п. Фразы не обязательно должны быть осмысленными: напротив, чем они абсурднее, тем легче запоминаются. Техник запоминания огромное множество, и если вы освоите хотя бы некоторые из них, они пригодятся вам не только для паролей. И повторим, что это отличный способ запомнить множество сложных паролей.

* * *

Пароли — лишь одно из средств защиты информации, пусть и из числа самых распространённых. Но даже с хорошими паролями нужно уметь правильно обращаться. Среди главных правил «парольной гигиены» — не использовать одинаковые пароли на разных ресурсах и регулярно их менять. Для интернет-сервисов достаточно проводить такую замену раз в два–три месяца, если не считать экстренных ситуаций с утратой компьютера, его взломом или взломом веб-аккаунта.

Не вводите свои пароли на чужих компьютерах, особенно тех, к которым имеет доступ большой или неограниченный круг людей. Даже если коварные злоумышленники не установили там кейлоггеры, запоминающие все нажатия клавиш, в настройках системы, браузера или ПО может быть по умолчанию предусмотрено запоминание всех вводимых паролей, неочевидное для пользователя. Если же вам всё-таки пришлось воспользоваться таким компьютером, поспешите заменить пароль с безопасной машины.

Наконец, никогда и никому не высылайте свои пароли ни электронной почтой, ни через службы мгновенных сообщений: никакой интернет-сервис никогда не потребует от вас прислать ваш же пароль. Если понадобилось переслать пароль знакомым, надиктуйте его голосом по телефону либо пришлите фотографию с мобильного. И снова — в целях безопасности — при возможности сразу же поменяйте такой пароль на новый.

Как создать сложный пароль, чтобы запомнить

Описываю два способа создания надежных паролей, знакомство с которыми, задаст направление вашей фантазии и поможет придумать собственную систему создания сложных паролей, которые легко запомнить.

Первый способ как сделать надежный пароль

Создать понятной и легко запоминающейся фразы длиной в необходимое количество знаков. Чтобы пароль был надежным, он должен содержать около 20 знаков. Если вы создали длинный пароль, то это увеличивает его устойчивость против взлома.

Я, например, пользуясь программой, всегда ввожу пароли от 20 до 32 символов. Ну а как быть без программы? Первый способ, как я уже написал, это создание только вам известной фразы. Надо придумать фразу, чтобы в ней были не только буквы, но и цифры, а также другие символы.

Например я придумал два коротких предложения: “сколько годиков моему сыну? конечно 13.” Получилось 36 символов, есть буквы всех рядов регистра на клавиатуре, есть цифры и символы. 

Символы, это все имеющиеся на клавиатуре значки кроме букв и цифр.

Теперь убрав все пробелы и получив слитный текст, ввожу его на английской раскладке и вот полученный результат: @crjkmrjktnvjtvecsye&13rjytxyj/@ — отличный пароль. 

Когда мне надо вводить этот пароль, я клавиатуру переключу на английский язык и спокойно буду набирать русскими буквами придуманную фразу, забыть которую, надо еще умудриться.

Второй способ как сделать пароль сложным

Легко запоминающийся порядок набора символов цифр и букв. Этот способ использует расположение клавиш. На рисунке видно два примера набора пароля с использованием расположения клавиатуры. Это порядок нажатия кнопок.

Можно придумать для себя схему набора пароля в любом порядке, главное не забыть ее и использовать подставляя в определенном месте слово обозначающее аккаунт.

Описанные способы создания паролей показывают сам принцип создания схемы. Понимая данный принцип, любой человек сумеет сам придумать себе подобную схему, пользуясь расположением клавиш

Важно, чтобы пароль был уникальным для каждого случая

Создать сложный пароль для каждого аккаунта

Далее нужно сделать так, чтобы на каждом сайте у нас был разный пароль. Конечно, если мы сделали суперсложный пароль, то казалось бы, можно его теперь использовать на всех сайтах, где требуется регистрация, но это только казалось бы.

Если воры украдут единственный пароль, что вполне возможно, то они смогут получить доступ ко всем сайтам и ресурсам, где этот пароль  вводили. Значит надо сделать, чтобы для всякого сайта пароль отличался, был другим.

Достигается это довольно просто. Например я регистрирую себе три почты. Одна на майл.ру, другая яндекс.ру и гмайл.ком.

Используя придуманную фразу и добавляя к ней название почты, вводя в выбранном месте пароля, например, после вопросительного знака по русской раскладке, легко получить 3 уникальных (неповторяющихся) пароля:

Красной рамкой выделены сделанные вставки, которые делают уникальным каждый пароль . И если в руки любителей нажиться за чужой счет, даже и попадет один пароль, то подобрать по нему пароль к другому ресурсу фактически невозможно.

Важно. Вставка должна быть такая, чтобы вы без труда могли ее вспомнить на каждом сайте

Для этого надо избрать одинаковый алгоритм.

Самое элементарное, это адрес сайта, отображаемый в адресной строке до точки, без обозначения доменной зоны:

Просто скопировав доменное имя (без доменной зоны) вставить в нужное место. 

Например: я создал пароль, используя расположение клавиатуры, получилось так: ]’/.;[=-pl,mko09ijnbhu8, теперь мне надо вставить адрес сайта, вставляю его после цифры 9, получаю пароль: ]’/.;[=-pl,mko09googleijnbhu8, теперь пароль уникальный.

Точно так же на каждом сайте, где я регистрируюсь, делается в созданный пароль вставка, характерная для данного сайта. Место для вставки выбирается всегда одно, чтобы не забыть.

То есть, если в приведенном выше примере доменное имя вставлено после вопросительного знака, то значит для всех сайтов надо делать также. 

Как запомнить надежный пароль или парольную фразу

Создайте акроним из блока легкой для запоминания информации. Например, выберите фразу, которая будет иметь для вас смысл, вроде День рождения моего сына 12 декабря 2004 года. Руководствуясь этой фразой можно создать пароль вроде Днмс12/Гр, 4.

Замените буквы или слова на цифры, символы и орфографические ошибки в легкой для запоминания фразе. Например, День рождения моего сына 12 декабря 2004 может превратиться в ДнН @ р М0г0Сuн @ 12124 (использовать пробелы в паролях нельзя).

Свяжите пароль с хобби или любимым видом спорта. Например, Я люблю играть в бадминтон может превратиться в Люб # 8Б @ дм1нт () н.

Если вы хотите записать пароль, чтобы не забыть его, не отмечайте, что это пароль, и храните его в надежном месте.

Пароли с использованием символов ASCII

Также можно создавать пароли и парольные фразы, содержащие расширенные символы ASCII. Использование расширенных символов ASCII поможет обезопасить ваш пароль или парольную фразу, поскольку увеличивается количество символов, которые можно выбрать для создания пароля.

Перед использованием расширенных символов ASCII убедитесь, что такой пароль или парольная фраза будут совместимы с программами, которыми вы пользуетесь дома или на работе

Следует осторожно использовать расширенные символы ASCII в паролях и парольных фразах, если в вашей компании используется несколько операционных систем или другие версии Windows

Дополнительные символы ASCII можно найти в таблице символов. Некоторые дополнительные символы ASCII не следует использовать в паролях и парольных фразах. Не используйте символ, если для него не указано сочетание клавиш.

Пароли Windows могут состоять из значительно большего количества символов, чем рекомендовано выше (восемь). На самом деле пароль может содержать до 127 символов.

Однако, если вы работаете в сети, к которой также подключен компьютеры под управлением Windows 95 или Windows 98, используйте пароль, который содержит не более 14 символов. Если пароль длиннее 14 символов, может случиться, что вы не сможете войти в сеть с компьютеров, работающих под управлением этих операционных систем.

Какой пароль надежный: общие правила

Большинство пользователей знает, что надежный пароль состоит из букв, цифр и символов. Часть пользователей использует ненадежные пароли, порой совсем простые, которые очень легко взломать, например, «12345» или «qwerty».

При создании нового пароля необходимо соблюдать несколько базовых правил, обеспечивающих большую безопасность. Надежный пароль соответствует следующим требованиям:

• Пароль должен быть длинным, в идеале начиная от 16 символов.
• Пароль должен состоять из комбинации цифр, строчных и прописных букв, знаков препинания и специальных символов.
• Пароли нужно время от времени обновлять.
• Для каждой новой регистрации необходимо использовать уникальный пароль.
• Используйте, если это возможно, двухфакторную аутентификацию (пароль и SMS-сообщение).

В идеале, пароль должен быть длинным, но на некоторых сервисах есть ограничения по числу вводимых символов. Поэтому желательно использовать в создаваемом пароле не менее 8 символов, это затруднит его взлом.

Какие символы использовать в пароле? Применяйте следующие комбинации: в пароле должна быть хотя бы одна цифра, вставляйте буквы разного регистра и специальные символы, например, дефис или знак подчеркивания.

Для большей безопасности используйте двухфакторную аутентификацию, например, с помощью СМС-сообщений. Существует совсем маленькая вероятность, что злоумышленник получит доступ к паролю от аккаунта и одновременно завладеет вашим телефоном, или сможет перехватить сообщение, переданное по мобильной сети.

Не стоит указывать в создаваемом пароле следующую персональную информацию:

• Имена и псевдонимы.
• Дату рождения или другие памятные даты.
• Название сервиса.
• Номер телефона.
• Город проживания или город, в котором вы родились.
• Сведения из домашнего адреса.
• Клички домашних животных.
• Другую подобную информацию.

Дело в том, что злоумышленники могут узнать эти данные в интернете, из-за того, что они находятся в открытом доступе, например, на личной странице пользователя в социальной сети.

В «темном» Интернете (Даркнете) имеются базы паролей, привязанных к электронной почте. На сервисе Have I Been Pwned можно проверить была ли взломана конкретная электронная почта и узнать о наличии пароля в базах данных хакеров. Можно проверить надежность пароля на сервисе Касперского: Kaspersky Password Checker, который использует базу упомянутого сервиса.

Применять в составе пароля общеупотребительные слова или имена ненадежно, потому что хакеры используют программы, подбирающие пароли с помощью специальных словарей, содержащих часто встречающиеся секретные комбинации. Если ваш пароль соответствует какому-то понятию, включенному в подобный словарь, взломать его будет несложно.

Разрешено ли повторно использовать пароль? Лучше создать новый пароль, потому что, получив доступ к одному паролю на ресурсе со слабой защитой, злоумышленник сможет использовать этот пароль на других аккаунтах пользователя.

Не меняйте пароли перед поездками или отпуском, потому что в случае возникновения проблем можно не вспомнить что и как менялось. Воспользуйтесь процедурой восстановления пароля.

Длина — это главное

В отличие от многих других случаев, для пароля длина — это главное. Пароли длиной до шести символов включительно, составленные из 95 ASCII-символов (26 букв латинского алфавита в обоих регистрах, 10 цифр и 33 служебных символов), взламываются методом полного перебора («грубой силы») на обычном персональном компьютере при помощи «числодробилки» современной видеокарты буквально за считанные минуты. Но добавление даже одного–двух символов уже серьёзно усложняет задачу, удлиняя время перебора до нескольких дней и даже месяцев.

Однако длина — пусть и главный, но далеко не единственный критерий оценки стойкости пароля. Принципиальное значение имеет отсутствие какого-то предсказуемого шаблона в самом наборе и неслучайности в последовательности символов пароля. Мера непредсказуемости появления таких символов носит название «информационной энтропии», и эта величина, рассчитываемая в битах энтропии, позволяет со значительной степенью точности оценить сложность пароля. Так, энтропия на один символ для пароля из всех ASCII-символов составит порядка 6,56 бит; таким образом, сложность 6-символьного пароля будет составлять 39,36 бита энтропии, 7-символьного — уже 45,95 бит, а 8-символьного — 52,48 бит.

Чтобы взломать пароль 52-битной сложности методом перебора, потребуется количество попыток, равное 2 в 52-й степени. При использовании пары современных видеокарт класса GeForce GTX 570, способных подбирать по 1,5 миллиарда паролей в секунду, перебор всех возможных комбинаций займёт примерно пару месяцев непрерывной работы, что, в общем, и даёт представление о стойкости такого пароля.

Однако это касается исключительно паролей, не содержащих каких-то предсказуемых шаблонов, то есть сгенерированных машинно, с теоретически максимальной энтропией. Для поведения же человека типична предсказуемость, поэтому при составлении пароля он подсознательно будет использовать какие-то знакомые сочетания и комбинации цифр, символов и букв. Непроизвольно вспоминаются памятные даты, дни рождения, имена дорогих людей, названия знакомых мест и предметов.

На деле это означает значительно большую уязвимость, поскольку метод «грубого подбора» всегда применяется в комбинации с другими способами взлома, в частности со словарным подбором. При этом использование известных масок и шаблонов значительно упрощает задачу. Помимо обычных словарей и словарей реальных пользовательских паролей, «утёкших» со взломанных сайтов, широко известны маски на подстановку отдельных букв или добавление чисел, популярные числовые последовательности — шаблоны дат, телефонов, индексов, номеров социального страхования, а также многие другие уловки, напрасно кажущиеся их авторам чрезвычайно оригинальными.

По оценкам Национального института стандартов и технологий США (NIST), энтропия первого символа из букв нижнего регистра и цифр в паролях, придуманных человеком, составляет 4 бита, последующих семи — 2 бита, а применение верхнего регистра и служебных символов добавляет ещё 6 битов, что в сумме даёт всего 24 бита, то есть в два с лишним раза меньше по сравнению с теоретическим максимумом для заданного набора символов и длины. То есть время подбора такого пароля даже методом «грубой силы» уменьшается вдвое, в реальности же «гибридная» атака позволит злоумышленнику добиться успеха намного быстрее.

И здесь мы снова возвращаемся к длине: сложность пароля длиной 14 символов теоретически составит 91,84 бита, а длиной 20 символов — уже 131,2 бита, и на взлом таких паролей только методом перебора при существующих вычислительных мощностях уйдёт несколько десятков, а то и сотен лет. Гибридные методики, разумеется, значительно снижают стойкость подобных кодов, а «человеческий фактор» делает их ещё уязвимее. Тем не менее длина делает своё дело: для обычного пользовательского пароля, даже если в нём есть не слишком явные шаблоны, рекомендуемое количество символов на сегодня должно быть не менее 14. Такой пароль будет намного безопасней, чем «суперстойкие» когда-то пароли из 6–8 символов.