Як створити надійний випадковий пароль (і насправді його запам'ятати)

Більшість паролів не можна зламати завдяки блискучому вгадуванню. Вони пошкоджені, тому що вони короткі, повторно використовуються або побудовані за передбачуваними шаблонами. Надійний випадковий пароль повністю видаляє шаблон.

Ключові висновки

• Випадковість має більше значення, ніж розумні правила заміни.
• Довжина - це найлегший спосіб додати сили.
• Використовуйте унікальний пароль для кожного облікового запису.
• Зберігайте паролі в менеджері паролів, а не в пам’яті чи електронній таблиці.
• Увімкніть двофакторну автентифікацію, де вона доступна.

Чому вибрані людиною паролі не працюють

Люди добре знаходять закономірності, але погано вміють бути непередбачуваними. Загальні варіанти групуються навколо імен, дат, спортивних команд, клавіатурних ходів і тих самих замін: a стає @, o стає 0, а в кінці з’являється знак оклику.

Нападникам відомі ці звички. Вони використовують словники витоку паролів, правила, які розширюють ці словники, і швидке обладнання. Такий пароль, як Summer2026! може здатися складним, але він слідує шаблону, який очікують інструменти злому паролів.

Випадкова генерація дозволяє уникнути проблеми шаблону. Замість того, щоб просити людину винайти непередбачуваність, генератор витягує символи з визначеного набору, використовуючи безпечне випадкове джерело. Результат може бути складніше запам’ятати, тому менеджер паролів є частиною робочого процесу.

Ентропія: число, яке має значення

Ентропія вимірює невизначеність у бітах. Якщо пароль вибрано однаково з набору можливостей, його ентропія дорівнює логарифму за основою 2 кількості можливостей. Чотиризначний PIN-код має приблизно 13 біт ентропії. Випадковий 16-символьний пароль, складений із 94 друкованих символів, має набагато більше.

Ентропія - це не те саме, що довжина. Пароль із 20 символів, складений із передбачуваної фрази, може мати меншу реальну ентропію, ніж випадковий пароль із 12 символів. Важливо те, скільки однаково вірогідних варіантів повинен розглянути зловмисник.

Для більшості онлайн-облікових записів довільний пароль щонайменше з 16 символів є надійним за замовчуванням. Двадцять або більше символів краще, якщо сервіс це дозволяє. Точний поріг залежить від моделі загрози та обмежень швидкості служби, але довші випадкові рядки рідко є поганою ідеєю.

Довжина проти складності

Політика паролів часто вимагає використання великих і малих літер, цифр і символів. Ці правила можуть допомогти, але довжина робить більше роботи. Кожен додатковий випадковий символ збільшує простір пошуку. Збільшення набору символів також допомагає, але ефект від додавання одного символу зазвичай більший і про нього легше міркувати.

Практичний підхід полягає у використанні найдовшого пароля, який приймає служба, із сумішшю типів символів. Якщо довжина сайту обмежена 12 символами, використовуйте повну довжину та включайте всі дозволені типи символів. Якщо він приймає 64 символи, не зупиняйтеся на 12.

Схожі символи та зручність використання

Такі символи, як 0 і O або 1, l і I, легко сплутати, коли пароль читається вголос або вводиться з екрана. Багато генераторів пропонують опцію виключення подібних. Це трохи зменшує набір символів, але робить введення вручну менш схильним до помилок.

Зручність використання є частиною безпеки. Пароль, який так важко ввести, що хтось пише його на клейкій нотці, не допомагає. Використовуйте менеджер паролів, щоб копіювати та вставляти паролі, а також зарезервувати введені вручну паролі для кількох місць, де автозаповнення недоступне.

Парольні фрази для людей, випадкові рядки для машин

Парольна фраза, складена з кількох навмання вибраних слів, може бути одночасно сильною та такою, що запам’ятовується. П’ять-сім слів із великого списку слів можуть забезпечити значну ентропію, особливо коли слова вибрано однаково і список великий.

Використовуйте парольну фразу для головного пароля, який потрібно запам’ятати. Використовуйте довгі випадкові рядки для окремих облікових записів, які зберігаються в менеджері паролів. Це поєднує людську пам’ять із унікальністю, створеною машиною.

Зберігання, повторне використання та двофакторна автентифікація

Надійний пароль є лише частиною безпеки облікового запису:

• Використовуйте надійний менеджер паролів із надійним головним паролем.
• Згенеруйте унікальний пароль для кожного облікового запису.
• Увімкніть двофакторну автентифікацію, бажано за допомогою апаратного ключа або програми автентифікації.
• Зберігайте коди відновлення в безпечному та автономному місці.
• Негайно змініть пароль, якщо служба повідомляє про порушення.

Повторне використання пароля перетворює одне порушення на багато. Менеджер паролів робить унікальні паролі практичними, оскільки вам потрібно лише запам’ятати головний пароль.

Як працює генератор паролів на цьому сайті

Генератор використовує crypto.getRandomValues() і працює повністю у вашому браузері. Він об’єднує вибрані вами набори символів, рівномірно малює та оцінює кінцеву ентропію. Він нікуди не надсилає пароль.

Така конструкція зменшує ризик: немає журналу паролів на стороні сервера та мережевого запиту, що містить секрет. Решта ризиків є локальними, наприклад зловмисне програмне забезпечення або скомпрометований пристрій. Слідкуйте за оновленнями операційної системи та браузера та уникайте створення паролів на пристрої, якому ви не довіряєте.

Підсумок

Надійний пароль довгий, випадковий, унікальний і надійно зберігається. Правила складності вторинні. Згенеруйте за допомогою безпечного джерела, збережіть результат у менеджері паролів і додайте другий фактор. Ці звички роблять для вашої безпеки більше, ніж будь-яка окрема розумна заміна персонажа.