Как придумать надёжный пароль: длина, парольные фразы и 2FA
Как придумать надёжный пароль по актуальным рекомендациям NIST и CISA: длинный, уникальный и случайный, парольная фраза, менеджер паролей и двухфакторная защита.
Эта инструкция носит общий информационный характер и не является профессиональной финансовой, юридической или технической консультацией. Меню и правила могут отличаться в зависимости от устройства и страны.
Надёжный пароль — длинный, случайный и используется только для одного аккаунта. Актуальные рекомендации госорганов США ставят длину выше сложности: CISA советует пароли не короче 16 символов — например, случайную строку из менеджера паролей или парольную фразу из 5–7 не связанных между собой слов.
Длина и уникальность гораздо важнее, чем замена букв символами. Включите многофакторную аутентификацию (MFA) для важных аккаунтов — и вы будете защищены, даже если пароль утечёт.
Коротко
- Делайте пароль длинным: не меньше 16 символов. Чем длиннее, тем надёжнее.
- Делайте его уникальным: для каждого аккаунта — свой пароль.
- Делайте его случайным: пусть пароль сгенерирует менеджер паролей, или используйте парольную фразу из 5–7 не связанных слов.
- Забудьте старые правила: обязательные спецсимволы и регулярная смена пароля не нужны. Меняйте пароль, если он мог попасть в чужие руки.
- Пользуйтесь менеджером паролей, чтобы создавать, хранить и автоматически подставлять пароли.
- Включите MFA для почты, банка, медицинских сервисов и других важных аккаунтов.
Что делает пароль надёжным?
Злоумышленники редко подбирают пароли вручную. Они используют программы, которые перебирают огромные списки популярных паролей, утёкших паролей и предсказуемых шаблонов. Надёжный пароль побеждает такие программы за счёт трёх свойств.
- Длина. Каждый дополнительный символ многократно увеличивает число возможных комбинаций. Поэтому и NIST, и CISA делают упор на длину.
- Случайность. Слова, имена, даты и раскладочные шаблоны вроде «qwerty» злоумышленники проверяют в первую очередь. Действительно случайный выбор взломать гораздо сложнее.
- Уникальность. Когда сайт взламывают, преступники пробуют украденные адрес почты и пароль на других сайтах. Если вы используете один пароль повторно, одна утечка может открыть доступ ко многим аккаунтам.
Что говорят актуальные рекомендации
Национальный институт стандартов и технологий США (NIST) разрабатывает правила для паролей, которым следуют многие организации. Согласно его рекомендациям по цифровой идентификации, сервисы должны:
- Требовать пароли не короче 15 символов, если пароль — единственный способ входа, или не короче 8 символов, если он используется вместе с MFA.
- Разрешать пароли длиной не менее 64 символов.
- Не требовать обязательного сочетания типов символов вроде «одна заглавная буква, одна цифра, один спецсимвол».
- Не требовать регулярной смены пароля, но требовать смену, если есть признаки того, что пароль скомпрометирован.
- Проверять новые пароли по спискам популярных или ранее утёкших паролей.
- Разрешать менеджеры паролей, автозаполнение и вставку пароля.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) даёт похожие советы обычным пользователям: не меньше 16 символов, разные пароли для каждого аккаунта и менеджер паролей, который сделает всю работу за вас.
Как придумать надёжный пароль: пошагово
Вариант 1: пусть пароль сгенерирует менеджер паролей (лучший способ)
- Выберите надёжный менеджер паролей. Он встроен во многие браузеры и телефоны, есть и отдельные приложения.
- Защитите менеджер длинным уникальным мастер-паролем или парольной фразой и включите для него MFA.
- Когда создаёте аккаунт или меняете пароль, используйте функцию менеджера «сгенерировать пароль».
- Установите длину не меньше 16 символов. Если сайт позволяет, делайте ещё длиннее.
- Сохраните пароль в менеджере. В следующий раз он подставит пароль сам, так что запоминать его не придётся.
Вариант 2: придумайте запоминающуюся парольную фразу
Этот способ подходит для тех немногих паролей, которые приходится вводить по памяти, — например, для входа в компьютер или мастер-пароля менеджера паролей.
- Выберите 5–7 не связанных между собой слов. Чем случайнее, тем лучше. Не используйте строчки из песен, цитаты и всё, что связано с вами.
- Слова, выбранные случайным образом (например, бросая кубики по списку слов или открывая словарь на случайных страницах), надёжнее, чем слова, которые просто «кажутся» случайными.
- Соедините их вместе — с пробелами, разделителем или без них, если сайт позволяет: например, фонарь-гравий-устрица-тундра-огурец. (Не используйте этот пример — он теперь общедоступен.)
- Проверьте, что длина не меньше 16 символов. Большинство фраз из пяти слов легко проходят эту планку.
- Используйте фразу только для одного аккаунта.
Вариант 3: усильте уже существующий слабый пароль
- Начните с самых важных аккаунтов: почты, банка и любого аккаунта, через который можно сбросить пароли от других.
- Замените короткие или повторяющиеся пароли сгенерированным паролем или новой парольной фразой.
- Раз уж вы в настройках безопасности аккаунта, сразу включите MFA.
- Постепенно пройдитесь по остальным аккаунтам, используя список повторяющихся или слабых паролей в менеджере паролей как список дел.
Слабые и надёжные пароли
| Тип пароля | Пример шаблона | Надёжность | Почему |
|---|---|---|---|
| Популярное слово с заменами | P@ssw0rd1 | Слабый | Короткий и есть в списке у каждого злоумышленника |
| Имя или дата | Имя + год рождения | Слабый | Легко найти в соцсетях |
| Короткий случайный набор | 8 случайных символов | Средний | Трудно угадать, но слишком короткий по современным меркам |
| Парольная фраза | 5–7 случайных не связанных слов | Надёжный | Длинный и запоминающийся |
| Сгенерированная случайная строка | 16+ случайных символов | Самый надёжный | Длинный, случайный и хранится за вас |
В таблице приведены шаблоны, а не настоящие пароли. Никогда не используйте пароли-примеры с каких-либо сайтов.
Включите многофакторную аутентификацию (MFA)
MFA добавляет второй шаг при входе, поэтому одного украденного пароля уже недостаточно. CISA рекомендует включить её для почты, банка, медицинских сервисов и других важных аккаунтов. Почта — в первую очередь: тот, кто ею управляет, может сбросить все остальные ваши пароли.
Распространённые способы MFA:
- Приложения-аутентификаторы, которые каждые 30 секунд показывают новый код.
- Коды по SMS или электронной почте. Это лучше, чем ничего, но CISA отмечает, что коды в SMS и голосовых звонках уязвимы для фишинга и атак с подменой SIM-карты, поэтому используйте их только в крайнем случае.
- Биометрия — например, отпечаток пальца или распознавание лица.
- Вход на основе FIDO — например, физический ключ безопасности. CISA называет FIDO/WebAuthn единственным широко доступным способом, устойчивым к фишингу.
Чтобы настроить MFA, найдите в настройках аккаунта раздел «Безопасность» или «Вход» и пункт вроде «двухэтапная проверка» или «многофакторная аутентификация». Сохраните резервные коды в надёжном месте.
Частые ошибки
- Один пароль для нескольких аккаунтов. Это самый большой риск. Одна утечка может раскрыть все аккаунты с этим паролем.
- Надежда на замену символов. Замена «a» на «@» или «1!» в конце — предсказуемые приёмы, и программы для взлома проверяют их автоматически.
- Использование личной информации. Клички питомцев, дни рождения и любимые команды легко найти в интернете.
- Хранение паролей в незащищённой заметке или таблице. Вместо этого пользуйтесь менеджером паролей с шифрованием.
- Передача паролей или кодов MFA. Настоящие компании никогда не просят ваш пароль или код для входа по телефону, в SMS или по почте. Узнайте, как распознать интернет-мошенничество и фишинг.
- Смена паролей по расписанию без причины. NIST больше не рекомендует обязательную периодическую смену: она часто приводит к мелким предсказуемым изменениям. Меняйте пароль, когда есть признаки, что он мог утечь.
Часто задаваемые вопросы
Какой длины должен быть надёжный пароль?
CISA рекомендует не меньше 16 символов, а лучше больше. NIST указывает, что сервисы должны требовать не меньше 15 символов, если пароль — единственный фактор входа. С менеджером паролей пользоваться длинными паролями легко.
Парольные фразы действительно надёжнее сложных паролей?
Длинная фраза из действительно случайных слов обычно надёжнее короткого пароля, набитого спецсимволами, и её гораздо проще запомнить. Длина даёт больше защиты, чем правила сложности.
Нужно ли регулярно менять пароли?
Согласно актуальным рекомендациям NIST, менять пароли по фиксированному графику не нужно. Немедленно смените пароль, если сервис сообщил об утечке, вы заметили подозрительную активность или случайно кому-то его сообщили.
Безопасны ли менеджеры паролей?
Надёжный менеджер паролей, защищённый сильным мастер-паролем и MFA, гораздо безопаснее, чем повторяющиеся пароли или записи на бумаге. К тому же с ним реально использовать уникальный пароль везде.
Что делать, если мой пароль попал в утечку данных?
Сразу смените этот пароль, а также пароли во всех аккаунтах, где вы использовали такой же. Включите MFA и проверьте недавнюю активность в аккаунте. Если аккаунт связан с деньгами, проверьте также выписки.
Безопасно ли разрешать браузеру сохранять пароли?
Встроенные менеджеры паролей в популярных браузерах и телефонах — разумный выбор для многих, особенно если включены блокировка устройства и MFA. Прежде чем очищать кэш браузера, убедитесь, что вы не удаляете заодно сохранённые пароли, без которых не обойтись.