Как придумать и хранить надёжные пароли
Как составить надёжный пароль, где его безопасно хранить и какие ошибки чаще всего приводят к взлому аккаунтов. Обзор менеджеров паролей.
Пароль часто остаётся единственной преградой между чужими людьми и вашей почтой, банковским приложением или соцсетями. Многие годами используют один и тот же набор символов на всех сайтах или пароль вроде даты рождения, а потом удивляются, откуда взялся взлом аккаунта. Разберёмся, из чего на самом деле складывается надежный пароль, как придумать надежный пароль так, чтобы не забыть его через неделю, и где хранить пароли, если их набралось несколько десятков.
Коротко о главном
Надёжный пароль это минимум 12 знаков без связи с личными данными и свой для каждого сайта: повтор одного пароля и есть главная причина взломов через утечки баз. Проще запомнить фразу из нескольких случайных слов, а десятки паролей отдать менеджеру, который заодно предупредит о повторах. Двухфакторная аутентификация спасает даже при утёкшем пароле.
- Длина пароля важнее набора символов: от 12 знаков и без связи с личными данными.
- Один пароль на несколько сайтов - главная причина массовых взломов через утечки баз данных.
- Пароль из нескольких случайных слов запомнить проще, чем случайный набор символов, а по надёжности он не уступает.
- Менеджер паролей снимает необходимость держать в голове десятки паролей и сам предупреждает о повторах.
- Сохранённые в браузере пароли можно посмотреть в разделе "Пароли и автозаполнение" в настройках.
- Двухфакторная аутентификация защищает аккаунт, даже если пароль всё-таки узнали посторонние.
- При подозрении на утечку сначала стоит проверить компьютер на вирусы, а потом менять пароли.
Из чего складывается надёжный пароль
Длина пароля значит больше, чем набор символов. Пароль из 16 обычных букв взломать перебором на порядки сложнее, чем пароль из 8 символов с цифрами и спецсимволами, хотя второй выглядит "сложнее" на вид. Современные программы для подбора паролей проверяют миллиарды комбинаций в секунду на обычном игровом компьютере, и короткие пароли, даже с цифрами и знаками препинания, вскрываются за часы или минуты.
Надёжный пароль строится на трёх вещах: длина от 12 символов, отсутствие связи с личными данными (имена, даты, город) и уникальность для каждого сайта. Символы разных регистров, цифры и спецсимволы всё ещё полезны, но не заменяют длину. Пароль "Tr7!" короткий и слабый, даже если в нём есть заглавная буква, цифра и восклицательный знак.
Частые ошибки при составлении пароля
Самая частая ошибка - использовать один и тот же пароль на нескольких сайтах. Если один из сервисов взломают (а утечки баз данных случаются регулярно, даже у крупных компаний), украденную пару логин-пароль тут же попробуют подставить в почту, соцсети и интернет-банк. Именно так чаще всего взламывают аккаунты, а не подбором пароля вручную.
Вторая ошибка - предсказуемые замены букв на похожие символы. "password" на "p@ssw0rd" программы для взлома паролей знают точно так же, как и обычные словарные слова, потому что это одна из первых вещей, которую проверяют. То же касается клавиатурных паттернов вроде "qwerty123" или "1qaz2wsx".
Третья ошибка - использовать в пароле имена детей, клички питомцев, дату рождения или номер телефона. Эта информация часто есть в открытом доступе в соцсетях, и подобрать такой пароль иногда можно вообще без программ, просто зная человека.
Как придумать пароль, который легко запомнить?
Самый рабочий способ - собрать пароль из нескольких случайных слов, не связанных друг с другом по смыслу. Например, "жираф-подвал-суббота-42" длиннее и надёжнее, чем "P@ssw0rd!", и при этом его реально запомнить, потому что мозг легче держит образы и истории, чем случайный набор символов.
Ещё один вариант - взять первые буквы строчки из песни или фразы, которую вы точно не забудете, и разбавить её цифрами и знаками препинания на свой вкус. Фраза "Мой кот съел три рыбы в 2019 году" превращается в "Мкст3рв2019г": выглядит случайно, а вспомнить несложно, если знать принцип.
Важно не путать "легко запомнить" с "легко угадать". Пароль, который имеет смысл только для вас лично и нигде не фигурирует целиком, ни в соцсетях, ни в разговорах, одновременно и запоминается, и остаётся стойким к подбору.
Менеджеры паролей: как выбрать и чем они удобны
Держать в голове полсотни уникальных сложных паролей нереально, и здесь на помощь приходит менеджер паролей. Это программа, которая хранит все пароли в зашифрованном виде и раскрывает их только после ввода одного мастер-пароля. Дальше она сама подставляет нужный пароль на нужном сайте и может сгенерировать новый случайный пароль одним нажатием, то есть заодно работает как генератор паролей.
При выборе менеджера паролей стоит смотреть на шифрование данных на самом устройстве, а не только на сервере компании, на синхронизацию паролей между телефоном и компьютером и на историю сервиса: не было ли у него громких утечек. Встроенные менеджеры браузеров (Chrome, Firefox, Яндекс Браузер) и системные вроде связки ключей на Mac подходят для базовых нужд и бесплатны. Отдельные приложения обычно добавляют аудит слабых паролей, безопасный обмен доступом с семьёй и хранение не только паролей, но и другой личной информации.
Кстати, если нужно защитить паролем не учётную запись, а конкретную папку или архив с файлами на компьютере, это делается иначе и без менеджера паролей: разбор, как поставить пароль на папку, пригодится, если вы храните дома документы или фотографии, которые не должны увидеть посторонние.
Как посмотреть уже сохранённые пароли в браузере?
Иногда нужно не создать новый пароль, а вспомнить старый, который браузер давно запомнил сам. В Chrome и Яндекс Браузере это делается через настройки: раздел "Пароли и автозаполнение", затем "Менеджер паролей". Там открывается список всех сайтов, а пароль конкретного сайта показывается по клику на значок глаза, обычно после подтверждения входа в систему или отпечатком пальца.
В Firefox то же самое находится в разделе "Логины и пароли" в настройках. На телефоне список хранится в системном приложении: на iPhone это приложение "Пароли", на Android - менеджер паролей Google, встроенный в настройки аккаунта. Если доступа к самому устройству нет, а пароль нужен только на одном конкретном сайте, проще воспользоваться функцией восстановления пароля на самом сайте, чем пытаться вытащить его из чужого браузера.
Двухфакторная аутентификация как дополнительная защита
Даже самый надёжный пароль может утечь: из-за фишингового сайта, вредоносной программы на компьютере или утечки базы данных у самого сервиса. Двухфакторная аутентификация добавляет второй барьер. После ввода пароля сайт запрашивает ещё и одноразовый код, который приходит в SMS, в приложении-аутентификаторе или на физический ключ. Без этого кода войти в аккаунт не получится, даже если пароль уже известен злоумышленнику.
Двухфакторную аутентификацию стоит включить в первую очередь на почте, потому что через неё обычно можно сбросить пароли от всех остальных сервисов, и в банковских приложениях. Приложения-аутентификаторы вроде Google Authenticator или Яндекс Ключа надёжнее SMS: SMS теоретически можно перехватить через подмену сим-карты, а код в приложении привязан к конкретному устройству.
Как часто менять пароли и когда это действительно нужно?
Раньше повсеместно советовали менять пароли каждые три месяца, но эта рекомендация устарела. Если пароль длинный, уникальный для каждого сайта и не засветился ни в одной утечке, менять его без причины не нужно. Частая смена только заставляет людей использовать более простые пароли, которые проще запомнить, а это снижает общую безопасность, а не повышает её.
Менять пароль стоит в трёх случаях: сервис официально сообщил об утечке данных, вы вводили пароль на чужом или подозрительном устройстве (например, в интернет-кафе), либо вы подозреваете, что за компьютером кто-то мог подсмотреть ввод. Для самых важных аккаунтов, вроде почты и интернет-банка, разумно менять пароль раз в полгода просто по привычке, даже без конкретного повода.
Что делать, если пароль мог утечь?
Первым делом стоит сменить пароль на том сайте, где произошла утечка, и на всех остальных сервисах, где использовался тот же пароль. Проверить, попадал ли ваш email в известные утечки, можно на специальных сайтах-агрегаторах, которые собирают базы скомпрометированных данных.
Если пароль ввели на подозрительном сайте или после этого на компьютере началось странное поведение (реклама там, где её быть не должно, замедление работы, незнакомые программы в автозагрузке), есть смысл сначала проверить компьютер на вирусы и только потом менять пароли. Если на устройстве сидит кейлоггер, новый пароль утечёт тем же способом, что и старый.
Отдельно стоит включить уведомления о входе в аккаунт, если сервис это поддерживает: письмо или push с новым устройством или незнакомым городом позволяет заметить взлом раньше, чем злоумышленник успеет что-то сделать с аккаунтом.
Часто задаваемые вопросы
Как посмотреть свои сохранённые пароли в браузере? В Chrome и Яндекс Браузере откройте настройки, раздел "Пароли и автозаполнение", затем "Менеджер паролей": там виден список сайтов, а пароль каждого показывается по клику на значок глаза после подтверждения входа в систему. В Firefox то же самое находится в разделе "Логины и пароли", на телефоне список хранится в системном приложении "Пароли" на iPhone или в менеджере паролей на Android.
Обязательно ли использовать менеджер паролей? Не обязательно, но для десятков разных сайтов это заметно удобнее и безопаснее, чем помнить всё самому или хранить пароли в заметках. Менеджер шифрует данные, сам подставляет пароль на нужном сайте и предупреждает о повторах. Запомнить нужно только один мастер-пароль.
Как часто нужно менять пароли? Без причины часто менять пароль смысла нет, если он длинный и уникальный для каждого сайта. Менять стоит сразу, если сервис сообщил об утечке данных, если пароль вводился на чужом или подозрительном устройстве, а также для самых важных аккаунтов вроде почты и банка - примерно раз в полгода.
Можно ли использовать один пароль для нескольких сайтов? Лучше не использовать: если один из сайтов взломают, украденную пару логин-пароль сразу попробуют подставить на почте, в соцсетях и в интернет-банке. Для каждого сервиса нужен свой пароль, а запомнить их все помогает менеджер паролей.
Что делать, если забыл мастер-пароль от менеджера? У большинства менеджеров есть резервный код восстановления, который выдаётся при создании хранилища, и его стоит сохранить отдельно на бумаге или в другом надёжном месте. Без мастер-пароля и кода восстановления доступ к зашифрованному хранилищу теряется навсегда, поэтому его нельзя нигде записывать в открытом виде.
