КАК ПРИДУМАТЬ ПАРОЛЬ?

Пароль — это строка символов, которая используется для подтверждения личности пользователя во время процесса аутентификации. Обычно этот набор знаков используется вместе с именем (логином или электронным адресом) пользователя. Именно пароли позволяют пользователям сайтов и сервисов, а также владельцам гаджетов, получать доступ к определенному функционалу или к своим устройствам, а следовательно, к личным данным.

О чем идет речь?

• Зачем нужны пароли?
• Типичные ошибки при создании пароля
• Основные способы взлома пароля и как предотвратить это
• Как придумать пароль?
• Для чего использовать менеджер паролей?
• Как проверить надежность пароля?
• Выводы

Зачем нужны пароли?

Казалось бы, вопрос аутентификации личности касается только цифровой современности. Мы постоянно сталкиваемся с необходимостью защитить личную информацию, рабочие данные, ценные файлы и важные документы. Даже бонусные баллы и адреса доставки в личном кабинете интернет-магазина не могут разглашаться посторонним лицам. Об этом свидетельствует политика конфиденциальности почти любого веб-ресурса.

Однако на самом деле пароли использовались и в древности. Стражи требовали назвать кодовое слово от прибывших на определенную территорию. Знание такого вербального ключа представляло собой своеобразный билет для лица или группы людей.

Когда возникла вычислительная техника, начали использоваться пароли в современном понимании слова. Первой компьютерной системой, которая реализовала вход с помощью пароля, была операционная система Compatible Time-Sharing System (CTSS) (Массачусетский технологический институт, 1961 г.).

Сейчас имена пользователей и пароли используются при входе фактически в любую систему. Это и мобильный банкинг и в целом функционал смартфона, планшета или ПК, и банкоматы и терминалы, и многочисленные приложения, социальные сети, программы, онлайн-сервисы и сайты. Среднестатистический потребитель использует пароли для получения электронной почты, доступа к рабочему программному обеспечению, оплаты счетов и др.

Как правило, чем более масштабной является компания, тем более строгие требования она ставит к безопасности данных пользователей. Иногда настолько строгие, что сам пользователь не в состоянии вернуть свой доступ.

Типичные ошибки при создании пароля

В 2013 году компания Google опубликовала список самых популярных среди пользователей поисковой системы паролей. Поскольку угадать их очень просто, использовать такие распространенные комбинации символов небезопасно.

• Имя ребенка или другого члена семьи.
• Кличка домашнего животного.
• Важная дата.
• Место рождения.
• Название любимого праздника.
• Слово, связанное с любимой спортивной командой.
• И, казалось бы, самый нелепый, однако тоже довольно популярный вариант — «пароль».

В список популярных и абсолютно ненадежных паролей вошли также «qwerty», «qwertyui» и «123456». Последним сейчас пользуется около 23 миллионов владельцев учетных записей.

Чтобы попасть в цель и определить, например, дату рождения, имя ребенка или кличку домашнего любимца, злоумышленники проводят исследования личности в социальных сетях.

Хотя записывание доступов на бумаге считается не слишком безопасным методом, это лучше, чем хранение их в отдельном файле на компьютере, в заметках на телефоне, или, тем более, рассылка в мессенджерах или по электронной почте.

«Иногда для распространения паролей используют электронную почту, но это, как правило, опасный метод. Поскольку большинство электронных писем отправляется в виде открытого текста, сообщение, содержащее пароль, может быть прочитано без усилий во время транспортировки любым подслушивающим устройством. Кроме того, сообщение хранится в виде открытого текста как минимум на двух компьютерах: у отправителя и получателя. Если оно проходит через промежуточные системы во время своего путешествия, оно, вероятно, будет храниться и там, по крайней мере некоторое время, и может быть скопировано в резервную копию, кэш или файлы истории на любой из этих систем».— «Password», Wikipedia

Согласно исследованиям, подавляющее большинство паролей составляют наборы символов объемом от 6 до 10 знаков, среди них преобладают те, что образованы исключительно из строчных букв или только из цифр.

Основные способы взлома пароля и как предотвратить это

Разработчики компьютерных систем стараются способствовать защищенности пользовательских данных. Распространенной практикой является визуальное сокрытие паролей во время их ввода. Это предотвращает запоминание пароля посторонними лицами, однако в то же время увеличивает вероятность ошибок, сделанных из-за стресса или невнимательности самими пользователями. Многие предпочитают слабые пароли, поскольку боятся забыть сложную комбинацию символов или ввести ее неправильно в режиме скрытия. В таком случае необходима функция показа введенного пароля.

Некоторые системы устанавливают тайм-аут после определенного количества неудачных попыток ввода пароля. Другим подобным способом защиты данных от профессиональных взломщиков является ограничение общего количества возможных угадываний. Например, после 5-ти неправильно введенных кодов система требует смены пароля, о чем оповещает пользователя с помощью SMS или электронного письма.

Большое количество современных сервисов используют двухфакторную авторизацию. Для входа в такую систему нужно вводить код, который владелец пароля получает на свой телефон в виде SMS-оповещения.

Конечно, лучшим способом защитить что-либо в цифровом формате является использование различных паролей для каждого сайта, сервиса или гаджета. И если взлом все-таки произойдет, под угрозой будет ограниченный объем информации. То есть, если хакер войдет в ваш личный кабинет на образовательной платформе, он не сможет сразу после этого воспользоваться вашими кредитными карточками.

Как придумать пароль?

В своей статье «Запоминаемость и безопасность паролей» Джефф Ян и его коллеги исследовали действенность распространенных советов пользователям по правильному выбору пароля. По мнению ученых, эффективным решением является создание паролей на основе первых букв или фрагментов фраз.

«Пользователи должны быть проинструктированы по выбору мнемонических паролей, поскольку они так же хорошо запоминаются, как и наивно подобранные пароли, но их так же трудно угадать, как и случайно выбранные. Таким образом, они являются лучшими по сравнению с обоими другими вариантами». «The memorability and security of passwords — some empirical results», — Джефф Ян и др.

Следует помнить, что чем легче владельцу запомнить пароль, тем проще злоумышленнику его угадать. Другая сторона медали такова, что пароли, которые очень трудно запомнить, могут уменьшать безопасность системы, поскольку пользователям может понадобиться зафиксировать такой набор символов в электронном виде или на бумаге. Кроме этого, вероятно, им придется часто менять пароль и повторно использовать его для различных учетных записей. Поэтому слишком сложные правила генерирования пароля будут лишними. А среди многих факторов чаще всего специалисты выделяют длину пароля. Его объем должен быть не менее 8 знаков, и это правило точно нельзя игнорировать.

Вы можете придумать пароль на основе первых букв крылатой фразы или стихотворения и цифр без привязки к конкретной дате или важного для вас числа. Эффективным считается метод создания секретного «ключа» по формуле, которая состоит из 4-х частей.

1. Слово, которое легко записывается латиницей и содержит не менее 5 символов. Для примера португальское «saudade» — эмоциональное состояние, подобное ностальгии.
2. Комбинация из нескольких цифр, желательно разных и в неправильной последовательности.
3. Первые 3-4 символа названия сайта или сервиса, который используется.
4. Любой спецсимвол, например, «#» или «?».

После этого вы можете расположить компоненты пароля в любом порядке, в частности, разорвав слово специальным символом или цифрой.

Например:

saudade + 42 + goo (от Google) + ? = sa?udade42goo

Пароль, созданный по аналогии с «sa?udade42goo», является достаточно понятным для пользователя, но достаточно сложным, к тому же, он уникален за счет частицы названия сайта или сервиса.

«Согласно исследованию Carnegie Mellon, самым большим фактором, определяющим надежность вашего пароля, является его длина. Цифры, большие буквы и специальные символы — это все бонусы, но короткий пароль, который использует все эти трюки, все равно будет гораздо легче взломать, чем длинный пароль с настоящими словами». «The Easy Way to Make Strong Passwords», — Suzanne Kantra

Известно, что среднестатистический современный интернет-пользователь имеет около 100 паролей. Конечно, пользуется он не всеми одновременно, большинство может быть создано для одноразового использования определенной программы или сервиса, например, его демо-версии.

Но лучше 100 записанных в блокноте паролей, чем один и тот же для всех сайтов и приложений. Утечка данных в одной учетной записи может привести к потере доступов к другим, а также привести к более серьезным последствиям, в частности, получение преступниками доступа к банкинговым системам и оформление на имя пользователя кредитов.

Одним из самых удобных и наиболее надежных решений является использование менеджеров паролей. В этом случае вам придется удачно придумать и запомнить только главный пароль менеджера паролей. О других доступах позаботится ваш электронный сейф, то есть специализированная программа или сервис.

Для чего использовать менеджер паролей?

Менеджер паролей — это инструмент, который сохраняет любое количество паролей пользователя в безопасном цифровом облачном хранилище. Благодаря этому исчезает необходимость запоминать их или записывать на бумаге.

Для создания такого хранилища нужно установить мобильное приложение, загрузить на компьютер соответствующую программу или включить расширение для браузера. После этого для доступа к диспетчеру паролей понадобится единый мастер-пароль. О том, как его создать, пойдет речь в следующей части статьи.

Рассмотрим преимущества менеджера паролей:

• Доступ к паролям из любого места. Синхронизация данных позволяет владельцам менеджеров паролей пользоваться доступами с разных устройств и работать в разных операционных системах.
• Экономия времени за счет автозаполнения форм на сайтах, анкет, опросов и др.
• Возможность просмотра и оценки уровня надежности паролей. Например, в менеджере паролей от Google все пароли пользователя содержатся в разделе «Автозаполнение».
• Получение предупреждений о фишинговых сайтах. Довольно часто ссылки на вредоносные веб-ресурсы содержатся в спамовых электронных письмах, которые без диспетчера паролей трудно отличить от законных сообщений.
• Проверка паролей для сайтов и приложений.

Например, если вы ранее создавали пароли самостоятельно, впоследствии синхронизировав их с менеджером Google, система определит сломанные, повторно использованные и ненадежные пароли.

Как проверить надежность пароля?

Для проверки качества пароля существуют различные сервисы, одним из которых является Security.org.

Попробуем с его помощью оценить надежность банального «qwerty». Видим, что этот набор символов будет взломан мгновенно.

Несколько иной результат дала проверка еще одного очень простого пароля — имени пользователя «ksenia». Компьютер отгадает его всего за 7 миллисекунд, что не слишком отличается от предыдущего результата.

Добавив цифры, мы получили пароль «ksenia2420», который, согласно анализу Security.org, компьютер может взломать за 1 день.

Специалисты не советуют использовать в качестве кодов доступа редкие слова. Например, то же «saudade» отгадывается компьютером за 200 миллисекунд.

А теперь попробуем проверить пароль «sa?udade42goo», сгенерированный по описанной выше в статье формуле. На его взлом компьютеру понадобится немало времени — 33 тысячи лет.

Выводы

Паролем называют уникальный код доступа, секретный набор символов, который служит для подтверждения личности пользователя перед входом в определенную систему. Это может быть мобильное приложение, банкинг, аккаунт в социальной сети или личный кабинет в интернет-магазине. На сегодня интернет-пользователь может иметь около 100 паролей, и конечно, запомнить все — нереально.

Придумать один пароль и использовать его для различных сайтов и сервисов — это плохая идея. Если взломают один аккаунт, такая же судьба ждет и другие. Поэтому советуем придерживаться правила: «Один аккаунт — один пароль».

Чтобы не придумывать пароли самостоятельно и не записывать их в блокноте или, еще хуже, в заметках на телефоне, используйте менеджер паролей. В таком случае придется с помощью собственной формулы создать единый «мастер-пароль» и запомнить его.

Ответы на вопросы