Чи справді ваші паролі надійні? Що більшість людей робить неправильно
Почнімо з незручного запитання: скільки ваших онлайн-акаунтів мають однаковий пароль?
Якщо більше одного — ви не самотні. Дослідження стабільно показують: середньостатистична людина повторно використовує паролі щонайменше для п'яти акаунтів. Багато хто застосовує той самий пароль або незначні його варіації для десятків сервісів. Це один із найбільших ризиків безпеки в мережі — і його цілком можна уникнути.
Реальна небезпека: витоки даних і credential stuffing
Більшість людей уявляє злом як ситуацію, коли хтось цілеспрямовано атакує саме їх і підбирає пароль. Реальність зовсім інша.
Переважна більшість компрометацій акаунтів відбувається через витоки даних. Компанія, у якої є ваш акаунт, зазнає зламу. Базу даних з іменами користувачів і паролями викрадають і публікують у мережі або продають у даркнеті. З великими компаніями це трапляється з лякаючою регулярністю.
Саме тут повторне використання паролів стає катастрофічним. Зловмисники беруть витоклі пари «email + пароль» і автоматично перевіряють їх на сотнях інших сервісів: Gmail, Amazon, банківські сайти, соцмережі. Це називається credential stuffing, і метод спрацьовує, бо стільки людей використовують один пароль скрізь.
Увага Якщо ви використовували той самий пароль для невеликого форуму, який зламали, і для основного поштового акаунта — зловмисник, який отримав базу форуму, тепер має доступ до вашої пошти. А з пошти можна скинути паролі практично від усіх інших ваших акаунтів.
Найпоширеніші помилки з паролями
1. Повторне використання паролів
Це головний гріх безпеки паролів. Коли ви повторно використовуєте пароль, злом одного сервісу компрометує кожен сервіс, де ви застосовували цей пароль.
2. Слабкі паролі
Попри роки кампаній з безпеки, найпоширенішими паролями залишаються вражаюче прості: «123456», «password», «qwerty», «admin» — усі вони ламаються за лічені секунди.
3. Передбачувані шаблони
Багато хто вважає себе хитрим, використовуючи такі прийоми:
- Додавання «1» або «!» в кінці звичайного слова
- Велика перша літера
- Базовий пароль із назвою сайту («MyPassword-facebook»)
- Заміна літер цифрами («p@ssw0rd»)
Зловмисники знають усі ці шаблони. Їхні інструменти спеціально розроблені для перевірки таких варіацій. Пароль, який здається складним людині, може бути тривіальним для автоматичного засобу злому.
4. Використання особистої інформації
Клички тварин, дати народження, річниці, імена дітей, улюблені спортивні команди. Уся ця інформація часто є загальнодоступною в соцмережах. Якщо ваш пароль — «fluffy2019», а ваш Instagram засипаний фото кота з тегом #FluffyTheCat, ви не такий захищений, як думаєте.
5. Не змінювати скомпрометовані паролі
Навіть після повідомлення про злом багато хто не змінює паролі. Це дає зловмисникам широке вікно для використання витоклих облікових даних.
Чи знали ви? Найбільший відомий витік даних розкрив понад 3,2 мільярда комбінацій email і паролів в одному злитті. Є значна ймовірність, що принаймні один ваш пароль уже потрапив у якийсь попередній витік — навіть якщо вам про це не повідомляли.
Що робить пароль надійним?
Надійний пароль має три ключові властивості:
- Довжина. Це найважливіший фактор. 16-символьний пароль злама ти експоненційно складніше, ніж 8-символьний, незалежно від складності.
- Випадковість. Він не має містити словникових слів, імен, дат або помітних шаблонів.
- Унікальність. Він має використовуватися лише для одного акаунта.
Ось як довжина пароля впливає на час злому для випадкового пароля:
| Довжина | Лише малі літери | Змішаний регістр + цифри + символи |
|---|---|---|
| 6 символів | Миттєво | ~5 секунд |
| 8 символів | ~2 хвилини | ~8 годин |
| 12 символів | ~200 років | ~34 000 років |
| 16 символів | ~3 мільйони років | Фактично незламний |
Висновок очевидний: довжина важливіша за складність. 16-символьний випадковий пароль із самих малих літер набагато надійніший за 8-символьний пароль з великими літерами, цифрами та символами.
Рішення: менеджери паролів і унікальні паролі
Найпрактичніший спосіб використовувати надійні, унікальні паролі для кожного акаунта — це менеджер паролів. Він зберігає всі ваші паролі у зашифрованому сховищі, захищеному одним майстер-паролем. Вам потрібно пам'ятати лише один пароль — усе інше менеджер робить сам.
Серед популярних менеджерів паролів — Bitwarden (безкоштовний і відкритий код), 1Password та KeePass. У більшості браузерів також є вбудовані менеджери паролів, які непогано справляються зі своїм завданням.
Як працює менеджер паролів
- При створенні акаунта або зміні пароля менеджер генерує довгий, випадковий пароль.
- Пароль зберігається у вашому зашифрованому сховищі.
- При відвідуванні сайту менеджер автоматично заповнює облікові дані.
- Вам ніколи не потрібно пам'ятати, вводити або навіть бачити окремі паролі.
Почніть діяти сьогодні: два кроки прямо зараз
Не потрібно перебудовувати всю свою цифрову безпеку за один раз. Почніть із двох конкретних дій.
Крок 1: Перевірте, чи не було ваших паролів у витоках
Перш за все дізнайтеся, чи були вже ваші паролі розкриті в результаті відомих витоків даних. Це покаже, які акаунти під безпосереднім ризиком.
Порада Ви можете прямо зараз безкоштовно перевірити, чи є ваші паролі у відомих базах витоків: Перевірити, чи не витік ваш пароль. Перевірка виконується безпечно — ваш повний пароль нікуди не відправляється.
Крок 2: Згенеруйте надійні паролі для найважливіших акаунтів
Почніть з акаунтів, які мають найбільше значення: основна пошта, банк та будь-який акаунт, де зберігається платіжна інформація. Замініть ці паролі на надійні, випадково згенеровані.
Порада Скористайтеся нашим безкоштовним генератором паролів, щоб миттєво створити надійні, унікальні паролі: Згенерувати надійний пароль. Ви можете налаштувати довжину та типи символів відповідно до вимог будь-якого сайту.
Поза паролями: увімкніть двофакторну автентифікацію
Навіть найнадійніший пароль недостатній, якщо сервіс, що його зберігає, зазнає злому. Двофакторна автентифікація (2FA) додає другий рівень захисту: після введення пароля вам потрібно також надати код із телефону, застосунку-автентифікатора або фізичного ключа безпеки.
Якщо 2FA увімкнена, витоклого пароля недостатньо для зловмисника, щоб отримати доступ до вашого акаунта. Увімкніть її для кожного акаунта, де це можливо, — особливо для пошти, банку та соцмереж.
Увага 2FA через SMS (коди в текстових повідомленнях) краще, ніж нічого, але вразлива до атак підміни SIM-карти. Застосунки-автентифікатори (Google Authenticator, Authy) або апаратні ключі (YubiKey) значно надійніші.
Формуємо кращі звички
Безпека паролів — це не одноразова дія. Це постійна практика:
- Використовуйте менеджер паролів для всіх акаунтів.
- Генеруйте унікальний пароль для кожного нового акаунта.
- Вмикайте 2FA де це можливо.
- Регулярно перевіряйте витоки — принаймні раз-двічі на рік.
- Негайно змінюйте скомпрометовані паролі після повідомлення про злом.
Почніть захищати свої акаунти вже сьогодні:
Обидва інструменти безкоштовні, працюють у браузері і ніколи не передають ваші дані нікуди.