Надёжные пароли сегодня: от длинных фраз до пасскеев

Пароли ломают не так, как это показывают в кино. Никто не сидит и не угадывает кличку вашей собаки: пароли утекают из взломанных сервисов миллионами и дальше проверяются автоматически на всех остальных сайтах. Эта машинная механика и диктует настоящие правила защиты, заметно отличающиеся от привычных «восьми символов со звёздочкой» из старых памяток. Разложим их по порядку, от свойств самого пароля до жизни вовсе без него.

Что на самом деле важно

Два свойства решают всё. Уникальность: один пароль на один сервис, потому что утечка любого сайта иначе открывает всю вашу жизнь; перебор утёкших пар логин-пароль по чужим сервисам главный способ массовых взломов. Длина: стойкость к машинному подбору растёт с каждым символом быстрее, чем от любых ухищрений, и фраза из четырёх случайных слов надёжнее короткой абракадабры со спецсимволами. Всё остальное, от регулярной смены без причины до замены букв цифрами, из прошлой эпохи: смена нужна после утечки, а не по календарю.

Менеджер паролей: смена правил игры

Требование «сотня длинных уникальных паролей» невыполнимо головой и тривиально менеджером: он генерирует, хранит и подставляет пароли сам, вам остаётся одна мастер-фраза. Берите любой зрелый инструмент: встроенный в систему и браузер уже хорош и бесплатен, отдельные приложения добавляют удобства при жизни на нескольких платформах сразу. Два правила эксплуатации: мастер-фраза длинная и нигде больше не используется, а вход в сам менеджер закрыт вторым фактором. Бонус, который недооценивают: менеджер подставляет пароль только на настоящем домене и молчит на поддельном, превращаясь в детектор фишинга, о котором мы писали в статье о фишинге.

Второй фактор обязателен

Какой бы ни был пароль, однажды он может утечь с самого сервиса. Второй фактор делает утёкший пароль бесполезным: для входа нужно ещё подтверждение с вашего устройства. Иерархия стойкости простая: коды из СМС лучше, чем ничего, приложение-генератор заметно лучше СМС, аппаратный ключ или встроенная биометрия устройства сильнее всего. Включайте минимум на почте, банках и основных соцсетях: почта в этом списке главнее всех, потому что через неё восстанавливаются пароли всего остального. Подробный разбор вариантов у нас в статье о двухфакторной аутентификации.

Выбор второго фактора для большинства выглядит так: приложение-генератор на телефоне для всего важного, аппаратный ключ для почты и финансов у тех, кто готов его носить, СМС там, где другого не дают. И обязательно сохраните резервные коды при включении: телефон теряется, а вместе с ним и генератор, восстановление без кодов превращается в квест с паспортом и поддержкой.

Пасскеи: жизнь после паролей

Крупные платформы уже предлагают вход без пароля вовсе: пасскей это криптографический ключ, который живёт на вашем устройстве и срабатывает по биометрии или пин-коду. Угадывать нечего, утекать с сервера нечему, а на поддельном сайте ключ не сработает в принципе, потому что привязан к настоящему домену. Синхронизация между устройствами решена через те же экосистемы и менеджеры паролей. Стратегия на сегодня: включайте пасскей везде, где он предлагается, пароль при этом остаётся запасным входом, и его гигиена по-прежнему важна.

Куда записывать и что не записывать

Три вещи не хранят нигде в открытом виде: мастер-фразу менеджера, пин-коды карт и резервные коды в заметках телефона без шифрования. Бумага дома, как ни парадоксально, достойное место для мастер-фразы и резервных кодов: угрозы из интернета до ящика стола не дотягиваются. А вот файл «пароли.txt» на рабочем столе и таблица в облаке без шифрования это подарки будущему вору: именно их первым делом ищет вредонос на заражённой машине.

План на вечер

1. Поставьте менеджер и придумайте одну длинную мастер-фразу.
2. Смените пароли на почте и в банке на сгенерированные, включите там второй фактор и пасскеи, где есть.
3. Дальше меняйте пароли по мере захода на сервисы: месяц, и основная масса уникальна.
4. Сохраните резервные коды восстановления туда же, в менеджер или на бумагу дома.
5. Проверьте свою почту по базам утечек, такие проверки встроены в современные менеджеры и браузеры: найденные пароли меняются первыми.

На этом тема закрыта на годы вперёд: уникальность решает менеджер, стойкость решает длина, кражу пароля обесценивает второй фактор, а пасскеи постепенно убирают сам предмет кражи. Если же аккаунт уже ведёт себя странно, начинайте не с паролей, а с порядка действий при взломе.