Надійні паролі сьогодні: від довгих фраз до пасків

Паролі ламають не так, як це показують у кіно. Ніхто не сидить і не вгадує кличку вашого собаки: паролі витікають зі зламаних сервісів мільйонами й далі перевіряються автоматично на всіх інших сайтах. Ця машинна механіка й диктує справжні правила захисту, що помітно відрізняються від звичних «восьми символів із зірочкою» зі старих памʼяток. Розкладімо їх по порядку, від властивостей самого пароля до життя взагалі без нього.

Що насправді важливо

Дві властивості вирішують усе. Унікальність: один пароль на один сервіс, бо витік будь-якого сайту інакше відкриває все ваше життя; перебір витеклих пар логін-пароль на чужих сервісах головний спосіб масових зламів. Довжина: стійкість до машинного підбору росте з кожним символом швидше, ніж від будь-яких хитрощів, і фраза із чотирьох випадкових слів надійніша за коротку абракадабру зі спецсимволами. Усе інше, від регулярної зміни без причини до заміни літер цифрами, із минулої епохи: зміна потрібна після витоку, а не за календарем.

Менеджер паролів: зміна правил гри

Вимога «сотня довгих унікальних паролів» нездійсненна головою і тривіальна для менеджера: він генерує, зберігає й підставляє паролі сам, вам лишається одна майстер-фраза. Беріть будь-який зрілий інструмент: вбудований у систему й браузер уже хороший і безплатний, окремі застосунки додають зручності, коли ви живете на кількох платформах одразу. Два правила експлуатації: майстер-фраза довга й ніде більше не використовується, а вхід у сам менеджер закритий другим фактором. Бонус, який недооцінюють: менеджер підставляє пароль лише на справжньому домені й мовчить на підробленому, перетворюючись на детектор фішингу, про який ми писали у статті про фішинг.

Другий фактор обовʼязковий

Яким би не був пароль, одного дня він може витекти із самого сервісу. Другий фактор робить витеклий пароль марним: для входу потрібне ще підтвердження з вашого пристрою. Ієрархія стійкості проста: коди із СМС кращі, ніж нічого, застосунок-генератор помітно кращий за СМС, апаратний ключ або вбудована біометрія пристрою найсильніші. Вмикайте щонайменше на пошті, у банках та основних соцмережах: пошта в цьому списку головніша за всіх, бо через неї відновлюються паролі всього іншого. Докладний розбір варіантів є у статті про двофакторну автентифікацію.

Вибір другого фактора для більшості виглядає так: застосунок-генератор на телефоні для всього важливого, апаратний ключ для пошти й фінансів у тих, хто готовий його носити, СМС там, де іншого не дають. І обовʼязково збережіть резервні коди під час увімкнення: телефон губиться, а разом із ним і генератор, відновлення без кодів перетворюється на квест із паспортом і підтримкою.

Паскі: життя після паролів

Великі платформи вже пропонують вхід узагалі без пароля: паскі це криптографічний ключ, який живе на вашому пристрої й спрацьовує за біометрією або пін-кодом. Вгадувати нічого, витікати із сервера нічому, а на підробленому сайті ключ не спрацює в принципі, бо привʼязаний до справжнього домену. Синхронізацію між пристроями вирішено через ті самі екосистеми й менеджери паролів. Стратегія на сьогодні: вмикайте паскі всюди, де він пропонується, пароль при цьому лишається запасним входом, і його гігієна й далі важлива.

Куди записувати і що не записувати

Три речі не зберігають ніде у відкритому вигляді: майстер-фразу менеджера, пін-коди карток і резервні коди в нотатках телефона без шифрування. Папір удома, хоч як парадоксально, гідне місце для майстер-фрази й резервних кодів: загрози з інтернету до шухляди столу не дотягуються. А от файл «паролі.txt» на робочому столі й таблиця у хмарі без шифрування це подарунки майбутньому злодію: саме їх насамперед шукає шкідник на зараженій машині.

План на вечір

1. Поставте менеджер і придумайте одну довгу майстер-фразу.
2. Змініть паролі на пошті й у банку на згенеровані, увімкніть там другий фактор і паскі, де є.
3. Далі змінюйте паролі в міру заходу на сервіси: місяць, і основна маса унікальна.
4. Збережіть резервні коди відновлення туди ж, у менеджер або на папір удома.
5. Перевірте свою пошту за базами витоків, такі перевірки вбудовані в сучасні менеджери й браузери: знайдені паролі змінюються першими.

На цьому тему закрито на роки вперед: унікальність вирішує менеджер, стійкість вирішує довжина, крадіжку пароля знецінює другий фактор, а паскі поступово прибирають сам предмет крадіжки. Якщо ж акаунт уже поводиться дивно, починайте не з паролів, а з порядку дій при зламі.