Как создать надёжный пароль и проверить, не попал ли он в утечку
Большая часть советов о паролях устарела. Обязательные символы и смена пароля каждый месяц сделали пароли трудными для запоминания, но не намного безопаснее. Современные рекомендации сосредоточены на трёх вещах: длине, уникальности и проверке по спискам утёкших паролей. Вот как это применить.
Что делает пароль надёжным
Злоумышленники не подбирают пароли вручную, по одному. Они запускают программы, которые перебирают миллиарды комбинаций, начиная с утёкших паролей, словарных слов и распространённых шаблонов вроде Summer2026!. Надёжный пароль — тот, который программа не может предсказать: длинный и случайный.
Длина важнее сложности. Каждый дополнительный случайный символ многократно увеличивает число возможных вариантов, а замена a на @ — один из первых приёмов, которые проверяют программы для взлома.
Генерируйте, а не придумывайте
Люди плохо справляются со случайностью: мы выбираем имена, даты и последовательности клавиш. Лучше воспользуйтесь генератором паролей. Удобные настройки:
- 16 и более случайных символов для всего, что хранится в менеджере паролей.
- Парольная фраза из 4–6 случайных слов (например,
staple-orbit-canyon-velvet-mint) для немногих паролей, которые нужно вводить или помнить, например для входа в компьютер или мастер-пароля менеджера.
Слова должен выбрать генератор случайным образом. Фраза, которую вы придумали сами, например строчка из песни или цитата, угадывается намного легче.
Никогда не повторяйте пароли
Повторное использование — самый реальный риск. Когда взламывают какой-либо сайт, злоумышленники пробуют утёкшие пары «почта и пароль» на почте, банках и магазинах. Такой приём называют credential stuffing, то есть подстановкой учётных данных. Уникальный пароль для каждого аккаунта означает, что одна утечка остаётся одной утечкой.
Никто не запомнит 100 уникальных паролей, для этого и нужны менеджеры паролей. Подойдёт встроенный менеджер браузера или отдельное приложение. Главное — пользоваться им.
Проверьте, не утёк ли пароль
Проверка утечек паролей покажет, встречается ли пароль в известных базах утечек, и при этом никуда его не отправляет. Инструмент вычисляет хеш пароля в вашем браузере по алгоритму SHA-1 и передаёт сервису Have I Been Pwned только первые пять символов хеша. Сервис возвращает все утёкшие хеши, которые начинаются с этих символов. Совпадение проверяется уже на вашем устройстве. (Посмотреть, как выглядит хеш, можно в генераторе хешей.)
Если пароль найден в утечке, смените его везде, где использовали, — даже если он выглядит надёжным, теперь он входит в списки, которые злоумышленники проверяют в первую очередь.
Что говорят современные рекомендации
Руководство Национального института стандартов и технологий США по цифровой идентификации (NIST SP 800-63B) рекомендует сервисам:
- Разрешать длинные пароли (не менее 64 символов) и любые печатаемые символы, включая пробелы.
- Проверять новые пароли по спискам утёкших и распространённых паролей.
- Не вводить произвольные правила состава пароля и не требовать регулярной смены — менять пароль, когда есть признаки его компрометации.
Добавьте второй фактор
Даже идеальный пароль можно выманить с помощью фишинга. Включите двухфакторную аутентификацию для почты, банков и всего, с помощью чего можно сбросить пароли других аккаунтов. Приложение-аутентификатор или passkey надёжнее SMS-кодов, но любой второй фактор лучше, чем его отсутствие.
Воспользуйтесь проверкой надёжности пароля, чтобы узнать, сколько времени пароль продержится против подбора и почему. Инструмент отмечает словарные слова, даты и шаблоны.
