Генератор паролей: надёжные пароли, парольные фразы и что такое энтропия

Как пользоваться генератором паролей

Всё происходит на одном экране и на твоём собственном устройстве. Сверху выбери «Пароль» или «Фраза». Для пароля передвинь ползунок длины от 4 до 64 символов и включи нужные типы символов: заглавные буквы, строчные буквы, цифры и спецсимволы. Каждый включённый тип гарантированно встретится хотя бы один раз, так что пароль пройдёт и на сайтах со строгими правилами. Если пароль придётся диктовать или вводить, глядя на экран, включи «Без похожих символов» — тогда в нём не будет 0, O, 1, l и I.

Для парольной фразы выбери число слов (от 3 до 8), разделитель и то, писать ли каждое слово с заглавной и добавлять ли цифру. Отметь «Один» или «Сразу пять» и нажми «Создать». У каждого результата своя кнопка копирования, а шкала ниже показывает энтропию в битах, уровень стойкости и примерное время взлома.

• Выбери пароль или парольную фразу.
• Задай длину или число слов.
• Выбери типы символов или разделитель и опции.
• Нажми «Создать» и скопируй понравившийся вариант.
• Сразу сохрани его в менеджере паролей.

Что делает пароль надёжным

Стойкость зависит от того, сколько вариантов придётся перебрать атакующему, а не от того, насколько сложно пароль выглядит. P@ssw0rd! кажется запутанным, но программы для взлома первым делом пробуют популярные слова с привычными заменами, и такой пароль падает за секунды. С по-настоящему случайной строкой всё иначе: каждый символ выбирается независимо, и каждый лишний символ умножает число вариантов. Поэтому длина важнее хитрости. Если увеличить случайный пароль с 12 до 16 символов, угадать его станет в десятки миллионов раз сложнее.

Вторая половина — случайность. Люди выбирают дни рождения, клички питомцев, последовательности клавиш вроде йцукен или qwerty и одну и ту же любимую схему на всех сайтах, а атакующие знают все эти привычки. Генератор использует криптографический источник случайности браузера, crypto.getRandomValues, и метод выборки с отклонением, чтобы каждый допустимый символ выпадал с абсолютно одинаковой вероятностью. Нет ни закономерности, которую можно выучить, ни перекоса, которым можно воспользоваться.

Третий ингредиент — уникальность. Даже идеальный пароль становится слабым, как только его используют повторно: утечка на одном сайте отдаёт его атакующим, и они пробуют его везде. Один аккаунт — один пароль.

Парольные фразы: надёжно и проще запомнить

Парольная фраза — это несколько случайных слов подряд, как короткое бессмысленное предложение. Главное, чтобы слова выбирал случай, а не ты: строчка из песни или известная цитата совсем не случайны. Генератор берёт каждое слово из встроенного списка в 2048 коротких английских слов, поэтому каждое слово добавляет ровно 11 бит энтропии. Пять слов дают 55 бит, шесть — 66, а случайная цифра добавляет ещё несколько бит.

Парольные фразы хороши для тех немногих секретов, которые действительно нужно набирать вручную или помнить: главный пароль менеджера паролей, вход в компьютер или резервная копия телефона. Они длинные, а значит, стойкие, и состоят из настоящих слов, поэтому набирать их на клавиатуре телефона гораздо проще, чем мешанину символов. Заглавная буква в начале каждого слова стойкости не добавляет, потому что схема предсказуема, но пригодится на сайтах, где обязательна заглавная буква.

Энтропия и время взлома простыми словами

Энтропия измеряется в битах и показывает, из скольких равновероятных вариантов был выбран пароль. Каждый бит удваивает это число: 60 бит — это около квинтиллиона вариантов, а 80 бит — ещё в миллион раз больше. Шкала точно рассчитывает это значение по твоим настройкам. Для пароля она считает все строки выбранной длины, в которых есть хотя бы один символ каждого выбранного типа; для парольной фразы перемножает варианты слов, а также позицию и значение добавленной цифры.

Время взлома рассчитано для быстрой офлайн-атаки со скоростью 10 миллиардов попыток в секунду — такой темп под силу одной современной видеокарте при атаке на утёкшую и плохо защищённую базу паролей. В среднем атакующий находит пароль, перебрав половину вариантов. Кроме того, считается, что он точно знает твои настройки, поэтому оценка никогда не льстит. Примерно так: меньше 45 бит — слабый, от 45 до 60 — средний, от 60 до 80 — надёжный, от 80 — очень надёжный.

• Одноразовые и неважные аккаунты: от 45 до 60 бит.
• Повседневные аккаунты вроде магазинов и соцсетей: от 60 до 80 бит.
• Почта, банк, работа и менеджер паролей: 80 бит и больше.

Менеджер паролей и двухфакторная защита

Никто не способен запомнить десятки разных случайных паролей, и пытаться не стоит. Менеджер паролей хранит их в зашифрованном хранилище, подставляет на нужных сайтах и предупреждает о повторах и утечках. Создай надёжный пароль здесь, вставь его в менеджер при регистрации или смене пароля — и тебе больше никогда не придётся на него смотреть. Сам менеджер защити длинной парольной фразой, которую ты запомнишь.

Двухфакторная аутентификация, или 2FA, добавляет второй шаг: код из приложения-аутентификатора, ключ доступа или аппаратный ключ безопасности. Даже если пароль утечёт, атакующий не сможет войти. Включи её в первую очередь для почты, ведь через неё восстанавливается большинство остальных аккаунтов.

• Используй отдельный пароль для каждого аккаунта.
• Храни пароли в менеджере паролей, а не в заметках, чатах или на скриншотах.
• Включай 2FA или ключи доступа везде, где можно, начиная с почты.
• Сразу меняй пароль, если сервис сообщил об утечке.
• Никогда не отправляй пароль в сообщениях или по почте и настороженно относись к неожиданным ссылкам для входа.