Согласитесь, что в настоящее время трудно себе представить компьютерную жизнь без постоянного ввода пароля. Пароль нам необходим везде - начиная от включения компьютера, регистраций на различных сайтах и форумах, доступу к своим почтовым ящикам и заканчивая созданием аккаунтов (страниц с личными данными и настройками) в платежных системах и отправкой/получением платежей в электронном виде.
И если при одноразовой регистрации на каком-либо случайном сайте (например, только лишь для скачивания игры) можно не задумываясь указать любой пароль (даже «123456»), то при создании постоянного аккаунта на важном сайте (тем более, если это связано с денежными операциями) пароль должен быть очень надёжным.
В противном случае пароль может быть взломан злоумышленником, а полученные личные данные могут быть использованы для общения в сети от нашего имени (в лучшем случае) либо для получения кредитов или открытия счетов. Поэтому лучше позаботиться о защите заранее, и уже сегодня изменить все свои «слабые» пароли на более надёжные.
В этой статье давайте разберёмся, что такое надёжный пароль, а также поговорим об основных правилах при создании и хранении паролей.
А как вообще могут взломать наш пароль? И почему пароль не может быть любым? Ведь, казалось бы, как можно угадать пароль, который придуман лично мной?
Всё довольно просто! В большинстве случаев никто ничего не угадывает! Самый популярный способ взлома - это обычный перебор всех возможных вариантов - так называемый способ «грубой силы» или брутфорс (англ. brute force) . Стандартные пароли («123456», «111111», «789456», «qwerty», «фывапр», «йцукен» и т.п.) проверяются в первую очередь, а потом идет элементарная подстановка всех символов.
Естественно перебор делается не вручную, а с использованием специальных программ, которые способны в короткие сроки перебирать огромное количество различных комбинаций.
Для примера:
Пароль «09071985» (дата рождения) будет подобран за 1-2 секунды;
Пароль «андрей» будет подобран за 4 секунды
Пароль «Андрей» будет подобран за 3-4 минуты;
Пароль «1n2f4g8y0» будет подобран за 4 дня;
Пароль «EC3+gHFBI» будет подбираться 12 лет;
А пароль «kKC%5426hMIN» будет подбираться несколько миллионов лет.
Какие выводы можно сделать на данном этапе?
Вывод 1. Пароль не должен быть коротким.
Иметь пароль менее 8 символов вообще нежелательно, а ещё лучше, чтобы пароль содержал 10-12 символов или больше.
Вывод 2. Пароль не должен содержать только цифры или только буквы (особенно повторяющиеся). Лучше всего, когда буквы и цифры чередуются, а ещё лучше, если в пароль добавляются специальные символы или знаки препинания.
Вывод 3. Важно использовать в одном пароле символы в верхнем и в нижнем регистре (и большие и маленькие). Делается это с помощью клавиши Shift .
Ещё один способ взлома пароля - это анализ данных о человеке. Зная сведения о человеке, легче подобрать его пароль.
Вся информация о человеке собирается (то ли вручную, то ли с помощью специальных программ), а после проверяется в различных комбинациях.
Например, длинный пароль «андрейкурганов» будет перебираться брутфорсом примерно 150 тысяч лет, но если злоумышленник знает, с чьим паролем имеет дело, то такой пароль будет проверен в числе первых. И какой тогда толк от такого пароля?
Кроме того, таким способом злоумышленники могут подбирать не сам пароль, а «секретный вопрос», который часто используется для . Зачастую злоумышленнику проще нажать на кнопку «Забыли пароль?», а потом уже подобрать секретный вопрос, исходя из имеющихся данных о человеке, и получить заветный пароль.
А где проще всего узнать данные о человеке? Конечно в «социалках».
Очень просто зайти на сайт или и узнать о человеке его имя, фамилию, год рождения, имена детей, жены/мужа или домашних животных. Узнать можно быстро и практически всё, вплоть до любимой музыкальной группы, цвета или же любимых фраз и высказываний.
А если Саша Петров для входа в аккаунт «Одноклассники» используется пароль «SashaPetrov», то это как минимум верх беспечности. И потом мы удивляемся, что друзья получают от нашего имени сообщения с просьбами пополнить счет неизвестного телефона или одолжить деньги (например, переводом на указанную карточку).
Вывод 4. Не используйте пароль, который содержит любые данные о вас или вашей семье -всевозможные памятные даты (рождения, свадьбы и пр.), имена и фамилии родственников, номера квартир, документов или телефонов. Недопустимо также использование любых комбинаций, составленных из личных данных.
Вывод 5. Пароль должен быть бессмысленным, поэтому лучше отказаться от пароля, который представляет собой любое существующее словарное слово (на любом языке).
Вывод 6. Не использовать «секретные вопросы», ответы на которые можно легко узнать или подобрать.
Теперь немного о хранении паролей и их количестве.
Допустим, мы создали надёжный пароль и даже запомнили его. Запомнить второй пароль будет уже сложнее, третий ещё сложнее…
Именно по этой причине многие пользователи при регистрации на различных сайтах используют один и тот же пароль, либо создают пароли по типу «пароль1», «пароль2», «пароль3» или «парольMail», «парольSkype» и т.д. А ведь это неразумно, т.к. при взломе такого пароля злоумышленник получит доступ сразу ко всем нашим аккаунтам.
Конечно же, запомнить несколько паролей состоящих из случайного набора символов невозможно, поэтому надо каким-то образом записывать и хранить пароли, но…
Согласитесь, глупо создавать надёжный пароль, а потом записать его на стикер и приклеить к краю монитора. А ведь многие делают именно так, и что самое интересное делают это не дома, а в офисах. Я лично видел такое в налоговой инспекции!!! А ведь в таком компьютере может быть вся база данных с информацией о налогоплательщиках. Вот вам и ответ на вопрос, откуда у мошенников паспортные данные для получения кредитов.
Примерно тот же смысл получится, если положить у всех на виду блокнот, на обложке которого жирными буквами написано «МОИ ПАРОЛИ» или же на Рабочем столе Windows разместить текстовый файл с таким же названием.
Вывод 7. Необходимо использовать уникальный пароль для каждого отдельного Интернет сервиса, форума, сайта.
Вывод 8. Не держать пароли у всех на виду.
Вывод 9. Не xранить пароли в Интернете или на компьютере в виде текстового файла.
Если злоумышленник получит доступ к нашему компьютеру (это не так сложно, как может показаться), то найти файл с паролями для него будет ещё проще (при чем в любом месте на жестком диске).
Относиться к паролям и «секретным вопросам» надо так же серьезно, как к информации, которую защищают эти пароли, поэтому НИКОМУ не сообщайте свой пароль. Держите пароль в секрете от своих близких (особенно от детей) и друзей. Возможным исключением может быть пароль от общего банковского счета (семейного), если доступ к этому счету должны иметь и другие члены семьи.
Храните пароли только в надежном месте! Это важно не только с точки зрения хищения пароля посторонними лицами, но и с точки зрения случайной утраты пароля (по нашей неосторожности или неопытности).
Вывод 10. Не храните пароли с помощью встроенных в браузер «хранителей паролей».
Во-первых, никогда нельзя быть уверенным в надежности такого «хранителя» и в том, что сам браузер не содержит «дыр» в защите. Злоумышленники в первую очередь ищут «дыры» в браузерах, т.к. браузерами пользуются все.
Во-вторых, если случится сбой в работе браузера или всей системы, то очень велика вероятность, что мы потеряем доступ ко всем паролям, которые хранит браузер, а это хоть и не взлом, но тоже неприятно.
Вывод 11. Делайте копии паролей.
Если для хранения паролей вы используете специальные программные средства, то не забывайте периодически делать резервные копии баз данных с паролями. Если же вы храните пароли на листке бумаги, то сделайте вторую копию такого листа (или блокнота) и храните оригинал и дубликат в разных (укромных) местах.
Вывод 12. Не вводите пароли в посторонних программах, на посторонних сайтах, а также не отсылайте пароли по почте (даже по запросу от службы поддержки или администрации сайта). Администрация НАСТОЯЩЕГО серьезного сайта никогда не потребует пароль, поэтому если вы получили подобный запрос, то это скорее всего работа .
Вывод 13. Постарайтесь как можно реже вводить пароли с использованием чужих компьютеров, а особенно в общественных местах (интернет-кафе, терминалах и т.п.). Крайне не желательно на чужом компьютере вводить пароли для входа в аккаунт платежных систем или использовать интернет-банкинг, т.к. не исключено, что на этом компьютере используется устройство или программа для запоминания последовательности нажатий клавиш (клавиатурные шпионы).
Вывод 14. Периодически меняйте пароли (особенно если пользовались паролем за чужим компьютером). Чем надежнее пароль, тем дольше можно его использовать. Надёжный пароль из 12-14 символов, составленный с учетом описанных выше рекомендаций можно не менять несколько лет.
Придумывать каждый раз новый надёжный пароль иногда лень, поэтому для таких случаев можно воспользоваться специальными программами - . Такая программа случайным образом выдает комбинацию символов, и мы моментально получаем надёжный пароль.
Если же нужен генератор здесь и сейчас, то он перед вами. Устанавливайте длину пароля (количество символов) и просто нажимайте кнопку Генерировать :
ГЕНЕРАТОР ПАРОЛЕЙ
Ещё хочу дать вам пару ссылок на сайты, которые позволяют проверить надёжность используемого пароля:
На данном сайте надо вставить пароль в пустое поле, после чего сразу будет выдано сообщение, с указанием времени, в течение которого злоумышленник взломает ваш пароль, используя брутфорс.
Здесь просто наглядно показано насколько «силён» введенный пароль.
Ну и последний совет…
Если вы заметили непонятные изменения на каком-либо из своих аккаунтов или заподозрили, что кто-то получил доступ к вашей информации, то как можно скорее измените пароль и при необходимости сообщите об этом администрации или в службу поддержки сайта либо организации, представляющей данный аккаунт.
Думаю все понимают, что в наше время тяжело представить жизнь без компьютера. Именно он является одним из самых распространенных видов времяпрепровождения.
Пользуясь этим современным гаджетом мы не можем обойти системы безопасности, аутентификации.Регулярно сталкиваемся с потребностью создания надежного пароля для различных социальных сетей, приложений, интересных сайтах и т.д.
Какие пароли считаются надежными?
Начнем с того, что каждый человек всегда хочет создать такой пароль, чтобы он его потом легко запомнил, выучил или и вовсе знал всю свою жизнь. Это толкает нас на грубейшую ошибку в «мире интернета».
Ведь самым популярным способом «взлома» является подбор вашего пароля с помощью использования именно ваших же личных данных. Поверьте, злоумышленник имеющий перед собой цель, начнет просматривать ваши данные в интернете, скорее всего это будут страницы в одноклассниках, контакте, майле и прочих сторонних сервисах на которых можно узнать ваше имя, фамилию, дату рождения, имена ваших родителей,сестер и братьев, любимых увлечений, животных и прочую информацию о вашей жизни.
После чего начнется подбор пароля методом брута — это обычный перебор всех возможных вариантов. Так называемый способ «грубой силы» или брутфорс (англ. bruteforce)
Самыми популярными паролями являются:
123456
123456789
QWERTY
111111
1234567
666666
12345678
7777777
123321
Как видите это логически подбираемые пароли, скажу больше это ну просто предел наивности. Я соглашусь со многими, кто использует такие пароли для разового входа на сайт чтобы скачать какой-то файл, информацию. Но когда речь идет о важных вам страницах в соц.сетях или доступах к онлайн банкам, кошелькам понадобится грамотный подход к выбору пароля.
Первые выводы о надежном пароле
- — нельзя составлять пароль из своих личных данных(имя, фамилия, дата и т.д.)
- — нельзя составлять пароль методом логического ввода.
- — Пароль «28061992» (дата рождения) будет подобран за 1-2 секунды;
- — Пароль «сергей» будет подобран за 4 секунды
Примеры: иванворонин; иваныч; 28061992; ванек1992; ваня280692;
Примеры: 12345; 987654321;йцукен; qwerty; фывапр; ячсмит; 123454321;000;111. (Обратите внимание, все эти пароли так или иначе упорядоченное нажатие клавиш друг за другом, поэтому подобрать их будет очень легко.)
А если данные пароли будут подбираться с помощью программ брута, которые обладают огромной пропускной способностью, ваши пароли будут подбираться примерно с такой скоростью:
Как видите это какие то мгновения и ваш пароль в «лапах» злоумышленника. Не смотря на все дальше нужно иметь понимание, что регистр при вводе паролей всегда учитывается, если совсем по простому то базы данных понимают когда вы вводите заглавную букву, а когда прописную.
Как создать надежный пароль!
Теперь к сути самой статьи, каким же нужно сделать пароль, чтобы его просто так не «увели»?
1;uRva3’ именно так должен выглядеть надежный пароль, который трудно подобрать брутом. Не забываем, что восемь символов это самое малое что нужно для защиты, чем длиннее будет ваш пароль тем тяжелее его будет подобрать во многих случаях подбор практически невозможен.
Попробуем сделать пароль из 10 символов,но так чтобы вы смогли все таки его запомнить, итак что нам нужно будет придумать.
Начнем наглядно:
10 символов: 0000000000 (изначально начнем с нулей), дальше все во власти вашей фантазии, играйте символами знакомых вам комбинаций, но перебирайте их грамотно.
1 этап, (00000000) — (мы заменили начало и конец пароля на спец символы — скобки, которые не сложно запомнить)
3 этап, (К0и0К0а0) – (на этом этапе я изменил две прописные буквы «к» на заглавные – это в разы усилило надежность пароля)
4 этап, (К1и9К6а1) – (теперь я заменил нули на хорошо запоминающуюся мне дату 1961)
Вроде бы нечего сложного, всего какие-то 4-ре последовательных действия и получился достаточно сложный пароль, который совсем не сложно запомнить, а подобрать методом брута очень тяжело.
Друзья, фантазируйте – грамотно.
Теперь вы знаете как сделать свои пароли надежными и не дать их подобрать взломщикам. Дальше рекомендую познакомится с антивирусами. Какой антивирус выбрать?
Если статья вам по душе, жду ваши комментарии, мысли и дополнения.
Интернет сегодня занимает важное место в жизни любого человека. Как правило, для полноценной работы или просто использования ресурсов необходима регистрация, что подразумевает использование пароля . Также пароли необходимы для оплаты различных счетов, подтверждения действий и т.д. Ресурс, для которого придумывается пароль, может быть как важным (Интернет-банкинг, например), так и не очень (взломают - ничего страшного). Простой пароль для сайтов с хранением денежных средств не подойдет. Рассмотрим далее, как придумать надежный правильный пароль, который не взломают.
Итак, пароли сегодня мало кто угадывает - как правило, используется брутфорс (грубый взлом). С помощью специальной программы перебираются различные варианты комбинаций. Первые проверяемые комбинации - это наборы типа "111111", "123456", "qwerty" и т.д. Далее производится простая подстановка. Подобная программа может в кратчайшие сроки перебрать огромное количество различных комбинаций.
Если пароль - это дата рождения или просто набор цифр, например "25061980", программа расшифрует его на 2 секунды. На именные пароли , которые начинаются с маленькой буквы (olga, roman) взламываются за 4 секунды. Приблизительно 4 минуты потребуется на расшифровку пароля , в котором используются имена с большой буквы. Сложная комбинация типа «1d2d3s4a8c» потребует 4 дня на расшифровку, пароль типа «HSU5-BHJDa» - 12 лет, а вот такой пароль «IkRn%Kmbl253NNp» программа распознает только через миллион лет, то есть никогда.
Таким образом, чтобы придумать правильный пароль , необходимо придерживаться следующих основных правил:
1. Пароли не должны быть короткими. Как минимум - 8 символов, лучше - 10 и больше.
2. Обязательно нужно использовать как цифры, так и буквы. Еще лучше - разбавить комбинацию символами и знаками препинания.
3. Правильный пароль должен содержать и заглавные, и прописные буквы.
Стоит отметить, что пароль взламывается не только программой. Это можно сделать и вручную, если достаточно много знать о человеке. Например, бутфорс будет порядка 100 тыс. лет распознавать пароль «ivanovkostya». А вот при обладании знаний о человеке пароль можно подобрать вручную за час - два. Более того, фамилия, имя, дата рождения обычно проверяются в первую очередь.
Еще один способ узнать пароль - это подобрать ответ на "секретный вопрос". Достаточно нажать на кнопку "Забыли пароль?" и за несколько секунд (при наличии информации о человеке) подобрать секретный вопрос. Обычно там используются примитивные данные, которые действительно легко подобрать: девичья фамилия матери, любимое блюдо, кличка животного и т.д.
Где же злоумышленники берут информацию? Ответ очень логичен и лежит в доступной плоскости: обычно в социальных сетях. Если злоумышленник поставил себе цель взломать пароль , он свободно может использовать информацию из социальных сетей. Поэтому Ване Иванову, который для входа в социальную сеть использует пароль «ivanivanov», точно стоит немедленно его менять, иначе его друзья очень быстро увидят неимоверное количество спама от его имени. Таким образом, взлом пароля - это не так сложно, как может показаться.
Теперь рассмотрим, что нужно делать, чтобы правильный пароль был подобран максимально эффективно (с учетом ранее указанных требований):
1. Не стоит в пароле использовать личную информацию: дату рождения, свадьбы, номера телефонов и т.д.
2. Ответ на "секретный вопрос" не должен быть простым и легко угадываемым. Не нужно использовать ту информацию, которую легко узнать.
Генерация паролей и способы запоминания.
Для подбора правильного пароля вполне можно использовать генерацию паролей . Такой сервис весьма доступен. Можно без особых усилий подобрать комбинацию, которую нелегко будет распознать. Здесь, правда, есть один подводный камень: сложную комбинацию сложно и запомнить. Редкие сочетания сложно ложатся в память. Рассмотрим далее, как сделать так, чтобы не забыть или не потерять пароль.
В большинстве случаев при генерации пароля используется одна и та же комбинация. Иногда пароль модернизируется и выходит что-то вроде «parol1», «parol2» и т.д. Шаг хитрый, но зато можно быть уверенным, что пароль не забудется .
При использовании генератора паролей получается бессмысленный и нелогичный набор символов. Его нужно где-то хранить. Интересно, что у многих есть привычка записывать его на бумажке и клеить на монитор. Например, в офисе, где множество сотрудников, клиентов и случайных людей. С таким же успехом на рабочем столе можно создать файл с названием "мои пароли". Эффект будет тот же.
Итак, вот общие советы по хранению и запоминанию паролей:
1. Для каждого ресурса лучше создавать новый уникальный пароль.
2. Не нужно хранить комбинации паролей на рабочем столе компьютера - хакеры вполне могут проникнуть и в ПК.
3. Пароль не нужно держать у всех на виду.
4. Если пароль записан на листочке бумаги, нужно создавать его копию.
5. Не нужно вводить пароли в "странных" или подозрительных сайтах или программах. Администрации порталов никогда не требуют сообщать им пароль - он используется только для входа.
6. Если для хранения паролей используется специальная программа, нужно создавать ее копию.
И напоследок о правильном пароле.
Наконец, несколько полезных советов. В игровых клубах или интернет-кафе как можно реже вводите пароли. Это чужие компьютеры, поэтому могут быть использованы так называемые программы-шпионы: они легко запоминают комбинации, которые вводятся с клавиатуры.
Если все-таки пришлось зайти с чужого компьютера или использовать пароль не только дома, но и на работе или в другом месте, всегда выходите из ресурса (не просто закрывайте вкладку, а нажимайте "Выход") и не нажимайте "Запомнить меня". Иначе любой желающий может зайти даже без подбора пароля . Прискорбно, но подобным славятся даже серьезные порталы электронного обмена средств: у них есть функция "Запомнить", хотя ее не должно быть, а сессия должна быть ограничена.
Пароли иногда нужно менять. Правда, чем он надежнее, тем реже нуждается в смене. Пароль на 12 - 14 символов можно менять раз в несколько лет.
Воспользовавшись всеми рекомендациями в данной статье, Вы легко создадите правильный пароль , который никто не сможет взломать. Как правило, по старинке пароли записывают в блокнотиках - в таком случае блокнотики не должны быть доступны широкому кругу людей. Со временем можно запомнить даже большую и сложную комбинацию - смотря, насколько часто Вы с ней работаете.
Смысл в таких модных сегодня мобильных гаджетах отчасти в том, что на них можно получить доступ к нужному ресурсу в любой точке, где есть Интернет. При этом, не нужно заходить в Интернет-кафе или клуб, где легко могут просканировать пароль . Но и в них стоит выходить из аккаунта в целях безопасности. В целом же, указанные простые рекомендации способны полностью защитить от взлома пароля.
Большинство злоумышленников не заморачиваются с изощрёнными методами кражи паролей. Они берут легко угадываемые комбинации. Около 1% всех существующих на данный момент паролей можно подобрать с четырёх попыток.
Как такое возможно? Очень просто. Вы пробуете четыре самые распространённые в мире комбинации: password, 123456, 12345678, qwerty. После такого прохода в среднем открывается 1% всех «ларчиков».
Допустим, вы попадаете в те 99% пользователей, чей пароль не столь прост. Даже в таком случае необходимо считаться с производительностью современного программного обеспечения для взлома.
Бесплатная программа John the Ripper, находящаяся в свободном доступе, позволяет проверять миллионы паролей в секунду. Отдельные образцы специализированного коммерческого ПО заявляют о мощности в 2,8 миллиарда паролей в секунду.
Изначально программы для взлома прогоняют список из статистически наиболее распространённых комбинаций, а затем обращаются к полному словарю. С течением времени тенденции пользователей в выборе паролей могут слегка меняться, и эти изменения учитываются при обновлении таких списков.
Со временем всевозможные веб-сервисы и приложения решили принудительно усложнить пароли, создаваемые пользователями. Добавились требования, согласно которым пароль должен иметь определённую минимально длину, содержать цифры, верхний регистр и специальные символы. Некоторые сервисы отнеслись к этому настолько серьёзно, что придумывать пароль, который приняла бы система, приходится реально долго и нудно.
Ключевая проблема в том, что практически любой пользователь не генерирует действительно устойчивый к подбору пароль, а лишь пытается по минимуму удовлетворить требования системы к составу пароля.
В результате получаются пароли в стиле password1, password123, Password, PaSsWoRd, password! и невероятно непредсказуемый p@ssword.
Представьте, что вам нужно переделать пароль spiderman. С большой вероятностью он примет вид наподобие $pider_Man1. Оригинально? Тысячи людей изменят его по такому же, либо очень схожему алгоритму.
Если взломщик знает эти минимальные требования, то ситуация лишь усугубляется. Именно по этой причине навязанное требование к усложнению паролей далеко не всегда обеспечивает лучшую , а зачастую создаёт ложное чувство повышенной защищённости.
Чем легче пароль для запоминания, тем более вероятно его попадание в словари программ-взломщиков. В итоге получается так, что действительно надёжный пароль просто невозможно запомнить, а значит, его нужно где-то .
По мнению экспертов, даже в нашу эпоху цифровых технологий люди по-прежнему могут полагаться на листочек бумаги с записанными на нём паролями. Такой лист удобно держать в скрытом от посторонних глаз месте, например в кошельке или бумажнике.
Впрочем, лист с паролями не решает проблему. Длинные пароли тяжело не только помнить, но и вводить. Ситуацию усугубляют виртуальные клавиатуры мобильных устройств.
Взаимодействуя с десятками сервисов и сайтов, многие пользователи оставляют за собой вереницу идентичных паролей. Они пытаются использовать один и тот же пароль для каждого сайта, полностью игнорируя риски.
В данном случае некоторые сайты выступают в роли няньки, принуждая усложнять комбинацию. В итоге пользователь просто не может , каким образом ему пришлось видоизменить свой стандартный единый пароль для данного сайта.
Масштаб проблемы получилось полностью осознать в 2009 году. Тогда из-за дыры в безопасности хакеру удалось украсть базу логинов и паролей RockYou.com - компании, издающей игры на Facebook. Злоумышленник поместил базу в открытый доступ. Всего в ней содержалось 32,5 миллиона записей с именами пользователей и паролями к аккаунтам. Утечки случались и ранее, но масштабность именно этого события показала картину целиком.
Самым популярным паролем на RockYou.com оказалась комбинация 123456. Её использовали почти 291 000 людей. Мужчины до 30 лет чаще предпочитали сексуальную тематику и пошлости. Более взрослые люди обоих полов зачастую обращались к той или иной сфере культуры при выборе пароля. Например, Epsilon793 кажется не таким уж плохим вариантом, вот только эта комбинация была в Star Trek. Семизначный 8675309 встречался много раз, потому что этот номер фигурировал в одной из песен Tommy Tutone.
На самом деле создание надёжного пароля - задача простая, достаточно составить комбинацию из случайных символов.
Вы не сможете создать идеально случайную комбинацию в математическом понимании в своей голове, но от вас это и не требуется. Существуют специальные сервисы, генерирующие действительно случайные комбинации. К примеру, random.org может создавать такие пароли:
- mvAWzbvf;
- 83cpzBgA;
- tn6kDB4T;
- 2T9UPPd4;
- BLJbsf6r.
Это простое и изящное решение, особенно для тех, кто использует для хранения паролей.
К сожалению, большинство пользователей продолжают использовать простые ненадёжные пароли, игнорируя при этом даже правило «разные пароли для каждого сайта». Для них удобство стоит выше, чем безопасность.
Ситуации, при которых пароля может быть под угрозой, можно разделить на 3 большие категории:
- Случайные , при которых пароль пытается узнать знакомый вам человек, опираясь на известную ему информацию о вас. Зачастую такой взломщик хочет лишь подшутить, узнать что-то о вас либо подгадить.
- Массовые атаки , когда жертвой может стать абсолютно любой пользователь тех или иных сервисов. В данном случае используется специализированное ПО. Для атаки выбираются наименее защищённые сайты, позволяющие многократно вводить варианты пароля за короткий промежуток времени.
- Целенаправленные , сочетающие в себе получение наводящих подсказок (как в первом случае) и использование специализированного ПО (как при массовой атаке). Здесь речь идёт о попытке заполучить действительно ценную информацию. Защититься поможет только достаточно длинный случайный пароль, на подбор которого уйдёт время, сравнимое с длительностью вашей .
Как видите, жертвой может стать абсолютно любой человек. Утверждения типа «мой пароль не будут красть, потому что я никому я нужен» не актуальны, потому что вы можете попасть в подобную ситуацию совершенно случайно, по стечению обстоятельств, без каких-либо видимых причин.
Еще серьёзнее стоит относиться к защите паролей тем, кто обладает ценной информацией, связан с бизнесом либо находится с кем-то в конфликте на финансовой почве (например, раздел имущества в процессе развода, конкуренция в бизнесе).
В 2009 году Twitter (в понимании всего сервиса) был взломан лишь потому, что администратор использовал в качестве пароля слово happiness. Хакер подобрал его и разместил на сайте Digital Gangster, что привело к угону аккаунтов Обамы, Бритни Спирс, Facebook и Fox News.
Акронимы
Как и в любом другом аспекте жизни, нам всегда приходится искать компромисс между максимальной безопасностью и максимальным удобством. Как найти золотую середину? Какая стратегия генерации паролей позволит создавать надёжные комбинации, которые можно без проблем запомнить?
На данный момент наилучшим сочетанием надёжности и удобства является конвертация фразы или словосочетания в пароль.
Выбирается набор слов, который вы всегда помните, а в качестве пароля выступает комбинация первых букв из каждого слова. К примеру, May the force be with you превращается в Mtfbwy.
Однако, поскольку в качестве изначальных будут использоваться самые известные, программы со временем получат эти акронимы в свои списки. Фактически акроним содержит только буквы, а потому объективно менее надёжен, чем случайная комбинация символов.
Избавиться от первой проблемы поможет правильный выбор фразы. Зачем превращать в пароль-акроним всемирно известное выражение? Вы наверняка помните какие-то и высказывания, которые актуальны только среди вашего близкого окружения. Допустим, вы услышали очень запоминающуюся фразу от бармена в местном заведении. Используйте её.
И всё равно вряд ли сгенерированный вами пароль-акроним будет уникальным. Проблема акронимов в том, что разные фразы могут состоять из слов, начинающихся с одинаковых букв и расположенных в той же последовательности. Статистически в различных языках наблюдается повышенная частотность появления определённых букв в качестве начинающих слова. Программы учтут эти факторы, и эффективность акронимов в изначальном варианте понизится.
Обратный способ
Выходом может стать обратный способ генерации. Вы создаёте в random.org совершенно случайный пароль, после чего превращаете его символы в осмысленную запоминающуюся фразу.
Часто сервисы и сайты дают пользователям временные пароли, представляющие собой те самые идеально случайные комбинации. Вы захотите сменить их, потому что не сможете запомнить, но стоит чуть приглядеться, и становится очевидно: пароль помнить и не нужно. Для примера возьмём очередной вариант с random.org - RPM8t4ka.
Хоть он и кажется бессмысленным, но наш мозг способен находить некие закономерности и соответствия даже в подобном хаосе. Для начала можно заметить, что первые три буквы в нём заглавные, а следующие три - строчные. 8 - это дважды (по-английски twice - t) 4. Посмотрите немного на этот пароль, и вы обязательно найдёте собственные ассоциации с предложенным набором букв и цифр.
Если вы можете запоминать бессмысленные наборы слов, то используйте это. Пусть пароль превратится в revolutions per minute 8 track 4 katty. Подойдет любая конвертация, на которую лучше «заточен» ваш мозг.
Случайный пароль - это золотой стандарт в информационной . Он по определению лучше, чем любой пароль, придуманный человеком.
Минус акронимов в том, что со временем распространение такой методики снизит её эффективность, а обратный метод останется столь же надёжным, даже если все люди земли будут использовать его тысячу лет.
Случайный пароль не попадёт в список популярных комбинаций, а злоумышленник, использующий метод массовой атаки, подберёт такой пароль только брутфорсом.
Берём несложный случайный пароль, учитывающий верхний регистр и цифры, - это 62 возможных символа на каждую позицию. Если сделать пароль всего лишь 8-значным, то получаем 62 ^ 8 = 218 триллионов вариантов.
Даже если количество попыток в течение определённого временного промежутка не ограничено, самое коммерческое специализированное ПО с мощностью 2,8 миллиарда паролей в секунду потратит в среднем 22 часа на подбор нужной комбинации. Для уверенности добавляем в такой пароль всего 1 дополнительный символ - и на его взлом понадобятся уже многие годы.
Случайный пароль не является неуязвимым, так как его можно украсть. Вариантов множество, начиная от считывания ввода с клавиатуры и заканчивая камерой за вашим плечом.
Хакер может ударить по самому сервису и достать данные непосредственно с его серверов. При таком раскладе от пользователя ничего не зависит.
Единая надёжная основа
Итак, мы добрались до главного. Какую тактику с использованием случайного пароля применять в реальной жизни? С точки зрения баланса и удобства хорошо покажет себя «философия одного надёжного пароля».
Принцип заключается в том, что вы используете одну и ту же основу - супернадёжный пароль (его вариации) на самых важных для вас сервисах и сайтах.
Запомнить одну длинную и сложную комбинацию по силам каждому.
Ник Берри, консультант по вопросам информационной безопасности, допускает применение такого принципа при условии, что пароль очень хорошо защищён.
Не допускается присутствие вредоносного ПО на компьютере, с которого вы вводите пароль. Не допускается использование этого же пароля для менее важных и развлекательных сайтов - им вполне хватит более простых паролей, так как взлом аккаунта здесь не повлечёт каких-то фатальных последствий.
Понятно, что надёжную основу нужно как-то изменять для каждого сайта. В качестве простого варианта вы можете добавлять в начало одну букву, которой заканчивается название сайта или сервиса. Если вернуться к тому случайному паролю RPM8t4ka, то для авторизации в Facebook он превратится в kRPM8t4ka.
Злоумышленник, увидев такой пароль, не сможет понять, каким образом генерируется пароль к вашему аккаунту. Проблемы начнутся, если кто-то получит доступ к двум или более вашим паролям, сгенерированным таким образом.
Секретный вопрос
Некоторые угонщики вообще игнорируют пароли. Они действуют от лица владельца аккаунта и имитируют ситуацию, когда вы забыли свой пароль и хотите его по секретному вопросу. При таком сценарии он может изменить пароль по собственному желанию, а истинный владелец потеряет доступ к своему аккаунту.
В 2008 году некто получил доступ к электронной почте Сары Пэйлин, губернатора штата Аляска, а на тот момент ещё и кандидата в президенты США. Взломщик ответил на секретный вопрос, который звучал так: «Где вы познакомились с мужем?».
Через 4 года Митт Ромни, также являвшийся кандидатом в президенты США в то время, потерял несколько своих аккаунтов на различных сервисах. Кто-то ответил на секретный вопрос о том, как зовут питомца Митта Ромни.
Вы уже догадались о сути.
Нельзя использовать в качестве секретного вопроса и ответа публичные и легко угадываемые данные.
Вопрос даже не в том, что эту информацию можно аккуратно выудить в интернете или у приближённых персоны. Ответы на вопросы в стиле «кличка животного», «любимая хоккейная команда» и так далее прекрасно подбираются из соответствующих словарей популярных вариантов.
В качестве временного варианта можно использовать тактику абсурдности ответа. Если просто, то ответ не должен иметь ничего общего с секретным вопросом. Девичья фамилия матери? Димедрол. Кличка домашнего животного? 1991.
Впрочем, подобный приём, если найдёт широкое распространение, будет учтён в соответствующих программах. Абсурдные ответы зачастую стереотипные, то есть какие-то фразы будут встречаться гораздо чаще других.
На самом деле нет ничего страшного в том, чтобы использовать реальные ответы, нужно только грамотно выбирать вопрос. Если вопрос нестандартный, а ответ на него известен только вам и не угадывается с трёх попыток, то всё в порядке. Плюс правдивого ответа в том, что вы не забудете его со временем.
PIN
Personal Identification Number (PIN) - дешёвый замок, которому доверены наши . Никто не беспокоится о том, чтобы создать более надёжную комбинацию хотя бы из этих четырёх цифр.
А теперь остановитесь. Вот сейчас. Прямо сейчас, не читая следующий абзац, попробуйте угадать самый популярный PIN-код. Готово?
По оценкам Ника Берри, 11% населения США использует в качестве PIN-кода (там, где есть возможность самому его изменить) комбинацию 1234.
Хакеры не уделяют внимания PIN-кодам потому, что без физического присутствия карты код бесполезен (отчасти этим можно оправдать и маленькую длину кода).
Берри взял списки появлявшихся после утечек в сети паролей, представляющих собой комбинации из четырёх цифр. С большой вероятностью человек, использующий пароль 1967, выбрал его не просто так. Второй по популярности PIN - это 1111, и 6% людей предпочитают такой код. На третьем месте 0000 (2%).
Предположим, что у знающего эту информацию человека в руках чья-то . Три попытки до блокировки карты. Простая математика позволяет подсчитать, что у этого человека есть 19% шансов угадать PIN, если он последовательно введёт 1234, 1111 и 0000.
Наверное, по этой причине абсолютное большинство банков задают PIN-коды к выпускаемым пластиковым картам сами.
Впрочем, многие защищают PIN-кодом смартфоны, и тут действует такой рейтинг популярности: 1234, 1111, 0000, 1212, 7777, 1004, 2000, 4444, 2222, 6969, 9999, 3333, 5555, 6666, 1313, 8888, 4321, 2001, 1010.
Часто PIN представляет собой какой-то год (год рождения или историческая дата).
Многие любят делать PIN в виде повторяющихся пар цифр (причём особо популярны пары, где первая и вторая цифры отличаются на единицу).
Цифровые клавиатуры мобильных устройств выводят в топ комбинации наподобие 2580 - для её набора достаточно сделать прямой проход сверху вниз по центру.
В Корее число 1004 созвучно слову «ангел», что делает эту комбинацию там довольно популярной.
Итог
- Зайдите на random.org и создайте там 5–10 паролей-кандидатов.
- Выберите пароль, который вы сможете превратить в запоминающуюся фразу.
- Используйте эту фразу для того, чтобы вспомнить пароль.
Перечитав массу сопутствующей литературы и просмотрев тонну хабратопиков (ссылки на интересные приведены в конце статьи), я решил обобщить информацию об основных методах генерации надежного и запоминающегося пароля.
Начну с того, что для генерации и хранения своих паролей сам я пользуюсь замечательной программой KeePass . Ее функционала вполне хватает для всех моих скромных вебмастерских нужд. Основным ее недостатком является тот факт, что она тоже требует запоминать один главный пароль. Поэтому вся эта суета вокруг придумывания пароля также касается меня и всех счастливых обладателей программы KeePass или ее аналогов, т.к. один пароль придумать все-таки придется.
Поговорим о методах взлома
Чтобы понимать всю глубину проблемы, пару строк посвящу методике взлома. Итак, как же злоумышленник может узнать/угадать/подобрать ваш пароль?- Метод логического угадывания. Работает в системах с большим количеством пользователей. Злоумышленник пытается понять вашу логику при составлении пароля (логин+2 символа, логин наоборот, самые распространенные пароли и т.п.) и применяет эту логику ко всем пользователям. Если пользователей много, очень скоро произойдет коллизия и пароль будет угадан;
- Перебор по словарю. Этот вид атаки применяется, когда база данных с хешированными паролями слита с сервера. Может сочетаться с заменой букв (опечатки) или с подстановкой цифр/слов в начало или конец слова в качестве приставки или суффикса. Также используются словари, набранные в неверной раскладке клавиатуры (русские слова в английской раскладке);
- Перебор по таблице хешированных паролей. Передовой метод взлома паролей, когда хеши уже сгенерированы и остается только найти в базе соответствие хеша паролю. Работает очень быстро даже на слабых машинах и не оставляет никаких шансов владельцам коротких паролей.
- Другие методы: социотехника и социальный инжиниринг, использование keylogger"ов, снифферов, троянов и т.п.
Надежность пароля
Обобщая информацию, полученную из разных достоверных источников, я выделю основные признаки устойчивого к взлому пароля (под взломом я подразумеваю перебор по базам хешей , когда алгоритм хеширования заранее известен):- Длина пароля (чем больше, тем лучше), для запущенных случаев рекомендуют использовать 15-тисимвольный пароль;
- Отсутствие словарных слов и частей распространенных паролей в составе пароля;
- Отсутствие шаблонов при составлении пароля (под шаблоном я понимаю логический алгоритм генерации пароля, например: «Med777ведев», «12@йцу@21» или даже «q1w2e3r4t5»);
- Стохастические последовательности символов из различных групп (строчные, прописные, цифры, знаки препинания и спец-символы);
Как народ запоминает свои пароли?
Проанализировав способы генерации паролей хабралюдей, я пришел к выводу, что основная методология запоминания пароля основывается на составлении логического или ассоциативного ряда. Также используются всевозможные искажения слов. Это могут быть:- Названия домена вперемежку с логином («gooUSERglcom», «UmailruSer»);
- Определенная стандартная фраза, которая прикрепляется к домену («passgoogleru», «passhabrahabrru»);
- Распространенное слово вперемежку со значащими цифрами и другими знаками («321DR67ag0On », где 32167 – чит, который вызывал 5 черных драконов в Heroes of Might & Magic);
- Русские слова в английской раскладке («,k.lj }