Надёжный пароль: математика и правила
Взломщики редко угадывают пароли вручную: программы перебирают миллиарды вариантов в секунду. Поэтому надёжность пароля это вопрос математики: сколько вариантов придётся перебрать, чтобы его найти. Посчитаем это для разных паролей, разберём популярные мифы и сформулируем простые правила.
Для 6–11 классов и родителей.
Сколько вариантов
Если в пароле n позиций, и на каждой может стоять один из k символов, всего вариантов k в степени n. Это правило умножения из комбинаторики: каждый символ можно выбрать k способами независимо от остальных.
Задача
Сколько вариантов у пароля: 1) четырёхзначный PIN из цифр; 2) шесть строчных латинских букв; 3) восемь символов из строчных, заглавных букв и цифр; 4) двенадцать символов из того же набора?
1) 10⁴ = 10 000.
2) 26⁶ = 308 915 776, около 300 миллионов.
3) Символов 26 + 26 + 10 = 62. 62⁸ ≈ 2,2 · 10¹⁴, двести триллионов.
4) 62¹² ≈ 3,2 · 10²¹.
Ответ: 10 тысяч; 300 миллионов; около 2 · 10¹⁴; около 3 · 10²¹.
Обратите внимание: от восьми до двенадцати символов число вариантов выросло примерно в 15 миллионов раз. Каждый новый символ умножает число вариантов на 62. Поэтому длина пароля важнее всего.
Как быстро подбирают
Скорость перебора зависит от того, как сайт хранит пароли. Если взломщики украли базу, где пароли хранятся в виде быстрых хешей, мощная видеокарта может проверять миллиарды вариантов в секунду. Хорошие сайты используют специально медленные алгоритмы, и тогда скорость падает до тысяч вариантов в секунду.
Задача
Пусть программа проверяет 10 миллиардов вариантов в секунду. Сколько времени займёт полный перебор паролей из предыдущей задачи?
PIN: 10 000 вариантов, меньше миллионной доли секунды.
Шесть строчных букв: 3 · 10⁸, около 0,03 секунды.
Восемь символов из 62: 2,2 · 10¹⁴ : 10¹⁰ = 22 000 секунд, около 6 часов.
Двенадцать символов: 3,2 · 10²¹ : 10¹⁰ = 3,2 · 10¹¹ секунд, это около 10 000 лет.
Ответ: мгновенно, мгновенно, около 6 часов, около 10 000 лет.
Поэтому PIN-коды защищают иначе: после трёх неверных попыток карта блокируется. А для паролей к почте и соцсетям нужна длина.
Почему «P@ssw0rd» плохой пароль
Расчёты выше верны для случайных паролей. Но люди придумывают пароли не случайно, и взломщики это знают. Сначала они проверяют словари: миллионы самых популярных паролей из утёкших баз, обычные слова, имена, даты рождения.
Хитрые замены вроде «а» на «@» и «о» на «0» тоже давно известны: программы перебора проверяют их автоматически. Поэтому «P@ssw0rd!» взламывается почти так же быстро, как «password». Самые популярные пароли в мире годами остаются одинаковыми: 123456, password, qwerty, 111111. Их взламывают мгновенно.
Вывод: сложность пароля для человека не равна сложности для компьютера. Важно, чтобы пароль был длинным и непредсказуемым, а не «хитрым».
Пароль из слов
Надёжный и запоминаемый способ: составить пароль из четырёх-пяти случайных слов. Например, «ёжик-фонарь-кастрюля-ракета». Такой пароль длинный, его легко представить картинкой и запомнить.
Задача
Пусть мы выбираем слова случайно из словаря на 5 000 слов. Сколько вариантов у пароля из четырёх слов? Сравните с паролем из 8 случайных символов (62⁸ ≈ 2,2 · 10¹⁴).
5 000⁴ = 6,25 · 10¹⁴.
Это примерно в три раза больше, чем у восьми случайных символов, а запомнить гораздо проще.
Ответ: около 6 · 10¹⁴, больше, чем у 8 случайных символов.
Главное условие: слова выбирать действительно случайно, например наугад открывая книгу или с помощью генератора. Фраза из любимой песни или известная цитата не подходит: они тоже есть в словарях взломщиков. А чтобы запомнить четыре случайных слова, придумайте из них смешную картинку: ёжик с фонарём варит в кастрюле ракету. Такая сцена запоминается с одного раза.
Такие пароли называют парольными фразами. Их рекомендуют многие специалисты по безопасности: длина делает их стойкими к перебору, а образность помогает человеку не забыть.
Правила безопасности
- Длина пароля не меньше 12 символов, а лучше пароль из нескольких случайных слов.
- Разные пароли для разных сайтов. Если утечёт один, остальные останутся в безопасности.
- Двухфакторная защита: кроме пароля, код из приложения или СМС. Даже украденный пароль без кода бесполезен.
- Менеджер паролей: программа, которая хранит все пароли под одним главным. Помнить нужно только его.
- Никому не сообщать пароли и коды из СМС, даже «сотрудникам банка» и «поддержке игры».
Как сайты хранят пароли в виде хешей, мы рассказали в статье о шифровании, а о том, как мошенники выманивают коды, в статье о схемах мошенников.
Разберём на занятии
Всё, что в этой статье связано со школой, разбираем на живых занятиях с 4 по 11 класс: один на один или в мини-группе до шести человек, с преподавателем, который знает, к чему ты готовишься.
Первое занятие бесплатное: можно посмотреть формат вместе с ребёнком и решить, подходит ли он.
Частые вопросы
Можно ли записать пароли в блокнот?
Бумажный блокнот дома защищён лучше, чем заметка в телефоне или файл «пароли» на компьютере: взломщики из интернета до него не дотянутся. Но удобнее и надёжнее менеджер паролей с одним длинным главным паролем.
Какой пароль поставить ребёнку на телефон?
Лучше графический ключ или PIN из шести цифр, которые ребёнок знает, а не дату рождения: её легко угадать. И обязательно объяснить, что пароль нельзя сообщать друзьям, даже лучшим.
Нужно ли менять пароль каждые три месяца?
Современные рекомендации специалистов по безопасности говорят, что регулярная смена без причины не нужна: люди начинают придумывать простые пароли с цифрой в конце. Менять нужно, если есть подозрение на утечку.
Как проверить, не утёк ли мой пароль?
Есть сервисы, которые проверяют адрес почты по базам известных утечек. Многие браузеры и менеджеры паролей тоже предупреждают, если сохранённый пароль встречался в утечках.