Эта статья основана на общедоступных исследованиях в области кибербезопасности, отраслевых отчетах и общепринятых методах обеспечения безопасности. Там, где упоминается личный опыт, об этом говорится прямо.

Утечка, о которой большинство забыли, но не должны были

В 2012 году LinkedIn подвергся одной из крупнейших на тот момент утечек данных в истории. Поздние анализы показали, что было раскрыто около 167 миллионов записей учетных записей, и около 117 миллионов из них включали адреса электронной почты и хеши паролей.

Когда службы безопасности изучили взломанные пароли, результаты оказались до боли знакомыми. password1, linkedin123 и подобные простые варианты встречались миллионами. Что еще интереснее — и тревожнее, — даже пароли, которые выглядели умно, такие как L!nk3d1n2020, быстро сдавались. Почему? Потому что они следовали шаблонам, которые люди используют почти всегда.

Я провел более пятнадцати лет, занимаясь тестированием на проникновение в сфере кибербезопасности. Моя работа — взламывать системы (законно), используя те же методы, на которые полагаются реальные злоумышленники. Пароли для меня не теоретическая тема; это то, провал чего я вижу на практике каждый божий день.

Как на самом деле атакуют пароли

Чтобы понять, почему одни пароли выживают, а другие нет, нужно посмотреть со стороны атакующего. Злоумышленники не сидят и не угадывают пароли по одному. Они автоматизируют всё.

Атаки по словарю (Dictionary Attacks): Они основаны на огромных коллекциях реальных паролей, слов, фраз и вариаций, собранных за годы утечек данных. Эти словари содержат миллиарды записей и продолжают расти.
Атаки на основе правил (Rule-Based Attacks): Они разрушительно эффективны против человеческой креативности. Инструменты автоматически применяют распространенные привычки: замену "o" на "0", добавление "123" или "!" в конце, написание первой буквы с заглавной, вставку года и так далее. Большинство "умных" паролей попадаются именно здесь.
Грубая сила (Brute Force): Перебор всех возможных комбинаций. Это звучит страшно, но против длинных, действительно случайных паролей, хранящихся с использованием современных алгоритмов хеширования, перебор быстро становится непрактичным просто потому, что это занимает слишком много времени.

Проблема с паролями, созданными самостоятельно

Нам нравятся пароли, которые мы придумываем сами, потому что они кажутся личными и запоминающимися. К сожалению, исследования — и опыт — показывают, что они также очень предсказуемы.

Шаблоны повторяются: Масштабные исследования, включая работу Университета Карнеги-Меллона, последовательно показывают одни и те же структуры: слово или имя, заглавная буква в начале и цифры или символы в конце. Содержание меняется, но форма остается прежней. Как только злоумышленники моделируют эту структуру, взлом становится значительно быстрее.
Длина достигает потолка: Большинство созданных пользователями паролей имеют длину от 8 до 10 символов. Не потому, что люди не знают, что длиннее — значит безопаснее, а потому что память подталкивает нас к более коротким строкам.
Личная информация просачивается: Дни рождения, клички домашних животных, годовщины — люди используют их постоянно. А в эпоху социальных сетей злоумышленникам часто даже не нужно угадывать.

Почему случайные пароли играют в другую игру

Пароль, созданный надежным генератором случайных паролей — что-то вроде r8$NpL#2qW9 — не просто "более сложный". Он фундаментально другой.

Каждый символ выбирается независимо. Нет слов, нет замен, нет человеческой логики. Один этот факт устраняет самые мощные инструменты злоумышленника: словари и правила.

С точки зрения цифр:

8-значный пароль, использующий только строчные буквы, имеет около 26⁸ вариантов (~209 миллиардов).
Добавьте заглавные буквы, цифры и символы, и вы внезапно окажетесь около 95⁸ (~6 квадриллионов).
Увеличьте это до 12 символов, и пространство станет астрономически большим.

Но реальное преимущество не только в размере — оно в том, что случайные пароли заставляют злоумышленников использовать грубую силу, что медленно, дорого и часто не стоит усилий.

Как выглядит взлом этих паролей на практике

С точки зрения пентестера, разница разительна:

Если пароль правильно хеширован чем-то вроде bcrypt или Argon2, грубая сила против случайной строки подразумевает временные рамки, которые делают атаку невыполнимой. В большинстве реальных случаев злоумышленник просто переходит к следующей цели.

Реальный компромисс: Люди против Случайности

Самая большая слабость случайных паролей не в безопасности — она в удобстве использования. Люди ужасно запоминают бессмысленные строки. Это и есть главное противоречие в безопасности паролей:

Пароли, которые люди хорошо помнят, как правило, слабые.
Пароли, которые сильны, как правило, невозможно запомнить.

Современные методы обеспечения безопасности существуют, чтобы преодолеть этот разрыв.

Что на самом деле работает сегодня

Основываясь на отраслевом консенсусе и реальном опыте:

Используйте менеджер паролей: Инструменты, такие как Bitwarden или 1Password, позволяют вам полагаться на один надежный мастер-пароль, в то время как все остальное — длинное, случайное и уникальное. Это широко считается лучшим вариантом для большинства людей.
Если нужно запомнить, используйте длину: Строка из несвязанных слов (например, coffee-zebra-battery-stapler) часто более устойчива к атакам — и ее легче запомнить, — чем короткий пароль, перегруженный символами.
Никогда не используйте пароли повторно: Как только один сайт взломан, повторное использование превращает это в эффект домино.
Включите двухфакторную аутентификацию (MFA): Электронная почта, банкинг, облачные аккаунты — всегда используйте многофакторную аутентификацию.
Проверьте утечки: Сервисы, такие как Have I Been Pwned, позволяют узнать, фигурирует ли ваша электронная почта в известных базах утечек.

Заключительные мысли

Это не философский спор о том, кто создает "лучшие" пароли — люди или машины. Это вопрос управления рисками.

Компьютеры хороши в генерации случайности. Люди хороши в защите одного секрета и реагировании на запросы, такие как MFA. Самый безопасный подход — позволить каждому делать то, что он делает лучше всего.

Готовы повысить свою безопасность? Сгенерируйте надежный офлайн-пароль сейчас для немедленной защиты ваших аккаунтов.

Почему злоумышленники любят пароли, созданные людьми