Почему вам нужен более длинный пароль

Полезная статья в издании How-To Geek о том, почему мы должны использовать длинные пароли. Вещи вроде бы общеизвестные, но при этом огромное количество людей до сих пор использует пароли вида Password123, а потом они начинают жаловаться, что их почту взломали, их учетку в соцсетях взломали, вообще все взломали. А ведь пароль "Svetlana2005Love" казался таким устойчивым...

Ну и не устану повторять: не надо придумывать пароли, доверьте это дело соответствующей программе. Придумайте один единственный устойчивый пароль, а для всего остального пароли пускай для вас создает и хранит хороший менеджер паролей.

Но статью ниже - гляньте, она полезная. Нужно хорошо понимать, какие пароли являются устойчивыми, а какие нет, и что такое "энтропия пароля".

Всем нам знакомо раздражение при создании нового аккаунта в Интернете: вы вводите нужный пароль, а потом сервис задирает вам нос по поводу минимальной длины и использования специальных символов. Однако на это есть своя причина, и в этой статье я расскажу, почему вам нужен длинный пароль.

Короткий ответ - энтропия пароля. Этот термин звучит гораздо сложнее, чем есть на самом деле, если вы не знакомы с криптографией, поэтому давайте рассмотрим, что такое энтропия пароля.

Что такое энтропия пароля?

Энтропия пароля - это показатель того, насколько непредсказуемым и случайным является ваш пароль. Энтропия пароля измеряется в битах - основной единице измерения информации в вычислительной технике. Больше бит - лучше, и большинство экспертов сходятся во мнении, что энтропия должна составлять не менее 64 бит, хотя это число является спорным. Более высокая энтропия означает, что ваш пароль является более случайным. Когда речь идет о защите, случайность - это хорошо.

Давайте немного объясним это. Когда злоумышленник хочет проникнуть в вашу учетную запись или устройство, он обычно пытается подобрать пароль, так как это часто единственное, что его защищает, если только у вас не включена двухфакторная аутентификация. Поскольку многие люди не заботятся о включении двухфакторной аутентификации, это превращает пароли в так называемую единую точку отказа.

Лучший способ атаки на пароль - атака по словарю, то есть программа, которая пытается «угадать» пароль, перебирая распространенные слова и фразы. Это почти буквальное перебирание всего словаря, а также распространенных вариаций пароля. Как только пароль угадан, злоумышленник получает доступ.

Грубая сила и случайность

Атаки по словарю - эффективны: большинство атак позволяют взломать простой пароль за несколько секунд (компания Hive Systems, специализирующаяся на кибербезопасности, ведет несколько таблиц с подробной информацией об этом).

Поскольку атаки по словарю основаны на предсказуемости (слова, которые уже существуют), единственным хорошим способом борьбы с ними является добавление случайности в пароли. Многие люди знают об этом, поэтому они добавляют несколько символов к существующим паролям, чтобы создать что-то вроде «p@ssword» или «password123».

Однако это не работает, поскольку не является случайным. Злоумышленники могут легко учесть такое изменение, и им потребуется на наносекунду больше времени, чтобы получить доступ к учетной записи. Чтобы приблизить пароль к действительно случайному, необходимо полностью исключить человека из уравнения и использовать компьютер для создания случайного пароля. Лучшие менеджеры паролей - программы, которые создают и хранят пароли за вас, имеют такую функцию.

Как энтропия влияет на длину пароля

Большая энтропия создает лучшие пароли, но что именно делает энтропию лучше? Есть четыре фактора, которые следует принять во внимание:

• Длина пароля
• Использование специальных символов
• Использование заглавных символов
• Использование цифр

Все эти факторы важны, но длина играет особую роль, для объяснения которой нам понадобятся некоторые математические выкладки.

Как рассчитать энтропию пароля

Как уже говорилось, энтропию можно измерить, а значит, ее можно и вычислить. Формула для этого выглядит следующим образом:

E = log2(RL)

• E означает энтропию и является результатом, который мы вычисляем. Чем выше, тем лучше
• L - это длина пароля, то есть сколько в нем символов.
• R - это диапазон, сколько символов у вас в распоряжении, о чем я расскажу чуть позже.
• log2 - это математическая формула, которая позволяет вычислить необходимое количество бит - для наших целей нам не нужно ее понимать.

Как только мы разберем ее на части, эта формула окажется не такой уж страшной, но нам все же придется перейти к диапазону. При использовании обычной американской раскладки клавиатуры у вас есть 26 букв. Если бы вы создавали пароль, используя только строчные буквы, то ваш диапазон был бы равен 26. Если использовать калькулятор энтропии, предполагая длину в восемь символов, то энтропия составит 37,60 бит, что просто ужасно.

Если мы добавим заглавные буквы, то удвоим ваш диапазон до 52, поскольку заглавные буквы считаются отдельными для наших целей. Это даст вам энтропию в 45,60 бит. Это все еще не очень хорошо, но мы продвигаемся вперед.

Если мы добавим цифры 0-9, то получим диапазон 62, а если добавим 33 символа, то диапазон увеличится до 95. Используя всего 8 символов, мы получаем энтропию 52,56 бит, что все еще намного меньше 64 бит. Единственный способ еще больше увеличить энтропию - сделать пароль длиннее.

Какой должна быть минимальная длина пароля?

Остается вопрос о том, какой длины должен быть пароль. Для этого нужно решить, сколько бит энтропии нам нужно. Хотя общепринятым ответом является 64, с учетом скорости развития технологии взлома, о которой говорилось в статье Hive Systems, мы, возможно, захотим проявить осторожность и остановиться на 100 битах энтропии.

Учитывая это, мы можем перевернуть формулу и получить длину в 16 символов, предполагая, что мы используем все 95 символов. Это даст нам энтропию в 105,12 бит. 15 символов тоже подойдут, так как это даст нам 98,55 бит, но ниже этого значения вы окажетесь на опасной территории. Конечно, если вы работаете с количеством символов меньше 95, вам в любом случае придется использовать более длинный пароль.