Руководство по безопасности

Пароль против парольной фразы

Сравнение случайных символьных паролей и случайных словесных парольных фраз, включая запоминаемость, энтропию, хранение и безопасные сценарии использования.

Краткое содержание

Пароль обычно представляет собой строку случайных символов. Парольная фраза обычно представляет собой последовательность слов. И то, и другое может быть надёжным, если оно сгенерировано случайным образом, уникально и безопасно сохранено или запомнено. Правильный выбор зависит от того, что вам нужно: максимальная компактность, удобство ввода или запоминаемость.

Используйте генератор парольных фраз, когда вам нужны случайные слова, или генератор паролей, когда сайт ожидает компактный символьный пароль.

Случайные символьные пароли

Случайные символьные пароли эффективны: каждый символ может увеличивать пространство поиска. Они идеально подходят для менеджеров паролей, панелей администратора, Wi-Fi, банковских систем, электронной почты и секретов разработчиков. Недостаток в том, что их трудно запомнить и неприятно вводить на маленьких клавиатурах.

Случайные словесные парольные фразы

Парольные фразы легче читать и вводить. Ключевое слово — «случайные». Придуманное вами предложение, цитата, текст песни или знакомая фраза могут быть угаданы инструментами, основанными на шаблонах. Парольная фраза должна состоять из независимо выбранных слов из достаточно большого списка.

Практические рекомендации

• Используйте случайные символьные пароли для большинства учётных записей, хранящихся в менеджере.
• Используйте парольные фразы для учётных данных, которые вам, возможно, придётся запомнить.
• Не повторяйте ни тот, ни другой формат.
• Избегайте личных фраз, цитат, имён и дат.
• Проверьте, принимает ли целевой сайт пробелы или разделители.

Подробное руководство

Это руководство посвящено выбору между случайными символьными паролями и случайными парольными фразами. Оно написано для людей, которым нужны как надёжные сохранённые пароли, так и запоминающиеся секреты для входа, поэтому практическая цель — не создать драматическое заявление о безопасности. Цель — выбрать такую привычку использования паролей, которая выдержит повседневное использование: формы входа, менеджеры паролей, мобильные клавиатуры, восстановление учётной записи, общие устройства и случайные сервисы со странными правилами проверки. Надёжная рекомендация полезна только в том случае, если реальный человек может последовательно ей следовать.

Самый безопасный отправной пункт — случайность плюс уникальность. Случайность означает, что значение выбирается из большого пространства с помощью криптографически подходящего источника случайности, а не придумывается на основе дня рождения, клички питомца, шаблона клавиатуры или любимой цитаты. Уникальность означает, что один и тот же пароль не используется больше нигде. Пароль, который длинный, но повторно используется, может быть скомпрометирован быстро после одной несвязанной утечки, в то время как уникальный случайный пароль ограничивает ущерб одной учётной записью, где он был использован.

Для этой темы практический пресет — от четырёх до шести случайных слов для запоминаемости или случайные символы для хранения в менеджере паролей. Вы можете применить этот пресет с помощью генератора парольных фраз, а затем сохранить итоговое значение в надёжном менеджере паролей. PwdGen генерирует значения локально в браузере с помощью Web Crypto; сгенерированный пароль не отправляется на сервер PwdGen. Такая локальная конструкция снижает воздействие на сервер, но не защищает от всех угроз. Вредоносное расширение браузера, скомпрометированное устройство, фишинговая страница или небезопасная обработка буфера обмена всё ещё могут раскрыть секрет после его генерации.

Самые распространённые проблемы, которых следует избегать, — это рукописные фразы, известные цитаты, тексты песен, личные лозунги и словарные фразы, выбранные человеком. Эти проблемы важны, потому что злоумышленникам редко приходится перебирать все возможные пароли, когда человеческие привычки дают им лазейку. Подстановка учётных данных, фишинг, утекшие списки паролей и злоупотребление восстановлением учётной записи часто более реалистичны, чем чистый математический перебор. Вот почему лучший совет сочетает качество пароля с мерами контроля на уровне учётной записи, такими как MFA, ключи доступа, хранение кодов восстановления и регулярная проверка настроек электронной почты или телефона для восстановления.

Используйте этот контрольный список при применении рекомендации:

• Используйте случайно выбранные слова, а не придуманное вами предложение.
• Соблюдайте единообразие разделителей в соответствии с целевой формой.
• Не используйте одну и ту же парольную фразу для разных учётных записей.
• Используйте менеджер для длинных случайных паролей.

Если веб-сайт отклоняет идеальные настройки, не пытайтесь вручную подогнать пароль под более слабый шаблон. Изменяйте одну переменную за раз. Если символы отклоняются, оставьте заглавные, строчные буквы и цифры включёнными и увеличьте длину. Если максимальная длина мала, используйте максимально допустимую длину и убедитесь, что значение уникально. Если пароль нужно читать вслух, печатать или вводить на экране телевизора или роутера, рассмотрите возможность исключения запутанных символов и увеличьте длину, чтобы компенсировать меньший алфавит.

Наконец, помните о границах советов по паролям. Надёжный пароль — это один уровень защиты, а не гарантия. Он не может сделать фишинговую страницу безопасной, исправить вредоносное ПО или компенсировать сервис, который плохо хранит учётные данные. Полезная привычка скучна, но долговечна: сгенерируйте уникальное значение, храните его безопасно, защитите путь восстановления и быстро замените его, если подозреваете раскрытие.

Часто задаваемые вопросы

Всегда ли парольная фраза надёжнее пароля?

Нет. Случайная парольная фраза может быть надёжной, но знакомая цитата или предложение не эквивалентны случайно выбранным словам.

Когда следует выбирать парольную фразу?

Выбирайте парольную фразу, когда вам, возможно, придётся запомнить её или вводить вручную, особенно для мастер-пароля менеджера паролей.

Сколько слов должна содержать парольная фраза?

Четыре случайных слова — это практическая отправная точка; добавляйте больше слов для более ценных случаев использования или меньших списков слов.