Проверка надёжности пароля

За что начисляются баллы контрольной оценки

Вердикт складывается из простой оценки от 0 до 6. Каждый из этих пунктов добавляет один балл:

Длина сама по себе даёт три из шести баллов, потому что длина, важнейший фактор реальной надёжности.

Как оцениваются энтропия и время взлома

Энтропия, это число битов, необходимое, чтобы описать пароль, если бы каждый символ был случайным: length × log2(alphabet size). Размер алфавита складывается из использованных классов: 26 для строчных, 26 для прописных, 10 для цифр и 33 для распространённых символов, так что пароль, использующий все четыре, черпает из 95 возможных символов.

Оценка времени взлома предполагает офлайн-атакующего, у которого уже есть украденный хеш и который может перебирать около 10 миллиардов (10^10) попыток в секунду на быстрых потребительских GPU. Эта цифра соответствует слабым, быстрым хешам вроде MD5 или SHA-1. Медленные по замыслу хеши, такие как bcrypt или Argon2, снижают эту скорость в миллионы раз, поэтому тот же пароль гораздо безопаснее там, где они применяются.

Что этот инструмент проверяет и что не проверяет

• Он проверяет длину, наличие тех или иных классов символов, чистую энтропию в битах и оценку времени взлома на основе этой энтропии.
• Он не сравнивает ваш пароль со словарями, списками утёкших паролей, клавиатурными последовательностями (qwerty, 1qaz2wsx) или распространёнными заменами (p@ssw0rd). Пароль может пройти все проверки классов символов и всё равно легко угадываться, если это известное слово или скомпрометированный пароль.

Считайте оценку нижней границей, а не гарантией: она подскажет, что пароль слишком короткий или слишком простой, но высокая оценка не доказывает, что пароль непредсказуем.

Что на самом деле делает пароль надёжным

1. Сначала длина. Каждый дополнительный символ важнее любого другого отдельного изменения. Случайный пароль из 14 символов всегда лучше сложного из 8.
2. Случайность. Люди придумывают плохую энтропию в голове. Пусть символы выбирает генератор.
3. Распределяйте разнообразие. Ставьте цифры и символы где угодно, а не только в конце, где их ждут взломщики.
4. Один пароль на один сайт. Надёжный пароль, повторно использованный на 50 аккаунтах, безопасен ровно настолько, насколько безопасен самый слабый сайт, где он хранится.

Безопасная рекомендация

• Используйте менеджер паролей, чтобы создавать и хранить уникальный случайный пароль из 16 и более символов для каждого сайта.
• Используйте парольную фразу из 5–8 случайных слов для тех немногих паролей, которые приходится вводить вручную, например для мастер-пароля менеджера.
• Включайте двухфакторную аутентификацию (2FA) везде, где она предлагается.
• Проверяйте pwnedpasswords.com, прежде чем продолжать использовать любой пароль, ведь этот инструмент не видит, утёк ли ваш пароль ранее.