Паролі

Паролі — як ключі до цифрових домівок. Якщо всі двері відчиняються одним-єдиним ключем, який легко підібрати — ви в небезпеці.

Найчастіші помилки:

• один пароль для кількох сервісів;
• прості паролі, які «легко запам’ятати»^[1], або паролі з ПІБ, датою народження чи нікнеймом;
• паролі в незашифрованому файлі.

Як крадуть паролі

Витоки даних

Сервіси зламують, а викрадені паролі разом з адресами пошти перевіряють на інших сайтах. Так пароль від давно забутого форуму може відкрити вашу пошту, а через неї — й інші акаунти. Тому кожному сервісу потрібен окремий пароль, а не один і той самий з дописаною назвою сайту.

Фішинг

Лист про «блокування акаунта» може вести на підроблену сторінку входу, і від цього не захистить навіть найдовший пароль. Менеджер паролів допомагає помітити підміну: він не пропонує пароль на чужому домені. Якщо автозаповнення раптом не спрацювало, перевірте адресу. На важливі сервіси заходьте з закладок, а не за посиланнями з повідомлень.

Підбір

Нападники перебирають не всі комбінації символів, а поширені паролі, словники й відомі витоки, враховуючи заміни на кшталт a на @ та рік народження наприкінці. Викравши хеші паролів, вони перевіряють здогадки на власному обладнанні без обмежень на кількість спроб. Тут допомагають лише довжина та випадковість пароля.

Шкідливі програми

Шкідлива програма може записувати натискання клавіш, красти дані браузера або вже відкриту сесію. Від цього менеджер паролів не захистить: потрібні оновлення системи та обережність із програмами й розширеннями.

Сильні паролі

Символьні паролі

Для кожного сервісу генеруйте окремий випадковий пароль довжиною від 15 символів, а якщо сервіс дозволяє, — довший. Наприклад: Vq9!sL7@pT2#xN8zR4$k. Сама наявність великих літер, цифр і спецсимволів ще не робить пароль сильним: Password123! залишається поганим.

Якщо сервіс суворо обмежує довжину пароля (як-от деякі банківські застосунки), беріть символьний пароль максимальної дозволеної довжини: на кожен символ він дає більше стійкості, ніж парольна фраза.

Парольні фрази

Парольні фрази простіше запам’ятовувати та вводити вручну, але вони потребують більше символів, ніж символьний пароль порівняної стійкості.

Надійний спосіб — згенерувати шість або більше випадкових слів у менеджері паролів, наприклад: turmeric-kindling-polyester-taps-parasitic-orbit. Щоб запам’ятати слова, пов’яжіть їх з асоціаціями, не змінюючи саму фразу.

Випадкова цифра чи символ у випадковому місці фрази сильно підвищать її стійкість до підбору.

Якщо придумуєте фразу самостійно, уникайте цитат, рядків із пісень, поширених висловів та відомостей про себе: їх легко включити до словника для підбору. Довжина сама по собі ще не гарантує надійності.

Менеджери паролів

Менеджер паролів зберігає записи для входу в сервіси та генерує сильні паролі. З ним не потрібно пам’ятати десятки паролів — лише один майстер-пароль.

Майстер-пароль

Майстер-пароль потрібно запам’ятати та не використовувати більше ніде. Для цього підійде довга парольна фраза^[2].

Поки запам’ятовуєте, можна записати його на папері й покласти в захищене місце. Не фотографуйте цей запис і не тримайте пароль у нотатках на телефоні.

Який менеджер обрати

Перевірте, чи менеджер працює на ваших пристроях, як переносити дані та як відновити доступ.

Хмарні менеджери синхронізуються між пристроями:

• 1Password — найкращий комерційний варіант;
• Proton Pass — добрий варіант, якщо ви вже користуєтесь іншими сервісами Proton;
• Bitwarden — гарний безкоштовний варіант для особистого використання.

Менеджери з локальним сховищем, файл якого можна синхронізувати самостійно, — це програми формату KeePass:

• KeePassXC — Windows, macOS, Linux;
• KeePassDX — Android;
• KeePassium — iOS, macOS.

Зробіть сьогодні

Не обов’язково міняти всі паролі за один вечір:

• Встановіть менеджер, створіть майстер-пароль і перевірте, що сховище відкривається на потрібних пристроях.
• Замініть пароль основної пошти на згенерований: через неї можна скинути паролі інших акаунтів.
• Далі — фінансові сервіси, акаунти Apple, Google або Microsoft та робочі акаунти.
• Решту оновлюйте поступово, коли заходите в черговий сервіс.

Імпортовані старі паролі не стають безпечнішими: повторні та слабкі все одно треба замінити. А от сильний унікальний пароль не потрібно змінювати за розкладом, якщо немає ознак його викрадення.

Наступний крок — двофакторна автентифікація та план відновлення доступу.

Посилання

• How to Choose a Password, Computerphile
• Password Cracking, Computerphile
• The Best Password Managers to Protect Your Privacy, Privacy Guides

1. І так само легко забути. ↩

2. Не використовуйте паролі з цього посібника: це лише приклади! ↩