Книга: Анонимность и безопасность в Интернете. От «чайника» к пользователю

9.1. Выбор хорошего пароля

9.1. Выбор хорошего пароля

Многие пользователи используют пароли вроде 1, 1234, qwerty, а потом удивляются, почему их почтовый ящик или страничка в социальной сети взломана. Ответ прост – к ней подобрали пароль. Причем злоумышленнику было это сделать очень просто (точнее программе, которую запустил хакер, не пришлось долго работать) – такие пароли подбираются очень быстро.

Некоторые сервисы не позволяют вводить слишком простые пароли – например, ограничивают их по минимальной длине и требуют наличия в пароле как букв, так и цифр. Но пользователи и тут выкрутились. Например, если требуется длина 8 символов, то вводят пароль 12345678, а если требуется наличие как букв, так и цифр, – qwerty11. Но все это неправильные пароли.

Существует два основных способа подбора пароля: по словарю и методом грубой силы (от англ. brute force). Первый способ заключается в использовании словаря наиболее популярных слов – программа последовательно перебирает весь свой словарь. Если пароля нет в словаре, то и его подбор невозможен. Второй способ заключается в подборе перестановок букв в слове. Эффективность этого метода зависит от длины пароля – чем меньше длина, тем выше эффективность. Теоретически методом грубой силы можно подобрать любой пароль. Но если пароль длинный (как минимум – 8 символов), на его подбор будет потрачено очень много времени. А за это время может произойти что угодно: или администратор сервера определит, что идет атака brute force, или вы поменяете пароль (и сделаете его еще сильнее), или информация потеряет актуальность… Мы разберемся, как создать хороший пароль, устойчивый к обоим видам атак.

Вот несколько советов, которые помогут вам создать "хороший" пароль.

? Минимальная длина пароля – 8 символов. Чем больше – тем лучше. От количества символов (длины пароля) зависит количество перестановок букв в слове. Чем больше перестановок, тем сложнее программе подобрать пароль. Наверняка такой подбор будет замечен сервером и попытка взлома вашего почтового ящика окажется неудачной. Если длина пароля 8 символов, то перестановок может быть 8! (8 факториал, если кто забыл математику), то есть программе нужно будет сделать 8! попыток, чтобы подобрать пароль. Но попыток будет еще больше, поскольку программа заведомо не знает, сколько символов в пароле. Следовательно, ей придется проделать гораздо больше попыток, чем 8! (хотя и первая может быть удачной – все зависит от сложности пароля). Многие серверы блокируют на несколько часов доступ к аккаунту после 3–5 неудачных попыток ввода пароля. Следовательно, программе нужно будет трудиться очень долго. Если вы можете запомнить пароль из 10 символов, это еще лучше. Если же с памятью совсем плохо, то далее будут рассмотрены программы для автоматического ввода паролей.

? В пароле должны быть как буквы, так и цифры, причем регистр букв должен меняться. Желательно, чтобы цифры не повторялись. Вот пример пароля с изменяющимся регистром символов и цифрами: BroaD17.

? Используйте не только алфавитно-цифровые символы. Самый обычный знак подчеркивания существенно усложняет пароль и увеличивает количество перестановок. Вот пример усложненного пароля: B_roaD17.

? С одной стороны, хорошо, когда пароль хорошо запоминается. Так меньше вероятность, что вы его забудете. С другой стороны, старайтесь, чтобы последовательность символов в пароле не являлась значащим словом – такие пароли быстро подбираются с помощью словаря. Наши пароли BroaD17 и B_roaD17 не идеальны с точки зрения словарной атаки. Ведь оба пароля содержат значащие (словарные) слова: broad и road. Идеальная защита от словарной атаки – пароль, сгенерированный из случайных символов, например: sRkTnbs19.

Однако такой пароль ничего не означает и не вызывает у человека никаких ассоциаций, поэтому сложен для запоминания. Чтобы защитить пароль и от словарной атаки, и от brute force, комбинируйте в пароле как словарные слова, так и случайные символы. Например: road_sjt_91. Такой пароль сложен для двух способов подбора. Для brute force он довольно длинный (11 символов) и к тому же содержит знак подчеркивания. А для словарной атаки тоже не по зубам – в словаре будет слово road, но в нем вряд ли будет последовательность sjt.

? Некоторые пользователи вводят русские слова при включенной английской раскладке. Например, последовательность символов ljhjuf означает всего лишь слово "дорога". Но такие "перевернутые" словари уже давно есть у хакеров, так что этот метод уже не действует, и хотя сам пароль выглядит грозно, однако толку от него – 0.

? Не используйте в пароле ваши личные данные (номер паспорта, номер телефона, дату рождения), имена близких и родственников, домашних питомцев и т. п. Все это – общедоступная информация, следовательно, если злоумышленник – кто-то из близкого вам окружения, он сможет подобрать пароль.

? Некоторые сервисы, например, Mail.Ru, для восстановления пароля требуют ввести ответ на контрольный вопрос. Контрольные вопросы очень просты: номер паспорта, имя любимого питомца и т. п. Этим могут воспользоваться злоумышленники – ведь узнать номер вашего паспорта или имя питомца, думаю, можно, особенно, если пароль пытаются подобрать люди, с которыми вы знакомы. Поэтому выберите любой контрольный вопрос, но в качестве ответа введите заранее подготовленный второй пароль.

? Опять-таки для восстановления пароля может быть использован второй ваш e-mail. Но если к нему получит доступ злоумышленник (по причине простого пароля), он сможет легко взломать ваш основной почтовый ящик – почтовый сервер сам отправит новый пароль по указанному в настройках адресу…

Используйте эти рекомендации для создания сложного пароля. И если нужен действительно серьезный пароль, тогда лучше всего использовать генератор паролей, который будет рассмотрен в разд. 9.2.

Помните, что пароль должен периодически меняться. Конечно, каждый день его менять не стоит, иначе сами запутаетесь. Меняйте пароль, например, раз в три месяца. Но смените пароль сразу же, если была замечена попытка входа с другого IP-адреса. Некоторые сервисы, например тот же Mail.Ru, сообщают, с какого адреса был выполнен последний заход и когда именно. Если вы видите, что IP-адрес не ваш, этот почтовый ящик уже кто-то взломал. А то, что вы еще можете войти в него под своим паролем, означает, что злоумышленник не хочет, чтобы вы знали о том, что ящик взломан, – он просто хочет читать вашу почту и надеется, что вы не заметите попытки взлома. Сложнее, если вы и злоумышленник находитесь в сети одного провайдера – тогда адреса, скорее всего, будут одинаковыми – вы подумаете, что в прошлый раз вам просто был назначен другой адрес… Вот для этого и нужно периодически менять пароли – даже если вы не заметите, что ящик кто-то взломал, вы рано или поздно все равно поменяете пароль, и злоумышленнику придется начать его подбор сначала.

Оглавление книги