Требования к паролям писались тогда, когда переборщик проверял тысячу вариантов в секунду, а главной угрозой была дискета из чужих рук. С тех пор изменилось почти всё, а советы остались прежними — и часть из них теперь вредит.
Миф 1. Пароли надо менять каждый месяц
Пароли надо менять каждый месяц
Единственный совет, официально признанный вредным. Кого заставляют менять пароль по календарю, тот не придумывает новый, а приписывает к старому цифру.
Самое устойчивое заблуждение и единственное, которое официально признано вредным. Человек, обязанный менять пароль по календарю, не придумывает новый — он приписывает к старому цифру.
Не требуйте от пользователей менять пароли по расписанию. Смена по расписанию заставляет людей выбирать предсказуемые изменения уже известных паролей.
NIST SP 800-63B, рекомендации по цифровой идентификации
Вместо: менять по событию — утечка, увольнение имевшего доступ, подозрение на компрометацию. Подробнее в парольной политике.
Миф 2. Обязательно нужны спецсимволы
Спецсимволы обязательны
Требование «заглавная, цифра и символ» рождает «Пароль1!» — формально годный, фактически ужасный. Длина решает больше, чем набор символов.
Требование «заглавная, цифра и знак» порождает «Password1!» — формально соответствует, реально ужасно. Люди ставят символы предсказуемо: заглавная первой, цифра и восклицательный знак в конце.
Вместо: длина. Двадцать символов из букв и цифр надёжнее двенадцати со знаками — и вводится вдвое проще.
Миф 3. Записывать пароли нельзя
Совет из времён, когда угрозой был коллега, заглядывающий в стол. Сегодня ваш пароль подбирают из другого города по утёкшей базе, и бумажка в ящике стола ему недоступна.
Вместо: записывать, но с умом. Менеджер паролей для всего, бумага для мастер-пароля рядом с документами. Опасна не запись, а стикер на мониторе в открытом офисе.
Миф 4. Мой пароль никому не нужен
Вас не выбирают. Берут базу из миллиона пар «логин-пароль» и проверяют её на сотнях сайтов автоматически. Попадают те, у кого пароль повторялся, — без разбора, кто это.
Миф 5. Замок в адресной строке значит, что сайт настоящий
Он означает только шифрование канала. Сертификат для поддельного домена выдаётся бесплатно за пять минут, и большинство фишинговых страниц работает по HTTPS. Разбор признаков — в статье про фишинг.
Миф 6. Двухфакторная защита неудобна
Возражение из времён, когда код приходил только по SMS и терялся в роуминге. Сейчас приложение показывает код без интернета, а доверенные устройства не спрашивают его каждый раз.
Реальность: лишние три секунды при входе раз в месяц против единственной защиты, которая работает после утечки пароля.
Миф 7. Парольная фраза слабее случайного пароля
Зависит от числа слов. Семь случайных слов дают около 77 бит — примерно как двенадцать случайных символов. Важно, чтобы слова выбирал генератор: придуманная человеком фраза заметно слабее. Подробное сравнение.
Миф 8. Браузер хранит пароли надёжно
Надёжнее текстового файла, но у хранилища браузера две слабости: пароли доступны любому, кто сел за разблокированный компьютер, и привязаны к одному браузеру. Плюс их видит вредоносное расширение.
Миф 9. Взлом виден сразу
Наоборот: тот, кто получил доступ, заинтересован в тишине. Чем дольше вы не замечаете, тем больше он успеет — поэтому признаки взлома приходится искать целенаправленно.