Пароль из 10 символов
Десять символов — распространённое требование форм, но по нынешним меркам это уже немного. Разбираем, где такой длины хватает, а где нет.
Пробел — новый пароль · C — копировать · M — скрыть
Длина пароля
Из чего собирать
Выберите хотя бы один набор символов.
Настройки парольной фразы
Словарь на 2048 слов — ровно 11 бит на каждое слово (метод Diceware). Шесть слов дают 66 бит, восемь — 88. Слова выбирает криптографический генератор, а не человек: в этом вся суть.
Шаблон пароля
a — строчная, A — заглавная, L — любая буква, 9 — цифра, # — символ, X — буква или цифра, * — любой выбранный символ, c/v — согласная/гласная. Остальные знаки подставляются как есть, \ экранирует.
Тонкая настройка
«Только безопасные символы» оставляет !@#$%^&*_-+=? — их принимают почти все сайты, и они не ломают командную строку, CSV и SQL.
Последние пароли (только в этой вкладке)
Что происходит с паролем
Пароль собирается в вашем браузере из криптографического источника случайности crypto.getRandomValues с отбраковкой смещения, поэтому все символы равновероятны.
Страница не отправляет пароли на сервер, не пишет их в память браузера и очищает историю при закрытии вкладки.
Пароль по буквам
Фонетическая расшифровка для диктовки по телефону. Регистр указан отдельно.
Что дают десять символов
Десять случайных символов из полного набора — около 65 бит. Через форму входа на сайте такой пароль не подберут никогда: там сотни попыток в секунду, и первая же блокировка останавливает перебор.
Другое дело офлайн-атака по украденной базе хешей. Там счёт идёт на десятки миллиардов попыток в секунду, и шестьдесят пять бит — это порядка двух месяцев работы одной видеокарты.
Вывод простой: для форума и разовой регистрации достаточно. Для почты, банка и всего, что хранит деньги или документы, — мало.
Почему формы просят именно десять
Число досталось в наследство от требований, написанных тогда, когда переборщик проверял тысячу вариантов в секунду. С тех пор скорость выросла в миллионы раз, а минимум в формах остался прежним.
Минимум — это граница, ниже которой не пускают, а не совет. Если форма разрешает больше, берите больше: шестнадцать символов вводятся не сложнее, если пароль живёт в менеджере.
Сколько времени занимает перебор при разной длине — таблица по годам.
Вопросы
Частые вопросы
Надёжен ли пароль из 10 символов?
Смотря против чего. Онлайн-подбор через форму входа он выдерживает с огромным запасом. Но при офлайн-переборе по украденной базе хешей десять случайных символов из полного набора дают около 65 бит — это примерно два месяца работы одной видеокарты. Для форума достаточно, для почты и банка мало.
Почему тогда сайты просят именно десять?
Число досталось в наследство от старых требований и обновляется редко. Ориентируйтесь не на минимум формы, а на то, что вы защищаете: минимум — это граница, ниже которой не пускают, а не рекомендация.
Что взять вместо?
Шестнадцать символов там, где пароль живёт в менеджере: разница в удобстве нулевая, а перебор перестаёт быть угрозой навсегда.
Дальше