• Домой
• Пароли

Создание и хранение надежных паролей

Обновлено 28 March 2024

Пароли важны для защиты вашей личности и данных. К сожалению, это знают и злоумышленники. В их арсенале есть немало способов заполучить ваши пароли.

Защититься от них помогут некоторые важные инструменты и тактики.

Берегите свои пароли

• Используйте только безопасное, обновленное, защищенное, доверенное устройство для доступа к своим аккаунтам и работы с важной информацией, такой как пароли. В главе о телефонах и компьютерах есть советы о том, как обезопасить свое устройство.
• Используйте менеджер паролей. Никакой мозг не в состоянии придумать и запомнить пароли, достаточно длинные, случайные и уникальные — пароли, которые обеспечат защиту всех ваших устройств и аккаунтов. Парольный менеджер умеет генерировать и хранить пароли. Он защищает их с помощью шифрования. Подробнее о том, какие бывают парольные менеджеры и как их использовать, мы рассказываем в соответствующей главе нашего руководства.
• Используйте двухфакторную аутентификацию (ДА), иногда ее называют мультифакторной. Она добавляет второй фактор к процедуре входа в аккаунт. Даже если злоумышленник сумеет добраться до вашего пароля, у него ничего не выйдет: при включенной ДА ему понадобится выполнить второе условие, посложнее. О том, как самым безопасным образом использовать ДА, вы можете узнать в нашем руководстве.

Читайте дальше, чтобы больше узнать о защите паролей и аккаунтов от самых распространенных атак.

Создавайте надежные пароли

По сути, мы предлагаем вам создавать все нужные пароли в офлайновом парольном менеджере. Запомнить придется лишь несколько парольных фраз подлиннее. Они понадобятся, чтобы открыть устройство, на котором установлен парольный менеджер, и войти в сам парольный менеджер.

При желании можете создать все пароли вручную. Ниже перечислены минимальные условия, при которых пароль может считаться достаточно надежным.

• Создавайте длинные пароли. Разумный минимум — 12 символов (лучше 14).
• Используйте буквы, цифры и спецсимволы.
• Следующие приемы сами по себе не делают ваши пароли более надежными. Можно использовать, если у вас уже есть надежный пароль и вы хотите усложнить его.
  • Замена букв похожими символами или цифрами (например, "а" менять на "@", букву "O" на цифру "0" и т.п.). Это старый прием, хорошо знакомый взломщикам паролей.
  • Добавление восклицательного знака, или цифры, или иного знака препинания в конце. Еще один прием, о котором наслышаны злоумышленники.
  • Замена каждой первой буквы слова на заглавную. И снова — распространенная техника, которую учтет атакующий.

Прочие рекомендации:

• не делайте пароль из единственного слова, которое легко найти в словарях;
• не используйте в качестве пароля простые фразы, например, известные цитаты из песен и стихов;
• не используйте слова или числа, связанные с вами или близкими вам людьми/организациями, например:
  • имена людей, клички домашних животных, названия организаций;
  • даты рождения, даты праздников, юбилейные даты;
  • телефонные номера, адреса;
  • прочие данные, которые посторонний человек может разузнать о вас.
• Часто менять пароли нет необходимости. О том, когда лучше менять пароли, рассказывается здесь.

Запомните несколько надежных паролей

Парольный менеджер может хранить ваши надежные и уникальные пароли в базе. Но и тогда вам придется запомнить парочку надежных паролей. Как минимум, чтобы получить доступ к устройству и к самому парольному менеджеру.

• Если вы знаете английский язык, для создания надежных, но запоминаемых паролей можно использовать метод игральных костей.
  1. Cкачайте пронумерованный список слов и раздобудьте где-нибудь пять кубиков.
  2. Бросьте кубики и посмотрите, какое цифры выпали на верхних гранях (например: 6, 2, 5, 1, 1).
  3. Найдите в списке слово под соответствующим номером (в нашем примере 62511).
  4. Повторите 6 раз, и полученные 6 слов составят ваш пароль.
     • Нигде больше не используйте эту парольную фразу.
  5. Создайте ассоциативный ряд с использованием слов из вашего пароля. Это поможет запомнить пароль.
  6. Практикуйтесь, используйте пароли регулярно, поначалу ежедневно, потом хотя бы раз в неделю. Повторение поможет вам зафиксировать пароли в памяти.
• Если у вас нет кубиков, можно создать такую парольную фразу с помощью генератора паролей в KeePassXC.
• В качестве альтернативы можно использовать метод книги.
  1. Возьмите любую книгу, лучше всего не связанную с вашей основной работой.
  2. Откройте книгу на любой странице.
  3. Закрыв глаза, ткните пальцем в страницу и выберите таким образом случайное слово.
  4. Повторите 6 раз, чтобы получить 6 случайных слов.
     • Этот способ менее безопасен, чем его аналог с кубиками, особенно если вы используете книгу из офиса: выбранные слова "менее случайны". Но если вы не хотите устанавливать специальную программу и выберите произвольную книгу (журнал), это хороший вариант для создания надежных и запоминаемых паролей.

Если нужно с кем-то поделиться паролем

• Старайтесь избегать ситуации, когда нужно с кем-либо делиться паролем.
  • Если приходится делиться с другом, членом семьи или коллегой, сначала поменяйте свой обычный пароль на что-нибудь другое, временное, и поделитесь этой "заменой". Когда надобность в расшаривании пароля отпадет, верните себе оригинальный пароль.
  • Подумайте о том, чтобы завести отдельные аккаунты для всех, у кого есть доступ к сервису. Многие сервисы это позволяют. Можно ограничить действия, которые разрешены владельцам тех или иных аккаунтов, и показывать им лишь определенные данные.
  • Если нужно предоставить кому-то доступ к вашему устройству, лучше создать для этого отдельную учетную запись. Почитайте наши базовые рекомендации о том, как это сделать для Android, Linux, macOS и Windows.
    • Из устройств iOS эта опция доступна только в iPad (подробнее см. здесь.
• Если вам и правда необходимо поделиться паролями с кем-то еще, можно настроить KeePassXC для совместного использования паролей. О том, как это сделать, рассказано в документации KeePassXC.

Узнайте, была ли утечка ваших паролей

• Загляните на сайт ';--have i been pwned? и убедитесь, что ваших аккаунтов нет в списке скомпрометированных.
  • Если все-таки обнаружили аккаунт в списке, немедленно смените пароль в соответствии с инструкциями по использованию парольного менеджера.
• Но даже если ваших аккаунтов там нет, лучше следовать рекомендациям из этого гайда, потому что о многих "сливах" мы не знаем.

Как злоумышленники могут заполучить пароли

Ниже перечислены самые распространенные способы, какими злоумышленники могут заполучить ваши пароли.

1. Они могут угадать пароль:
   • используя личные данные, такие как важные даты или имена, любимые вами цитаты, названия песен, имена авторов;
   • используя словари паролей;
   • слегка изменяя те пароли, которые были у вас в прошлом;
   • с помощью программы для перебора всех возможных комбинаций.
2. Их могут интересовать:
   • где вы записываете свои пароли (например, где-то на рабочем столе);
   • на что вы смотрите, когда вводите пароль;
   • пароли, ранее "утекшие" и ставшие доступными онлайн.
3. Они могут попытаться вас обмануть:
   • установить вредоносное приложение, чтобы записать пароль;
   • подтолкнуть вас к тому, что вы введете пароль на фейковой странице (фишинг);
   • выудить у вас пароли или другие важные данные, притворяясь службой техподдержки или кем-то из ваших знакомых (социальная инженерия);
   • Подробнее о том, как распознать попытки заставить вас действовать без оглядки и давить на ваши эмоции, можно прочесть в нашем руководстве по вредоносным программам.
4. Они могут использовать уязвимости:
   • взломать сайт, где вы обычно вводите пароль;
   • украсть пароль, сохраненный в вашем браузере;
   • вытащить пароль из приложений на вашем телефоне.

Не раскрывайте свой пароль по чьей-то просьбе (по звонку, сообщению или в электронном письме)

• Для проверки зайдите на сайт или в приложение, откуда (предположительно) пришло сообщение.
  • Примеры уведомлений, которые могут приходить от разных сервисов, вы найдете в нашем материале о защите данных в соцсетях.
• Если вы знаете человека или организацию, которая отправила сообщение, свяжитесь с ней напрямую по другому каналу и проверьте, правда ли это.
  • Например, если сообщение пришло по email, позвоните отправителю.
  • Не щелкайте по ссылкам в электронном письме, не отвечайте на письмо.
• Имейте в виду: когда автор сообщения пытается вас напугать, или чем-то приманить, или вызвать у вас тревогу об упущенной возможности, или иным способом подтолкнуть вас к быстрым необдуманным действиям, это может быть попыткой фишинга. Сделайте паузу, придите в спокойствие и попробуйте проверить поступающую информацию.

Когда нужно менять пароль

Далее перечислены ситуации, в которых мы советуем немедленно сменить пароль.

• Вы предполагаете, что ваш аккаунт, устройства или коллеги (близкие люди) стали жертвами взлома.
• Вы ввели пароль на устройстве, которому не следует доверять, или на устройстве с общим доступом (возможно, там установлен вредоносный код).
• Вы тревожитесь из-за того, что кто-то мог подсмотреть набираемый вами пароль.

Минимизируйте ущерб: предупредите тех, кого может затронуть проблема.

Также подумайте о смене пароля, если вы получили заслуживающее доверие предупреждение от используемого вами сервиса о попытке входа с неизвестного устройства или из непривычного места. Чтобы понять, скомпрометирован ли ваш пароль, лучше предпринять следующие шаги.

• Обратите внимание, есть ли в новостях сообщения о взломах.
• Если получили предупреждение (по email или в другом формате), проверьте на сайте владельца сервиса, отправляли ли они в самом деле такое сообщение. Никогда не переходите по ссылкам в электронных письмах, SMS или сообщениях чатов.

О том, как сменить пароль на устройстве, см. наше руководство по соцсетям и базовые руководства по безопасности для Android, iOS, Linux, macOS и Windows.

Не забывайте, где находитесь и кто может подсмотреть пароль

• Если вы оказались в общественном месте и набираете пароль, обратите внимание, может ли кто-нибудь заглянуть (или даже вести запись) из-за плеча.
• Убедитесь, что никто не наблюдает за клавиатурой или телефоном, когда вы набираете пароли.
• Используйте специальный экран для защиты приватности. Он создает помехи для любителей подглядывать.

Избегайте биометрии (отпечатка пальца или распознавания лица)

• Если для доступа к вашему устройству используется распознавание лица или отпечаток пальца, смените этот вариант на пароль.
• См. базовые руководства по безопасности для Android, iOS, Linux, macOS и Windows.

Может, использовать ключи доступа?

Некоторые онлайновые платформы могут предложить вам вместо логина и пароля использовать ключ доступа, см. также на русском.

Ключи доступа лучше защищают от фишинга, но сильно зависят от биометрии и облачного обмена данными, который мы не советуем использовать ни для какой сенситивной информации, тем более для входа в аккаунты. Впрочем, если вы считаете, что подвергаетесь серьезным фишинговым атакам, ключи доступа могут оказаться решением. Нужно лишь найти способ использовать их без биометрии и облачного обмена данными.

Для начала работы с ключами доступа понадобился или парольный менеджер с поддержкой ключей доступа, или специальный чип безопасности, встроенный в компьютер или телефон. В большинстве случаев люди разблокируют свои ключи с помощью облачных парольных менеджеров или тем же способом, что само устройство (часто это биометрия — отпечаток пальца или распознавание лица).

Но в этом нет необходимости. Как правило, вы можете хранить ключи доступа более безопасными способами. Например, на отдельном физическом устройстве-ключе безопасности или в специальном чипе на компьютере или телефоне. Соответственно, доступ к чипу мы советуем защищать с помощью надежного пароля, а не биометрии.

Ключи доступа можно хранить в KeePassXC. Для этого нужно включить интеграцию KeePassXC с браузером. Правда, это решение зависит от браузера, а тот может сам оказаться объектом атаки. Специальные чипы для обеспечения безопасности и физические ключи все-таки надежнее.

Придумывайте более безопасные ответы на вопросы для восстановления пароля

У многих сервисов есть опция "восстановления пароля" по ответу на контрольный вопрос. Этот ответ вы сообщаете сервису при создании аккаунта. Чтобы эту информацию было сложнее угадать, следуйте нашим советам:

• используйте в качестве ответа фейковые данные, не связанные с вами;
• можно использовать случайный код, созданный генератором паролей в парольном менеджере;
• не забудьте сохранить ответ в парольном менеджере, чтобы не забыть эту информацию и не потерять доступ к аккаунту.

Что почитать

• Surveillance Self-Defense, "Создание надежных паролей"

• Tech Radar, "The dangers of password sharing at work"

• Исследователь в области безопасности Дэниел Мисслер (Daniel Miessler) составил список 10 тысяч самых популярных паролей. Старайтесь не использовать ничего из этого списка.

• Wikipedia предлагает содержательные статьи о passwords, о том, как сделать пароли надежными и взломе паролей.