Надёжный пароль — первый рубеж защиты аккаунта. Слабые пароли взламываются за секунды перебором, утечками из баз и социальной инженерией. В этом руководстве разберём, что делает пароль сильным, какие правила устарели и как генерировать пароли, которые реально сложно подобрать. Для генерации используйте Генератор паролей на reChecker. Дополнительный контекст — в статье Безопасность паролей в 2026.
Почему пароли всё ещё важны
Несмотря на рост 2FA и passkeys, пароли остаются основой аутентификации. Многие сервисы не поддерживают ключи доступа, а резервные коды и SMS привязаны к паролю. Утечка пароля даёт атакующему доступ к аккаунту, даже если включена двухфакторная аутентификация — восстановление часто идёт через email, защищённый тем же паролем.
Типичные векторы атак:
- Брутфорс — перебор по словарю и комбинациям
- Утечки — пароли из взломанных баз попадают в открытые коллекции
- Фишинг — пользователь вводит пароль на поддельном сайте
- Социальная инженерия — угадывание по датам рождения, именам, хобби
Длина важнее сложности
Классическое правило «минимум 8 символов, буквы, цифры, спецсимволы» устарело. Современные рекомендации (NIST, OWASP) делают акцент на длине.
| Длина | Символы | Примерное время перебора (10^9 попыток/с) |
|---|---|---|
| 8 | 95 | Секунды |
| 12 | 95 | Несколько дней |
| 16 | 95 | Тысячи лет |
| 20 | 95 | Миллионы лет |
95 — количество печатных ASCII-символов (буквы, цифры, спецсимволы). Реальный перебор медленнее из-за хеширования, но тренд ясен: длинный пароль значительно надёжнее короткого «сложного».
Рекомендуемая длина
- Минимум 12 символов для обычных аккаунтов
- 16+ символов для критичных (email, банк, админки)
- 20+ символов для мастер-пароля менеджера паролей
Энтропия и случайность
Энтропия измеряет непредсказуемость пароля. Формула: log2(N^L), где N — размер алфавита, L — длина. Пароль из 16 случайных символов (95 вариантов) даёт около 105 бит энтропии — этого достаточно против перебора.
Человеческие пароли предсказуемы: замены o на 0, a на @, добавление ! в конец. Атакующие учитывают эти паттерны. Случайная генерация устраняет предсказуемость.
Расчёт энтропии
| Алфавит | Размер N | Пример |
|---|---|---|
| Цифры | 10 | 0-9 |
| Строчные буквы | 26 | a-z |
| Строчные + заглавные | 52 | a-z, A-Z |
| Буквы + цифры | 62 | a-z, A-Z, 0-9 |
| Печатные ASCII | 95 | буквы, цифры, спецсимволы |
Пароль из 8 символов с алфавитом 95 даёт 8×log2(95) ≈ 52 бита. Для 128 бит безопасности нужно около 20 случайных символов из алфавита 95.
Что ослабляет пароль
Словарные слова
Summer2024! — типичный «сложный» пароль. Словарь, год и спецсимвол в конце — стандартный шаблон. Такие пароли быстро подбираются комбинациями словарей и суффиксов.
Персональная информация
Даты рождения, имена, названия питомцев, клички — всё это легко узнать. Не используйте в паролях ничего, что можно найти в соцсетях или угадать.
Повторение символов
aaaaaaaa или 12345678 — нулевая энтропия. Повторы сокращают эффективную длину.
Переиспользование
Один пароль на все сервисы — катастрофа при утечке. Достаточно взлома одного сайта, чтобы получить доступ ко всем аккаунтам пользователя.
Правила создания пароля
- Длина 12+ символов — приоритет над «сложностью»
- Случайная генерация — не придумывайте вручную
- Уникальность — один пароль на один сервис
- Без личной информации — никаких имён, дат, мест
- Без словарных слов — или очень длинная фраза из случайных слов (passphrase)
Passphrase vs случайный пароль
Passphrase — последовательность случайных слов: correct-horse-battery-staple. Легко запомнить, достаточно энтропии при 4–6 словах из словаря 7776 слов (Diceware). Минус — длина: 4 слова дают ~52 бита, 6 слов — ~78 бит.
Случайный пароль — K9#mX2$pL7@qR4!. Максимальная энтропия при минимальной длине. Не запомнить — нужен менеджер паролей.
Рекомендация: для запоминаемых паролей (редкий случай) — passphrase из 5–6 слов. Для всего остального — случайные пароли в менеджере.
Генерация паролей
Онлайн-генератор
Генератор паролей reChecker создаёт случайные пароли с настройкой длины и набора символов. Генерируйте пароли только на доверенных сайтах с HTTPS. Лучше — локальный генератор.
Локальная генерация
# OpenSSL — 24 символа, base64
openssl rand -base64 24
# /dev/urandom — 16 символов, буквы и цифры
head -c 16 /dev/urandom | base64 | tr -d '/+=' | cut -c1-16
В менеджере паролей
1Password, Bitwarden, KeePass и другие имеют встроенные генераторы. Используйте их — пароль сразу сохраняется и не попадает в буфер обмена лишний раз.
Генерация в коде (для разработчиков)
# Python
import secrets
import string
alphabet = string.ascii_letters + string.digits + "!@#$%^&*"
password = ''.join(secrets.choice(alphabet) for _ in range(20))
// Node.js
const crypto = require('crypto');
const chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%';
let password = '';
for (let i = 0; i < 20; i++) {
password += chars[crypto.randomInt(chars.length)];
}
Используйте криптографически стойкий генератор (secrets в Python, crypto.randomInt в Node), не Math.random().
Проверка силы пароля
Сервисы вроде «How Secure Is My Password» дают ориентир, но не раскрывают детали алгоритма. Лучше опираться на:
- Длину (главный фактор)
- Случайность (нет паттернов)
- Уникальность (проверка утечек)
Проверка на утечки: Have I Been Pwned — введите пароль (или его хеш) и узнайте, встречался ли он в известных утечках. Сервис использует k-anonymity, пароль не передаётся целиком.
Хранение паролей
Менеджер паролей — единственный практичный способ хранить десятки уникальных паролей. Мастер-пароль должен быть особенно надёжным: длинная passphrase или 20+ случайных символов.
Записная книжка — приемлемо только для мастер-пароля, если хранится физически в безопасном месте. Не подходит для множества паролей.
Браузер — удобно, но синхронизация и доступ зависят от аккаунта Google/Apple. Для критичных паролей предпочтительнее выделенный менеджер.
Файл на компьютере — опасно без шифрования. Если используете — только зашифрованный контейнер (VeraCrypt, encrypted disk image).
Чек-лист для паролей
- Длина минимум 12 символов (16+ для критичных)
- Пароль сгенерирован случайно
- Уникален для каждого сервиса
- Нет личной информации и словарных слов
- Хранится в менеджере паролей
- Мастер-пароль менеджера — самый надёжный
- Включена 2FA везде, где возможно
Часто задаваемые вопросы
Нужны ли спецсимволы?
Спецсимволы увеличивают алфавит и энтропию, но длина важнее. Пароль из 20 букв и цифр надёжнее, чем из 10 символов со спецсимволами. Многие системы требуют спецсимволы — используйте их, но не в ущерб длине.
Как часто менять пароль?
NIST и OWASP не рекомендуют принудительную периодическую смену без причины. Смена раз в 90 дней приводит к ослаблению паролей (пользователи добавляют суффиксы). Меняйте пароль при подозрении на компрометацию или после утечки сервиса.
Что делать при утечке?
Немедленно смените пароль на пострадавшем сервисе. Проверьте все аккаунты, где использовался тот же пароль, и смените везде. Включите 2FA, если ещё не включена. Для критичных сервисов (email, банк) смените пароль превентивно, даже если утечка была на другом сайте.
Безопасен ли генератор в браузере?
Генератор в браузере может быть безопасен, если код выполняется локально и пароль не передаётся на сервер. Проверьте политику конфиденциальности сервиса. Для максимальной безопасности используйте генератор в менеджере паролей или локальные утилиты (openssl, pwgen).
Инструменты для проверки
Помимо Have I Been Pwned, полезны:
- Менеджеры паролей — встроенная проверка на утечки (1Password Watchtower, Bitwarden)
- Chrome Password Checkup — проверка сохранённых в браузере паролей
- Firefox Monitor — интеграция с HIBP для мониторинга email
Рекомендации для организаций
Политика паролей в компании должна включать:
- Минимальную длину 12 символов (NIST рекомендует 8, но 12 безопаснее)
- Запрет переиспользования корпоративных паролей в личных аккаунтах
- Обязательную 2FA для доступа к критичным системам
- Обучение сотрудников фишингу и социальной инженерии
- Менеджер паролей для команды с централизованным управлением
Заключение
Надёжный пароль — комбинация длины, случайности и уникальности. Устаревшие правила о «сложности» уступают место акценту на длине. Генерируйте пароли случайно, храните в менеджере, включайте 2FA. Один сильный пароль на сервис и мастер-пароль для менеджера — основа персональной кибербезопасности.
Подробнее о менеджерах, 2FA и passkeys — в статье Безопасность паролей в 2026. Сгенерировать надёжный пароль можно в Генераторе паролей на reChecker.