Загрузка...
Загрузка...
Правила создания надёжных паролей. Длина, сложность, генерация. Как избежать слабых паролей и защититься от перебора и утечек.
Бесплатные онлайн-инструменты по теме статьи
Актуальные практики защиты аккаунтов в 2026. Менеджеры паролей, двухфакторная аутентификация, passkeys. Миграция и рекомендации.
БезопасностьПроверка надёжности пароля онлайн. Критерии сложности, время взлома, брутфорс. Как создать надёжный пароль. Бесплатный инструмент проверки.
БезопасностьПодробное руководство по настройке SPF, DKIM и DMARC записей. Защита от спуфинга, улучшение доставляемости писем. Примеры DNS-записей и пошаговая настройка.
БезопасностьЧто такое хеш-функции, как работают MD5, SHA-1, SHA-256, SHA-512. Примеры использования, сравнение алгоритмов и онлайн-генератор хешей.
Поделитесь с коллегами или изучите другие материалы блога
Надёжный пароль — первый рубеж защиты аккаунта. Слабые пароли взламываются за секунды перебором, утечками из баз и социальной инженерией. В этом руководстве разберём, что делает пароль сильным, какие правила устарели и как генерировать пароли, которые реально сложно подобрать. Для генерации используйте Генератор паролей на reChecker. Дополнительный контекст — в статье Безопасность паролей в 2026.
Несмотря на рост 2FA и passkeys, пароли остаются основой аутентификации. Многие сервисы не поддерживают ключи доступа, а резервные коды и SMS привязаны к паролю. Утечка пароля даёт атакующему доступ к аккаунту, даже если включена двухфакторная аутентификация — восстановление часто идёт через email, защищённый тем же паролем.
Типичные векторы атак:
Классическое правило «минимум 8 символов, буквы, цифры, спецсимволы» устарело. Современные рекомендации (NIST, OWASP) делают акцент на длине.
| Длина | Символы | Примерное время перебора (10^9 попыток/с) |
|---|---|---|
| 8 | 95 | Секунды |
| 12 | 95 | Несколько дней |
| 16 | 95 | Тысячи лет |
| 20 | 95 | Миллионы лет |
95 — количество печатных ASCII-символов (буквы, цифры, спецсимволы). Реальный перебор медленнее из-за хеширования, но тренд ясен: длинный пароль значительно надёжнее короткого «сложного».
Энтропия измеряет непредсказуемость пароля. Формула: log2(N^L), где N — размер алфавита, L — длина. Пароль из 16 случайных символов (95 вариантов) даёт около 105 бит энтропии — этого достаточно против перебора.
Человеческие пароли предсказуемы: замены o на 0, a на @, добавление ! в конец. Атакующие учитывают эти паттерны. Случайная генерация устраняет предсказуемость.
| Алфавит | Размер N | Пример |
|---|---|---|
| Цифры | 10 | 0-9 |
| Строчные буквы | 26 | a-z |
| Строчные + заглавные | 52 | a-z, A-Z |
| Буквы + цифры | 62 | a-z, A-Z, 0-9 |
| Печатные ASCII | 95 | буквы, цифры, спецсимволы |
Пароль из 8 символов с алфавитом 95 даёт 8×log2(95) ≈ 52 бита. Для 128 бит безопасности нужно около 20 случайных символов из алфавита 95.
Summer2024! — типичный «сложный» пароль. Словарь, год и спецсимвол в конце — стандартный шаблон. Такие пароли быстро подбираются комбинациями словарей и суффиксов.
Даты рождения, имена, названия питомцев, клички — всё это легко узнать. Не используйте в паролях ничего, что можно найти в соцсетях или угадать.
aaaaaaaa или 12345678 — нулевая энтропия. Повторы сокращают эффективную длину.
Один пароль на все сервисы — катастрофа при утечке. Достаточно взлома одного сайта, чтобы получить доступ ко всем аккаунтам пользователя.
Passphrase — последовательность случайных слов: correct-horse-battery-staple. Легко запомнить, достаточно энтропии при 4–6 словах из словаря 7776 слов (Diceware). Минус — длина: 4 слова дают ~52 бита, 6 слов — ~78 бит.
Случайный пароль — K9#mX2$pL7@qR4!. Максимальная энтропия при минимальной длине. Не запомнить — нужен менеджер паролей.
Рекомендация: для запоминаемых паролей (редкий случай) — passphrase из 5–6 слов. Для всего остального — случайные пароли в менеджере.
Генератор паролей reChecker создаёт случайные пароли с настройкой длины и набора символов. Генерируйте пароли только на доверенных сайтах с HTTPS. Лучше — локальный генератор.
# OpenSSL — 24 символа, base64
openssl rand -base64 24
# /dev/urandom — 16 символов, буквы и цифры
head -c 16 /dev/urandom | base64 | tr -d '/+=' | cut -c1-16
1Password, Bitwarden, KeePass и другие имеют встроенные генераторы. Используйте их — пароль сразу сохраняется и не попадает в буфер обмена лишний раз.
# Python
import secrets
import string
alphabet = string.ascii_letters + string.digits + "!@#$%^&*"
password = ''.join(secrets.choice(alphabet) for _ in range(20))
// Node.js
const crypto = require('crypto');
const chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%';
let password = '';
for (let i = 0; i < 20; i++) {
password += chars[crypto.randomInt(chars.length)];
}
Используйте криптографически стойкий генератор (secrets в Python, crypto.randomInt в Node), не Math.random().
Сервисы вроде «How Secure Is My Password» дают ориентир, но не раскрывают детали алгоритма. Лучше опираться на:
Проверка на утечки: Have I Been Pwned — введите пароль (или его хеш) и узнайте, встречался ли он в известных утечках. Сервис использует k-anonymity, пароль не передаётся целиком.
Менеджер паролей — единственный практичный способ хранить десятки уникальных паролей. Мастер-пароль должен быть особенно надёжным: длинная passphrase или 20+ случайных символов.
Записная книжка — приемлемо только для мастер-пароля, если хранится физически в безопасном месте. Не подходит для множества паролей.
Браузер — удобно, но синхронизация и доступ зависят от аккаунта Google/Apple. Для критичных паролей предпочтительнее выделенный менеджер.
Файл на компьютере — опасно без шифрования. Если используете — только зашифрованный контейнер (VeraCrypt, encrypted disk image).
Спецсимволы увеличивают алфавит и энтропию, но длина важнее. Пароль из 20 букв и цифр надёжнее, чем из 10 символов со спецсимволами. Многие системы требуют спецсимволы — используйте их, но не в ущерб длине.
NIST и OWASP не рекомендуют принудительную периодическую смену без причины. Смена раз в 90 дней приводит к ослаблению паролей (пользователи добавляют суффиксы). Меняйте пароль при подозрении на компрометацию или после утечки сервиса.
Немедленно смените пароль на пострадавшем сервисе. Проверьте все аккаунты, где использовался тот же пароль, и смените везде. Включите 2FA, если ещё не включена. Для критичных сервисов (email, банк) смените пароль превентивно, даже если утечка была на другом сайте.
Генератор в браузере может быть безопасен, если код выполняется локально и пароль не передаётся на сервер. Проверьте политику конфиденциальности сервиса. Для максимальной безопасности используйте генератор в менеджере паролей или локальные утилиты (openssl, pwgen).
Помимо Have I Been Pwned, полезны:
Политика паролей в компании должна включать:
Надёжный пароль — комбинация длины, случайности и уникальности. Устаревшие правила о «сложности» уступают место акценту на длине. Генерируйте пароли случайно, храните в менеджере, включайте 2FA. Один сильный пароль на сервис и мастер-пароль для менеджера — основа персональной кибербезопасности.
Подробнее о менеджерах, 2FA и passkeys — в статье Безопасность паролей в 2026. Сгенерировать надёжный пароль можно в Генераторе паролей на reChecker.