Анонимность и безопасность в Интернете. От «чайника» к пользователю

Существует два основных способа подбора пароля: по словарю и методом грубой силы (от англ. brute force). Первый способ заключается в использовании словаря наиболее популярных слов – программа последовательно перебирает весь свой словарь. Если пароля нет в словаре, то и его подбор невозможен. Второй способ заключается в подборе перестановок букв в слове. Эффективность этого метода зависит от длины пароля – чем меньше длина, тем выше эффективность. Теоретически методом грубой силы можно подобрать любой пароль. Но если пароль длинный (как минимум – 8 символов), на его подбор будет потрачено очень много времени. А за это время может произойти что угодно: или администратор сервера определит, что идет атака brute force, или вы поменяете пароль (и сделаете его еще сильнее), или информация потеряет актуальность… Мы разберемся, как создать хороший пароль, устойчивый к обоим видам атак.

Вот несколько советов, которые помогут вам создать "хороший" пароль.

✓ Минимальная длина пароля – 8 символов. Чем больше – тем лучше. От количества символов (длины пароля) зависит количество перестановок букв в слове. Чем больше перестановок, тем сложнее программе подобрать пароль. Наверняка такой подбор будет замечен сервером и попытка взлома вашего почтового ящика окажется неудачной. Если длина пароля 8 символов, то перестановок может быть 8! (8 факториал, если кто забыл математику), то есть программе нужно будет сделать 8! попыток, чтобы подобрать пароль. Но попыток будет еще больше, поскольку программа заведомо не знает, сколько символов в пароле. Следовательно, ей придется проделать гораздо больше попыток, чем 8! (хотя и первая может быть удачной – все зависит от сложности пароля). Многие серверы блокируют на несколько часов доступ к аккаунту после 3–5 неудачных попыток ввода пароля. Следовательно, программе нужно будет трудиться очень долго. Если вы можете запомнить пароль из 10 символов, это еще лучше. Если же с памятью совсем плохо, то далее будут рассмотрены программы для автоматического ввода паролей.

✓ В пароле должны быть как буквы, так и цифры, причем регистр букв должен меняться. Желательно, чтобы цифры не повторялись. Вот пример пароля с изменяющимся регистром символов и цифрами: BroaD17.

✓ Используйте не только алфавитно-цифровые символы. Самый обычный знак подчеркивания существенно усложняет пароль и увеличивает количество перестановок. Вот пример усложненного пароля: B_roaD17.

✓ С одной стороны, хорошо, когда пароль хорошо запоминается. Так меньше вероятность, что вы его забудете. С другой стороны, старайтесь, чтобы последовательность символов в пароле не являлась значащим словом – такие пароли быстро подбираются с помощью словаря. Наши пароли BroaD17 и B_roaD17 не идеальны с точки зрения словарной атаки. Ведь оба пароля содержат значащие (словарные) слова: broad и road. Идеальная защита от словарной атаки – пароль, сгенерированный из случайных символов, например: sRkTnbs19.

Однако такой пароль ничего не означает и не вызывает у человека никаких ассоциаций, поэтому сложен для запоминания. Чтобы защитить пароль и от словарной атаки, и от brute force, комбинируйте в пароле как словарные слова, так и случайные символы. Например: road_sjt_91. Такой пароль сложен для двух способов подбора. Для brute force он довольно длинный (11 символов) и к тому же содержит знак подчеркивания. А для словарной атаки тоже не по зубам – в словаре будет слово road, но в нем вряд ли будет последовательность sjt.

✓ Некоторые пользователи вводят русские слова при включенной английской раскладке. Например, последовательность символов ljhjuf означает всего лишь слово "дорога". Но такие "перевернутые" словари уже давно есть у хакеров, так что этот метод уже не действует, и хотя сам пароль выглядит грозно, однако толку от него – 0.

✓ Не используйте в пароле ваши личные данные (номер паспорта, номер телефона, дату рождения), имена близких и родственников, домашних питомцев и т. п. Все это – общедоступная информация, следовательно, если злоумышленник – кто-то из близкого вам окружения, он сможет подобрать пароль.

✓ Некоторые сервисы, например, Mail.Ru, для восстановления пароля требуют ввести ответ на контрольный вопрос. Контрольные вопросы очень просты: номер паспорта, имя любимого питомца и т. п. Этим могут воспользоваться злоумышленники – ведь узнать номер вашего паспорта или имя питомца, думаю, можно, особенно, если пароль пытаются подобрать люди, с которыми вы знакомы. Поэтому выберите любой контрольный вопрос, но в качестве ответа введите заранее подготовленный второй пароль.

✓ Опять-таки для восстановления пароля может быть использован второй ваш e-mail. Но если к нему получит доступ злоумышленник (по причине простого пароля), он сможет легко взломать ваш основной почтовый ящик – почтовый сервер сам отправит новый пароль по указанному в настройках адресу…

Используйте эти рекомендации для создания сложного пароля. И если нужен действительно серьезный пароль, тогда лучше всего использовать генератор паролей, который будет рассмотрен в разд. 9.2.