У активного пользователя сети десятки учётных записей: почта, магазины, платёжные сервисы, панель хостинга, личный кабинет регистратора доменов. Помнить столько паролей невозможно, а один пароль на всё – прямая дорога к тому, что утечка на безобидном форуме откроет доступ к деньгам и домену.
Каким должен быть пароль
Требования к паролям заметно изменились. Рекомендации, которые многие помнят со школы – восемь символов, обязательно спецсимвол, менять каждые три месяца – сегодня считаются скорее вредными: они заставляют человека изобретать Password1!, Password2! и так далее.
Современный подход (он зафиксирован, в частности, в руководстве NIST SP 800-63B) сводится к нескольким правилам:
- Длина важнее сложности. Четыре-пять случайных слов надёжнее восьми символов с «собачкой» и легче запоминаются.
- Уникальность важнее всего остального. Пароль, использованный дважды, защищает ровно до первой утечки у любого из двух сервисов.
- Принудительная смена по расписанию не нужна. Менять пароль следует тогда, когда есть повод: утечка, подозрение на компрометацию, увольнение сотрудника с доступом.
- Проверка по базам утечек полезнее правил состава. Пароль, уже засветившийся в утечке, небезопасен, даже если в нём есть цифры и знаки препинания.
- Словарное слово, дата, телефон, соседние клавиши по-прежнему подбираются мгновенно – все популярные комбинации давно в базах переборщиков.
Где их хранить
Три привычных способа хранения плохи каждый по-своему. Бумажка доступна любому, кто окажется рядом со столом. Текстовый файл на диске забирает первая же вредоносная программа. Письмо с регистрационными данными в почтовом ящике превращает почту в единственную точку отказа.
Рабочее решение – менеджер паролей. Это программа, которая держит все учётные данные в зашифрованной базе: вы помните один мастер-пароль, а остальные генерируются случайно и подставляются автоматически. Из бесплатных давно известен KeePass и его ответвления; существуют и менеджеры с синхронизацией между устройствами.
Доступ к базе стоит защищать не только мастер-паролем, но и ключевым файлом: сам по себе файл бесполезен, без базы он ничего не открывает, и хранить его можно отдельно от неё.
Двухфакторная аутентификация
Пароль – это то, что можно подсмотреть, подобрать или украсть вместе с базой сервиса. Второй фактор ломает эту схему: даже зная пароль, злоумышленник не войдёт без одноразового кода.
Коды из приложения-аутентификатора надёжнее кодов по SMS: номер телефона можно перевыпустить на себя, обманув оператора. Ещё устойчивее аппаратные ключи и passkeys – они привязаны к адресу сайта и поэтому не срабатывают на поддельной странице.
Почта – самое слабое место
На почтовый ящик приходят письма для восстановления доступа ко всему остальному. Кто получил почту – получил и всё, что к ней привязано. Поэтому у почты должен быть отдельный, нигде больше не использованный пароль и обязательно второй фактор.
Запрос прислать пароль письмом – всегда мошенничество: ни один нормальный сервис так не делает.
Почему это особенно важно владельцу домена
Домен держится на двух учётных записях: личном кабинете регистратора и почтовом адресе администратора, указанном в данных домена. Получив доступ к любой из них, злоумышленник меняет DNS-серверы и уводит трафик, а при удачном стечении обстоятельств переносит домен к другому регистратору. Подробнее этот сценарий разобран в статье о краже доменов.
Практический минимум: отдельный почтовый ящик под регистратора, уникальный пароль, двухфакторная аутентификация и включённый запрет на перенос (registrar lock). Кому принадлежит домен и когда заканчивается регистрация, всегда можно посмотреть через whois-поиск.
Короткий свод правил
- Для каждого сервиса – свой пароль.
- Длинный пароль лучше короткого и хитрого.
- Хранить – в менеджере паролей, не в файле, не в почте и не на бумаге.
- Второй фактор – везде, где он есть, и в первую очередь на почте и у регистратора.
- Менять пароль по поводу, а не по календарю.
- Не диктовать пароль по телефону и не вводить его при посторонних.
- Пришёл запрос прислать пароль – это мошенничество.