Требования к паролю
- Минимум 12 символов
- Заглавные и строчные буквы
- Цифры и специальные символы
- Не используйте слова из словаря
- Уникальный пароль для каждого сервиса
Почему короткие пароли ломают за минуты
Стойкость пароля к перебору измеряется в битах энтропии: количество бит = длина пароля × log2(размер алфавита символов). Пароль из 8 символов на алфавите из 26 строчных букв даёт около 37 бит — современная видеокарта потребительского уровня перебирает такое пространство меньше чем за сутки в офлайн-атаке на украденный хеш.
| Длина и алфавит | Примерная энтропия | Время подбора офлайн |
|---|---|---|
| 8 символов, строчные буквы | ~37 бит | Часы |
| 8 символов, буквы+цифры+спецсимволы | ~52 бита | Недели |
| 12 символов, буквы+цифры+спецсимволы | ~78 бит | Практически неподбираемо |
| Парольная фраза из 5 случайных слов | ~65 бит и выше | Практически неподбираемо |
Оценка времени условна и зависит от мощности атакующего оборудования и алгоритма хеширования, но порядок величин верный: каждый дополнительный символ умножает пространство перебора, а не складывает его.
Разбор типичной атаки: credential stuffing
Большинство взломов аккаунтов происходит не через подбор пароля на вашем сайте, а через переиспользование пароля, слитого при утечке с другого сервиса. Атакующий берёт базу email:пароль из публичной утечки и пробует эти же пары на десятках других сайтов автоматически.
Почему уникальность пароля важнее его длины
Пароль в 20 символов не спасёт, если он использован ещё на трёх сайтах и один из них уже взломан. Менеджер паролей решает эту проблему технически: он делает создание и хранение уникального пароля для каждого сервиса не сложнее, чем помнить один мастер-пароль.
Парольные фразы: метод Diceware
Если пароль нужно запомнить самому (например, мастер-пароль от менеджера), надёжнее не изобретать замену букв цифрами, а собрать фразу из нескольких случайных слов по методу Diceware: бросаете кости, по выпавшим числам находите слово в фиксированном списке, повторяете 5–7 раз и соединяете слова. Случайность обеспечивают кости, а не ваша фантазия — человек плохо генерирует случайность в уме и предсказуемо выбирает слова, связанные с именами, датами или клавиатурными паттернами.
Рекомендуемые менеджеры паролей
- Bitwarden — бесплатный, open-source, надёжный
- 1Password — удобный, для командного использования
- KeePassXC — локальное хранение, максимальная приватность
Когда менеджер паролей не подходит
- Общий компьютер без личного профиля — сохранённые пароли в браузерном расширении менеджера увидит следующий пользователь.
- Устройство без блокировки экрана — мастер-пароль защищает хранилище, но не заменяет PIN или биометрию на самом устройстве.
- Экстренный доступ третьих лиц (например, для родственника в случае вашей недоступности) — для этого в Bitwarden и 1Password есть отдельная функция emergency access, а не передача мастер-пароля напрямую.
Двухфакторная аутентификация
Включите 2FA в личном кабинете ZevsHost. Используйте Google Authenticator или Authy для генерации кодов — они работают по стандарту TOTP (одноразовый код на основе времени и секретного ключа) и не зависят от сотовой связи, в отличие от кодов по SMS.
Почему SMS-коды слабее приложения-аутентификатора
SMS можно перехватить через подмену SIM-карты (SIM swap) у оператора связи или через уязвимости в протоколе SS7. TOTP-код в приложении генерируется локально на устройстве и не передаётся по сети, поэтому его нельзя перехватить в момент отправки — украсть можно только секретный ключ при первичной настройке.
Аппаратные ключи безопасности (FIDO2/WebAuthn)
Самый устойчивый ко взлому вариант второго фактора — физический ключ безопасности, поддерживающий стандарт FIDO2/WebAuthn. В отличие от TOTP-кода, который человек может ввести на поддельной странице, ключ криптографически привязан к конкретному домену: даже если пользователь попадёт на фишинговый сайт, идентичный оригиналу, ключ откажется подтверждать вход, потому что домен в запросе не совпадает с тем, для которого ключ был зарегистрирован. Это защищает именно от фишинга, а не только от подбора кода.
Проверка, что защита действительно включена
- Выйдите из аккаунта и войдите заново — система обязана запросить одноразовый код, а не только пароль.
- Сохраните резервные коды восстановления 2FA в менеджере паролей отдельной записью — без них потеря телефона означает потерю доступа к аккаунту.
- Проверьте пароль на утечку через сервис вида Have I Been Pwned по хешу, не отправляя пароль в открытом виде.
- Убедитесь, что мастер-пароль менеджера паролей не совпадает ни с одним паролем, который вы использовали раньше на других сайтах.
Двухфакторную защиту на самом сервере разбирает статья двухфакторная аутентификация на сервере, а вход по SSH-ключам вместо пароля — SSH-ключи для VDS.