Вимоги до пароля
- Мінімум 12 символів
- Великі та малі літери
- Цифри та спеціальні символи
- Не використовуйте слова зі словника
- Унікальний пароль для кожного сервісу
Чому короткі паролі ламають за хвилини
Стійкість пароля до перебору вимірюється в бітах ентропії: кількість бітів = довжина пароля × log2(розмір алфавіту символів). Пароль із 8 символів на алфавіті з 26 малих літер дає близько 37 бітів — сучасна відеокарта споживчого рівня перебирає такий простір менш ніж за добу в офлайн-атаці на викрадений хеш.
| Довжина та алфавіт | Приблизна ентропія | Час підбору офлайн |
|---|---|---|
| 8 символів, малі літери | ~37 бітів | Години |
| 8 символів, літери+цифри+спецсимволи | ~52 біти | Тижні |
| 12 символів, літери+цифри+спецсимволи | ~78 бітів | Практично непідбираємо |
| Парольна фраза з 5 випадкових слів | ~65 бітів і вище | Практично непідбираємо |
Оцінка часу умовна і залежить від потужності обладнання атакуючого та алгоритму хешування, але порядок величин вірний: кожен додатковий символ множить простір перебору, а не додає до нього.
Розбір типової атаки: credential stuffing
Більшість зламів акаунтів відбувається не через підбір пароля на вашому сайті, а через повторне використання пароля, злитого при витоку з іншого сервісу. Атакуючий бере базу email:пароль із публічного витоку і пробує ці самі пари на десятках інших сайтів автоматично.
Чому унікальність пароля важливіша за його довжину
Пароль у 20 символів не врятує, якщо він використаний ще на трьох сайтах і один із них вже зламано. Менеджер паролів вирішує цю проблему технічно: він робить створення і зберігання унікального пароля для кожного сервісу не складнішим, ніж пам'ятати один майстер-пароль.
Парольні фрази: метод Diceware
Якщо пароль потрібно запам'ятати самому (наприклад, майстер-пароль від менеджера), надійніше не вигадувати заміну літер цифрами, а зібрати фразу з кількох випадкових слів за методом Diceware: кидаєте кістки, за випавшими числами знаходите слово у фіксованому списку, повторюєте 5–7 разів і з'єднуєте слова. Випадковість забезпечують кістки, а не ваша фантазія — людина погано генерує випадковість у розумі та передбачувано обирає слова, пов'язані з іменами, датами або клавіатурними патернами.
Рекомендовані менеджери паролів
- Bitwarden — безкоштовний, open-source, надійний
- 1Password — зручний, для командного використання
- KeePassXC — локальне зберігання, максимальна приватність
Коли менеджер паролів не підходить
- Спільний комп'ютер без особистого профілю — збережені паролі в браузерному розширенні менеджера побачить наступний користувач.
- Пристрій без блокування екрана — майстер-пароль захищає сховище, але не замінює PIN чи біометрію на самому пристрої.
- Екстрений доступ третіх осіб (наприклад, для родича у випадку вашої недоступності) — для цього в Bitwarden і 1Password є окрема функція emergency access, а не передача майстер-пароля напряму.
Двофакторна автентифікація
Увімкніть 2FA в особистому кабінеті ZevsHost. Використовуйте Google Authenticator або Authy для генерації кодів — вони працюють за стандартом TOTP (одноразовий код на основі часу і секретного ключа) і не залежать від стільникового зв'язку, на відміну від кодів через SMS.
Чому SMS-коди слабші за застосунок-автентифікатор
SMS можна перехопити через підміну SIM-картки (SIM swap) в оператора зв'язку або через вразливості в протоколі SS7. TOTP-код у застосунку генерується локально на пристрої і не передається мережею, тому його не можна перехопити в момент відправки — вкрасти можна лише секретний ключ при первинному налаштуванні.
Апаратні ключі безпеки (FIDO2/WebAuthn)
Найстійкіший до злому варіант другого фактора — фізичний ключ безпеки, що підтримує стандарт FIDO2/WebAuthn. На відміну від TOTP-коду, який людина може ввести на підробній сторінці, ключ криптографічно прив'язаний до конкретного домену: навіть якщо користувач потрапить на фішинговий сайт, ідентичний оригіналу, ключ відмовиться підтверджувати вхід, тому що домен у запиті не збігається з тим, для якого ключ було зареєстровано. Це захищає саме від фішингу, а не лише від підбору коду.
Перевірка, що захист дійсно увімкнено
- Вийдіть з акаунта і увійдіть знову — система зобов'язана запросити одноразовий код, а не лише пароль.
- Збережіть резервні коди відновлення 2FA в менеджері паролів окремим записом — без них втрата телефона означає втрату доступу до акаунта.
- Перевірте пароль на витік через сервіс на кшталт Have I Been Pwned за хешем, не надсилаючи пароль у відкритому вигляді.
- Переконайтесь, що майстер-пароль менеджера паролів не збігається з жодним паролем, який ви використовували раніше на інших сайтах.
Двофакторний захист на самому сервері розбирає стаття двофакторна автентифікація на сервері, а вхід за SSH-ключами замість пароля — SSH-ключі для VDS.