Сейф с барабанами: почему пароль «123456» подбирают за секунду
Стойкость пароля — это число возможных вариантов. Почему длина решает больше всего, а частые пароли не спасают, — на условном примере.
Короткий пароль из цифр кажется надёжным: шесть знаков — это миллион вариантов. Но на экране компьютера он держится доли секунды. Разберём, почему так, на условном примере — и что с этим делать. Все цифры времени в разборе иллюстрируют масштаб, а не замеряют конкретную систему.
Пароль как сейф с барабанами
Представьте пароль как сейф с барабанами. Каждый барабан — один символ. У цифры десять положений, значит, у шести барабанов — миллион комбинаций. Человек, проверяя по одной в секунду, потратил бы почти две недели. А компьютер успевает перебрать столько за тысячную долю секунды.
Стойкость — это число вариантов
Главное в пароле не секретность, а число возможных вариантов. Чем их больше, тем дольше идёт перебор. Поэтому пароль из одних цифр слабый: у каждого барабана всего десять положений, и даже шесть знаков дают всего миллион комбинаций — для человека много, для машины ничтожно мало.
Буквы и значки добавляют положений
Если в пароле большие и маленькие буквы, цифры и значки, у каждого барабана уже около девяноста положений. Шесть таких символов в нашем примере держатся больше десяти минут, восемь — больше двух месяцев.
Длина решает больше всего
Каждый лишний барабан умножает число вариантов примерно в девяносто раз. Двенадцать случайных символов в нашем примере не перебрать и за миллионы лет. Два лишних знака превращают два месяца в тысячу лет — поэтому длина увеличивает стойкость сильнее, чем что-либо ещё.
Почему «123456» не спасает длина
Есть подвох: самые частые пароли вообще не перебирают по одному. «123456» годами возглавляет списки самых популярных паролей, поэтому его пробуют первым. Так же быстро открываются имена, даты и простые слова. Счётчик лет работает, только если символы непредсказуемы.
Что из этого следует
Надёжный пароль — длинный и случайный: например, фраза из нескольких несвязанных слов, своя на каждый сайт. Запоминать всё не обязательно — для этого есть защищённые хранилища паролей. В бизнесе тот же принцип масштабируется на доступы сотрудников, общие аккаунты и защиту клиентских данных: решают длина, случайность и порядок, а не секретность одной комбинации.
