Пароли и ключи доступа
С июля 2025 года американский стандарт NIST SP 800-63B-4 требует, чтобы пароль, который используется сам по себе, был не короче 15 знаков, и запрещает сервисам заставлять менять его по расписанию.
«Summer2024!» подходит под все правила. Почему же он слабый?
Многие до сих пор считают, что в надёжном пароле должны быть заглавная буква, цифра и символ и что смена пароля каждые 90 дней защищает его. Формы регистрации годами учили именно этому. Посмотри, что получилось из этих правил. «Summer2024!» им всем соответствует. Через девяносто дней он превращается в «Autumn2024!», и любой, кто видел первый, угадает второй. Правила сделали пароли труднее для запоминания, но почти не сделали их труднее для угадывания.
Что вместо этого требует стандарт США 2025 года
Действующее руководство США, специальная публикация NIST 800-63B-4, утверждённая в июле 2025 года, переворачивает эти привычки. Пароль, который используется сам по себе, должен быть не короче 15 знаков. Если он только одна из частей многофакторного входа, минимум составляет 8 знаков. Сервисы должны разрешать не меньше 64 знаков и принимать пробелы и все печатные символы, и им нельзя навязывать другие правила состава вроде «один символ». Заставлять периодически менять пароль тоже нельзя. Смена нужна только тогда, когда есть признаки утечки пароля. Кроме того, NIST просит сервисы сверять каждый новый пароль с чёрным списком распространённых, предсказуемых или уже утёкших паролей, потому что пароль, который засветился в утечке, больше не секрет, какой бы длины он ни был.
Считаем, сколько вариантов придётся перебрать взломщику
Почему побеждает длина? Каждый дополнительный знак умножает число возможных паролей. Восемь строчных букв дают 26 в степени 8, около 209 миллиардов комбинаций. Компьютер, который проверяет украденный файл паролей, переберёт их быстро. Четыре слова, выбранные случайно из списка в 7776 слов, дают около 3.66 × 10¹⁵. Таблица показывает, как быстро растут эти числа, а упражнение с кодом ниже позволит тебе самому вычислить два из них.
| Пароль | Возможных комбинаций |
|---|---|
| 8 строчных букв | 26⁸ ≈ 2.09 × 10¹¹ |
| 8 знаков из 95 печатных | 95⁸ ≈ 6.63 × 10¹⁵ |
| 4 случайных слова из 7776 | 7,776⁴ ≈ 3.66 × 10¹⁵ |
| 5 случайных слов из 7776 | 7,776⁵ ≈ 2.84 × 10¹⁹ |
| 16 строчных букв | 26¹⁶ ≈ 4.36 × 10²² |
Почему одна утечка распространяется на другие аккаунты
CISA, американское агентство по кибербезопасности, описывает надёжный пароль тремя словами: длинный (не меньше 16 знаков), случайный и уникальный для каждого аккаунта. Случайный может означать строку из разных знаков или парольную фразу, в которой от четырёх до семи не связанных между собой слов. Важнее всего уникальность. Когда с одного сайта утекают данные, преступники пробуют те же почту и пароль на других сайтах, поэтому повторно используемый пароль превращает одну утечку во множество. Никто не может запомнить десятки длинных случайных паролей. Поэтому и CISA, и NIST поддерживают менеджеры паролей, программы, которые создают, хранят и подставляют пароли, так что запомнить нужно только один. По словам NIST, сервисы обязаны разрешать менеджеры паролей и автозаполнение и должны разрешать вставку.
Ключ доступа: нечего вводить и нечего украсть
Ключ доступа (passkey) заменяет общий секрет криптографией с открытым ключом. MDN описывает его как пару ключей, привязанную к твоему аккаунту на одном сайте. Закрытый ключ остаётся в аутентификаторе на твоём устройстве или подключённом к нему, и ты открываешь его PIN-кодом устройства, отпечатком пальца или лицом. Открытый ключ лежит на сервере сайта. При входе сайт отправляет запрос, а твоё устройство его подписывает. Ничего секретного не вводится. Ничего секретного не хранится и на сервере, поэтому при взломе сервера не утекает ничего пригодного для повторного использования. Кроме того, каждый ключ доступа привязан к домену сайта, а значит, фишинговая страница-двойник не может им воспользоваться. NIST считает такой криптографический вход устойчивым к фишингу, а пароли нет, и разрешает ключи доступа, которые синхронизируются между твоими устройствами.
С чего начать? Сначала поставь длинную парольную фразу на почтовый аккаунт, потому что через почту можно сбросить все остальные. Если ты пользуешься менеджером паролей, эта фраза станет единственным паролем, который нужно помнить. Затем смени все пароли, которые, как ты знаешь, используются повторно, начиная с банковских аккаунтов и интернет-магазинов. Когда сайт предлагает создать ключ доступа, согласиться обычно быстрее всего. Пароль можно оставить как запасной вариант.
Длинный: не меньше 16 знаков. Случайный: разные знаки или от 4 до 7 не связанных слов. Уникальный: свой пароль для каждого аккаунта.
- «Добавь заглавную букву, цифру и символ, и пароль будет надёжным». NIST SP 800-63B-4 теперь запрещает сервисам навязывать такие правила. Слово плюс «2024!» им удовлетворяет, как видно на примере Summer2024! Длина даёт гораздо больше: в таблице 16 строчных букв (около 4.36 × 10²²) сильнее 8 знаков, выбранных из всех 95 печатных (около 6.63 × 10¹⁵).
- «Смена пароля каждые 90 дней меня защищает». Принудительная смена чаще всего даёт следующий вариант того же пароля: Summer2024! превращается в Autumn2024!. NIST говорит, что сервисы не должны заставлять менять пароль периодически и должны требовать новый только тогда, когда есть признаки, что старый скомпрометирован.
- «Мой пароль длинный, так что он в порядке, хотя и попал в утечку». Если пароль оказался в списке утёкших, злоумышленники пробуют его первым, какой бы длины он ни был. Поэтому NIST просит сервисы сверять новые пароли с чёрным списком утёкших и объяснять причину отказа.
- «Хватит одного очень надёжного пароля для всех сайтов». Надёжность тут не поможет. Его сольёт другой сайт, и всё. Преступники пробуют утёкшие логины на других сайтах (подстановка учётных данных, credential stuffing), поэтому только отдельный пароль для каждого аккаунта не даёт одной утечке выйти за пределы одного аккаунта.
| Минимум NIST, только пароль | 15 знаков |
| Минимум NIST в составе MFA | 8 знаков |
| Принудительная смена каждые 90 дней? | NIST: нельзя, если нет признаков компрометации |
| Чёрный список | Распространённые, предсказуемые и утёкшие пароли, которые сервис отклоняет |
| Ключ доступа | Пара ключей, привязанная к одному сайту; закрытый ключ остаётся на твоём устройстве |
| Подстановка учётных данных | Попытки войти с утёкшими логинами на других сайтах; от неё защищают уникальные пароли |
- NIST: не меньше 15 знаков для одного пароля, 8 при MFA; без правил состава; без принудительной периодической смены.
- CISA: длинный, случайный, уникальный; это возможно благодаря менеджеру паролей.
- Повторно используемые пароли превращают одну утечку во множество.
- Ключи доступа используют пару ключей, привязанную к сайту, поэтому устойчивы к фишингу.
- Какова, по NIST SP 800-63B-4, минимальная длина пароля, который используется сам по себе?
- Что NIST говорит о принудительной смене пароля каждые 90 дней?
- Сервисы не должны этого делать, если нет признаков компрометации
- Это обязательно
- Это обязательно каждые 30 дней
- Только для банков
- Какое правило NIST запрещает навязывать сервисам?
- Требовать смесь разных типов знаков
- Минимальную длину
- Проверку по чёрному списку
- Разрешение вставки
- Сколько существует возможных паролей из 8 строчных букв? Ответь в миллиардах, с округлением.
- Почему так важны уникальные пароли?
- Утёкшие логины пробуют на других сайтах
- Сайты могут узнать, что ты используешь пароль повторно
- Короткие пароли запрещены законом
- Их быстрее набирать
- Какой минимальной длины, по CISA, должен быть надёжный пароль?
- Где хранится закрытый ключ ключа доступа?
- В аутентификаторе на твоём устройстве или подключённом к нему
- На сервере сайта
- В твоей почте
- В истории браузера
- Почему фишинговый сайт не может использовать твой ключ доступа?
- Каждый ключ доступа привязан к домену настоящего сайта
- Ключи доступа истекают каждый час
- Фишинговые сайты заблокированы законом
- Ключи доступа зашифрованы дважды
- Что должен сделать сервис, если твой новый пароль есть в списке утёкших паролей?
- Отклонить его и объяснить почему
- Принять, если он длинный
- Добавить к нему цифру
- Не обращать внимания на список
- Какой вариант надёжнее всего для нового аккаунта?
- Уникальная парольная фраза из 5 случайных слов, сохранённая в менеджере паролей
- Твой обычный пароль плюс название сайта
- P@ssw0rd!
- Твой день рождения и кличка питомца
Источники курса (13)
- (checked 2026-10-17; reordered 2026-10-19: standards and law first, then official agency guidance, then technical documentation, history last)
- Standard: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (pages.nist.gov/800-63-4/sp800-63b.html, final 31 July 2025 per the csrc.nist.gov document history (Date Published: July 2025), checked 2026-10-17: sec. 3.1.1.2 password rules, 3.1.3.3 PSTN restricted, 3.2.5 phishing resistance, Appendix B syncable authenticators)
- Law: 개인정보 보호법 제2조 (국가법령정보센터, law.go.kr)
- Official agency guidance: CISA Secure Our World: Use Strong Passwords, Turn on MFA, Recognize and Report Phishing, Update Software, and tip sheets (cisa.gov/secure-our-world, checked 2026-10-17)
- CISA, More than a Password (cisa.gov/MFA) and fact sheet Implementing Phishing-Resistant MFA (2022)
- checked 2026-10-17
- CISA #StopRansomware Guide (checked 2026-10-17)
- CISA, Back Up Business Data and Data Backup Options (Ruggiero and Heckathorn, 2012, Carnegie Mellon University, produced for US-CERT, which CISA retired into CISA.gov on 24 February 2023; 3-2-1 rule) (checked 2026-10-17)
- KISA, 118 상담 서비스 (kisa.or.kr/118, checked 2026-10-17)
- KISA 보호나라 스미싱 확인서비스 (boho.or.kr, checked 2026-10-17)
- KISA 개인정보침해 신고센터 (privacy.kisa.or.kr, checked 2026-10-17)
- Technical documentation: MDN Web Docs, Passkeys (developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys, checked 2026-10-17) and autocomplete attribute (checked 2026-10-17)
- No product is recommended. Every code exercise was checked with a Playwright probe against a reference solution.
Проверено: 2026-10-17