Проверка стойкости пароля

Почему «сложный» пароль бывает слабым

Пароль «Qwerty2024!» содержит заглавные и строчные буквы, цифры и спецсимвол, и формально в нём 11 символов из набора в 95 знаков — 72 бита энтропии. Но атакующие перебирают пароли не случайно, а по правилам: сначала словари утёкших паролей, клавиатурные последовательности, слова с заглавной первой буквой, годы и «!» в конце. Такой пароль состоит из трёх предсказуемых частей и подбирается за минуты.

Поэтому калькулятор разбивает пароль на фрагменты и оценивает каждый по тому, сколько вариантов пришлось бы перебрать атакующему:

• распространённые пароли и слова — номер в словаре, с поправкой на заглавные буквы и замены вроде @ → a, 0 → o;
• последовательности — qwerty, йцукен, asdf, abcd, 1234 и обратные;
• повторы — aaaa, 1111;
• годы — 1950–2039;
• остальные символы — как случайные из своего набора.

Это упрощённая модель, похожая на применяемые в менеджерах паролей. Она не знает всех словарей атакующих, поэтому реальная стойкость может оказаться ниже.

Сценарии атаки

• Онлайн-атака с ограничением — сайт блокирует частые попытки входа: около 100 попыток в час.
• Онлайн-атака без ограничения — около 10 попыток в секунду.
• Утечка базы, медленный хеш (bcrypt, Argon2) — около 10 тысяч попыток в секунду.
• Утечка базы, быстрый хеш (MD5, SHA-1, SHA-256 без соли) — около 10 миллиардов попыток в секунду на одной видеокарте.
• Ферма видеокарт — около триллиона попыток в секунду.

Время указано для перебора половины вариантов — в среднем пароль находится именно за это время.

Как сделать пароль надёжным

• Длина важнее сложности: 16 случайных символов или 5–6 случайных слов.
• Не используйте имена, даты рождения, клички, названия команд и клавиатурные дорожки.
• Не используйте один пароль на разных сайтах — при утечке с одного сайта злоумышленники пробуют его везде.
• Доверьте создание паролей генератору и храните их в менеджере паролей.