1.4.1. Защита с использованием паролей

Определения и обозначения

Пароль — секретная последовательность символов, с помощью которой пользователь подтверждает право доступа к системе. На деле система проверяет не личность человека, а знание секрета, связанного с его учётной записью. Поэтому пароль нельзя считать доказательством того, кто именно сидит за устройством: его могут узнать или украсть.

Учётная запись — набор данных о пользователе, связанный с его именем и правами доступа. Когда человек входит в почту или сервис, он указывает, к какой именно записи относится запрос, а пароль служит проверкой для этой записи. Понимание этой связи помогает не путать пароль с именем пользователя.

Аутентификация — проверка того, что пользователь знает правильный пароль или предъявляет другие требуемые подтверждения. Сначала обычно происходит идентификация: человек сообщает системе имя пользователя или другой идентификатор. Затем аутентификация проверяет, что доступ запрашивает тот, кто знает секрет, связанный с указанной учётной записью.

Стойкость пароля — способность пароля противостоять угадыванию и автоматическому подбору. Она зависит от длины, разнообразия символов и, особенно, от непредсказуемости самого сочетания. Этот термин нужен, чтобы оценивать пароль не по внешней сложности, а по тому, насколько трудно найти его среди возможных вариантов.

Как это устроено

При регистрации система связывает выбранное имя пользователя с учётной записью и принимает пароль. Обычно она сохраняет не сам пароль, а его преобразованное представление, полученное специальной односторонней функцией. При последующей проверке система преобразует введённый вариант и сравнивает результат с сохранённым. Такой подход нужен потому, что утечка базы не должна сразу раскрывать все исходные пароли.

При входе пользователь вводит имя и пароль. Имя помогает найти нужную учётную запись, а пароль проверяет знание секрета, связанного именно с ней. Если результат проверки совпадает с сохранёнными данными, система открывает предусмотренный для этой записи доступ; если нет — отказывает. Разделение этих действий позволяет системе проверить запрос, не предоставляя доступ только на основании известного имени.

Пароли пробуют подбирать разными способами. При словарном подборе программа проверяет распространённые слова, имена, даты и привычные варианты их записи, потому что многие пользователи выбирают знакомые сочетания. При полном переборе последовательно проверяются все комбинации символов заданной длины. Если алфавит содержит N символов, для пароля длины 8 существует N⁸ вариантов: увеличение длины и размера алфавита быстро раздувает пространство поиска.

Для каждой учётной записи стоит выбирать отдельный пароль. Если пароль утечёт с одного сайта, злоумышленники могут автоматически проверить его на других сервисах, особенно на почте, где часто восстанавливают доступ к остальным аккаунтам. Уникальный пароль разрывает эту цепочку: раскрытие одного секрета не открывает остальные записи. Чтобы не запоминать множество сложных сочетаний, используют надёжный менеджер паролей.

Подбор затрудняют ограничение числа попыток и временная блокировка после серии ошибок: программа не может быстро проверять бесконечные варианты. Дополнительный уровень даёт многофакторная аутентификация — вход требует не только пароль, но и подтверждение другим способом, например одноразовым кодом. Даже если пароль стал известен постороннему, без второго подтверждения ему сложнее получить доступ. Эти меры снижают риск, но не отменяют осторожность: пароль всё ещё можно выманить или перехватить.

Способы и меры защиты учётной записи

Сравнивайте меры по тому, какую угрозу они уменьшают: длина мешает перебору, уникальность ограничивает последствия утечки, а дополнительные проверки защищают сам вход. В повседневной защите лучше сочетать несколько мер, а не полагаться только на сложность пароля.

Разбор задач

Задача 1. Пользователь установил пароль «123456». Нужно объяснить, почему его легко подобрать, и предложить принцип улучшения. Сначала оценим не длину отдельно, а то, насколько сочетание распространено. Затем выберем безопасный способ сделать пароль менее предсказуемым.

1. «123456» — общеизвестная последовательность, которую проверяют одной из первых при словарном подборе.
2. Переход к похожему короткому варианту, например добавление одной цифры, не обязательно поможет: такие шаблоны тоже часто угадывают.
3. Нужно придумать длинное сочетание, которое не связано с именем, датой рождения или другой известной информацией. Его можно хранить в менеджере паролей.

Ответ: пароль легко подобрать из-за распространённого и предсказуемого шаблона. Замените его длинным уникальным сочетанием, не основанным на личных сведениях. Не сообщайте новый пароль другим и не используйте его на других сайтах.

Задача 2. Один пароль используется для почты и игрового сайта, где произошла утечка. Нужно определить возможное последствие и правильное действие. Проследим, что произойдёт, если утёкшие данные попробуют применить на других сервисах. Затем ограничим ущерб и устраним повторное использование.

1. Злоумышленник может взять пароль из утечки и попробовать войти с ним в почту, потому что многие люди повторяют пароли.
2. Если пароль подойдёт, почта может дать доступ к личным сообщениям и восстановлению других аккаунтов.
3. Следует сменить пароль на почте и на игровом сайте, а также заменить его везде, где он повторялся. Для каждой записи нужно установить отдельный пароль.

Ответ: утечка игрового сайта может привести к попытке входа в почту. Немедленно смените повторно использованный пароль и установите уникальные пароли для всех учётных записей. Если доступ уже использовали посторонние, завершите неизвестные сеансы и обратитесь в поддержку.

Задача 3. Для пароля из 8 символов разрешены только цифры. Требуется найти число вариантов полного перебора и сравнить его с вариантом, где доступны строчные и прописные латинские буквы. Запишем размер алфавита и возведём его в степень, равную длине пароля. Так учитываются все независимые выборы символа для каждой позиции.

1. Для цифр алфавит содержит 10 символов, поэтому число вариантов равно 10⁸ = 100 000 000.
2. Если доступны 26 строчных и 26 прописных букв, алфавит содержит 52 символа.
3. Число вариантов в этом случае равно 52⁸ = 53 459 728 531 456. Это значительно больше, чем 10⁸, поэтому полный перебор становится сложнее.

Ответ: с цифрами существует 10⁸ вариантов, а с буквами двух регистров — 52⁸ вариантов. Расширение алфавита резко увеличивает число комбинаций. Однако случайный и длинный пароль важнее, чем формальное добавление букв к предсказуемому слову.

Типичные ошибки

Длинный пароль из имени и даты рождения не обязательно надёжен. Его выбирают, потому что такие сведения легко запомнить, но их могут знать знакомые или найти в открытых источниках. Проверьте себя: можно ли угадать основу пароля по вашим страницам или личным данным? Если да, замените её на непредсказуемое сочетание.

Один пароль на разных сайтах кажется удобным, ведь не приходится запоминать несколько секретов. Но утечка на одном сервисе позволяет проверить тот же пароль на других, и тогда под угрозой окажутся сразу несколько аккаунтов. Спросите себя, уникален ли пароль для каждой записи. Если нет, создайте разные пароли и сохраните их безопасно.

Замена буквы похожим символом не всегда делает пароль надёжным. Пользователи рассчитывают, что такая подстановка удивит программу, однако типичные варианты вроде замены «о» на «0» давно включают в подбор. Проверьте, не состоит ли пароль из обычного слова с одной предсказуемой заменой. Лучше использовать сочетание, которое нельзя получить простой модификацией распространённого слова.

Парольная защита не гарантирует безопасность при любых обстоятельствах. Можно выбрать сильное сочетание, но затем сообщить его мошеннику, ввести на поддельной странице или потерять из-за утечки данных сервиса. Перед вводом проверьте адрес сайта и причину запроса пароля. Если секрет мог раскрыться, смените его и проверьте связанные учётные записи.

Связь с другими темами

Для понимания парольной защиты нужны представления об учётной записи, имени пользователя и правах доступа: система должна знать, чью запись проверяет и какие действия разрешить. Эти понятия связаны с управлением доступом к файлам и цифровым сервисам. Пароль помогает ограничить доступ, но не заменяет настройку прав.

Тема напрямую относится к защите персональных данных и безопасной работе в Интернете. Утечка пароля может открыть доступ к переписке, файлам и сведениям о человеке, поэтому важны уникальные секреты и осторожность при входе. Стойкость паролей также помогает понять, зачем нужны методы шифрования, многофакторная аутентификация и другие меры информационной безопасности.

Что запомнить

• Пароль подтверждает знание секрета, связанного с учётной записью.
• Надёжный пароль длинный и непредсказуемый.
• Для разных сервисов нужны разные пароли.
• Не сообщайте пароль другим людям и не вводите его по подозрительным ссылкам.
• Ограничение попыток входа затрудняет перебор.
• Многофакторная аутентификация добавляет защиту помимо пароля.