Пару раз в год мне в vk прилетает крик души такого вида «Край нужно 3500 на эту карту, завтра верну!». Наверняка и вы получали что-то подобное. Понятно что аккаунт взломан и мошенник собирает (и соберёт) кассу… Очевидно, что надёжный пароль — первое средство сохранить аккаунт.
Самое полезное для вас в том, что есть лёгкий способ сделать всего один надёжный пароль для всех аккаунтов и сервисов! Одновременно универсальный для всех, и подходящий только к чему-то одному. Такой чтобы и из кучи символов был, но и чтобы вспомнить можно было легко. Этакое кольцо всевластия, которое управляет всем и делает вас невидимым.
Глава первая. Вначале был «Йцукен» или добавьте воображения
Предлагаю напрячь память и вспомнить свой первый пароль. Уверен что для многих это будет какая-то вариация из «qwerty 123456 password» или чего-то схожего, что вы сможете вспомнить и набрать даже когда одна замочная скважина до вечеринки превращается в три после.
Как зайти на сервер MInecraft [Обучение]
Можно ли взломать?
Да легко! Мошенникихакеры отлично знают что почти все начинают именно с таких паролей, а многие с ними же в итоге и остаются. Таблицы таких самых популярных паролей содержат все подобные комбинации и если есть возможностьвремя их безнаказанно перебрать (это примитивное дело известно как брутфорс), то будьте уверены — ваш аккаунт не выстоит.
К счастью, сейчас во многих сервисах есть защита от такого перебора и после нескольких неудачных попыток доступ блокируется (+ вам придет сообщение о попытке входа) и или включается капча. Последнее тоже решаемо, но крайне маловероятно что хакер пойдет на это ради вашего аккаунта.
Дюжину лет назад именно таким способом я от скуки и выпотрошил от аккаунт моей знакомой. Я был уверен в том что есть крайне небольшой перечень паролей и попеременно вводил их до успеха.
- Вообще не надо думать.
- Очень легко запомнить и набрать
Какой пароль легче всего взломать? Да вот созданный именно по таком ленивому принципу. И все же он же вполне оправдан, когда вы уверены что «никому ваш аккаунт не нужен взлом не даст чего-то ценного». То есть — запаролить домашний комп или телевизор от детей, сделать гостевой пароль для wi-fi.
Как создать надежный ПИН-код для карты или телефона? Да по тому же принципу. Не будьте очевидным. Выберите любую дату из истории, этого будет достаточно. Получили кредитную карту — смело ставьте 1861 как пин-код, пусть напоминает вам о крепостном праве. вы можете забыть цифры, но не событие.
А уж найти его дату в сети дело плевое. Если ПИН-код был выдан вам автоматом, то это аналогично работает.
Ошибки: Явно не стоит использовать такой пароль для почтысоцсетей или важных аккаунтов.
Я Просто оставил СВОЙ ПАРОЛЬ на Табличке и вышел…
Глава вторая. Rfrjqcbkmysqgfhjkm или просто и надёжно.
Хороший, простой и надежный способ создания паролей. Именно его я вам и советую.
Итак, берется значимая для вас кодовая фраза или длинное слово.
Что-то такое, что вы не забудете никогда: сплит ПахмутовойТемнозорь, кличка хомяка, девичья фамилия. Дальше, все что вам остаётся это набрать ее на клавиатуре, переключив раскладку на латиницу. И тогда из «пшёлвон» получится «gi`kdjy». Неплохо, да? Кому кроме вас в голову придет такая комбинация?
- хорошо: быласобака = ,skfcj,frf
- очень хорошо: упопабыласобака = egjgf,skfcj,frf
- невозможно взломать: упопабыласобакаонееубил = egjgf,skfcj,frfjytte,bk
Сайт просит ещё цифр и заглавных букв. Отлично, добавляем в начало и конец, например, 1 и пишем первую букву с заглавной. Ещё можно взять за принцип писать единицу вместо i в таких паролях.
В итоге имеем нерасшифровываемое ассорти из 8 символов 1G1`kdjy. И это даёт 218 триллионов вариантов.
Можно ли взломать?
Можно, но сложно. И крайне сложно если у вас не то что даже 8, а, например дюжина символов. Больше бы я делать и не стал, сложно запомнить. Если в главе 1 перебор шёл по базе известных паролей, то символы надо тупо перебирать. А ведь, напомню, редкий сервис даст безнаказанно раз за разом вводить пароль.
Впрочем, если у вашего недруга есть квантовый компьютер, то процедура сократиться на пару десятков лет. К счастью, у него его нет.
Когда, опять-таки от скуки, я решил повторно ломануть упомянутый выше акк, выяснилось что теперь его защищал именно такой основанный на раскладке пароль. Подобрать мне не удалось, но. помог один популярный автоматический переключатель языка вводимых символов. Безобидная удобная прога имела на тот момент опцию (мб и сейчас имеет) записи всего вводимого с клавиатуры.
Потом осталось лишь прошерстить найденное… Но! Сам пароль подобрать не получилось.
Мораль: периодически проверяйте работающие программы и не пускайте кого попало за компьютер.
- Легко придумать на основе слова-якоря
- На самом деле сложно взломать
- Если на клавиатуре нет кириллицы (виртуальная или зарубежом, придется набирать по памяти.
Глава третья или Один за всех и все за одного
Ошибки: использовать 1 пароль для всех устройств и аккаунтов очень соблазнительно и очень опасно. При взломе одного аккаунта, злоумышленник тут же начнет шерстить и другие известные ему. Как быть?
Итак, у вас есть 1G1`kdjy из главы выше. О, да — хороший и устойчивый пароль, который вы помните. Положим вы регистрируете аккаунт на ixbt. Берём первую и последнюю буквы сайта, и добавляем их в пароль. Получается i1G1`kdjyt (или 11G1`kdjyt, если мы меняем i на 1).
Можно брать только первую, только последнюю. Да как угодно. Главное — выработайте для себя принцип и следуйте ему. Эта схема будет совершенно неочевидной для взломщика, а вы можете подгонять пароль абсолютно под любой сайт и сервис. И в таком случае вам необходимо будет помнить только один пароль-основу.
Все.
- Легко придумать на основе слова-якоря
- Еще сложнее взломать (символов-то больше)
- Доступ ко всему на основе лишь 1 пароля
- Если на клавиатуре нет кириллицы (виртуальная или зарубежом, придется набирать по памяти.
- Придется менять если сайт или приложение сменили адресимя
Глава четыре или где хранить пароли
Вполне удобныменеджер паролей в браузере и хранение паролей в основном аккаунте от applegooglexiaomi. Сайты-генераторы паролей или сервисы при создании пароля сделают вам чудовищную комбинацию. Да, ее невозможно взломать, но и встаёт вопрос как запомнить сложный пароль? А вы ведь и не запоминаете, а просто синхронизируете пароль в браузере или смартфоне, чтобы заходить с любого устройства, там у вас уже куча совершенно таких разных паролей хранится, которые иначе и в жизнь не запомнить.
Но попробуйте зайти с любого нового устройства, которое не помнит подсунутый вам dfj!RScsdajn!S~ Способ из главы выше позволит обойти этот вопрос.
Бумага. Как ни глупо это звучит, но стоит записывать пароли или основу для паролей на бумаге. Случится может всякое.
Облако. Делаете текстовой файл с названием НЕ «пароли passwords». Условно «Лечо от Нюськи» или «Замеры яркости фонариков». Копируем из сети 3-4 абзаца чего-то схожего с темой, чтобы при открытии файла было видно только такой нейтральный текст. А внизу уже лупим список паролей, и сохраняем в облаке вашего аккаунта.
Все, в случае острой нужды у вас будет возможность добраться до всех своих паролей. Опять-таки, если вы воспользуйтесь способом из главы 3, то запомнить нужно будет лишь один пароль, основу, на которой строятся все основные.
Программы для хранения паролей. Хороши когда вы не хотите хранить пароли в браузереаккаунте, но и вводить вручную каждый раз 30-40 символьные пароли (если у вас такая программа, то стоит ожидать паролей изрядной длины) непросто. Такая программа упростит жизнь. Но, увы, лишь на том компьютере, где установлена. Да, и если она у вас есть — вы и так многое знаете том как создать надёжный пароль.
Собственно все. Возьмите на вооружение третий пункт, проверяйте не появились ли у вас на компьютере неустановленные программы и не подпускайте к нему посторонних. Ну и универсальное правило — если вы с готовностью переходите по непонятным ссылкам, то, скорее всего, даже самый сложный пароль вам не поможет.
Глава пятая или «А если я забыла пароль?»
Важный момент, который может свести на нет всю возню с паролями.
Позабытый пароль легко можно восстановить. Плохо то, что для восстановления обычно предлагают одни и те же контрольные вопросы.
Девичья фамилия матери? Город где вы родились? Прозвище в школе? Серьёзно?!
Как вы думаете, легко ли будет заинтересованному человеку найти ответ на этот вопрос. Ещё раз, проявите немного изобретательности и создайте свой вопрос с известным лишь вам ответом. А, в идеале, ставьте двухфакторную аутентификацию — чтобы ещё и СМС приходило, и письмо на заведённый только для восстановления аккаунтов ящик.
Если у вас есть замечания или какой-то свой проверенный способ создать надёжный пароль — пишите в комментариях!
Источник: www.ixbt.com
Хороший пароль: как сочинить и где хранить
Сегодня сложно встретить человека, которому бы не приходилось пользоваться паролями при работе с компьютерами или мобильными устройствами. Социальные сети, многочисленные сайты магазинов, сервисов и мероприятий просят зарегистрироваться, ввести имя, контактные данные и придумать пароль. Разберёмся, для чего необходим пароль, как его грамотно составить и надёжно хранить.
Владимир Елисеев
10 Апреля 2020
Руководитель центра научных исследований и перспективных разработок ИнфоТеКС
Подключиться
Чтобы подключиться к услуге защиты каналов связи, заполните заявку
Неопытного пользователя смущает и затрудняет необходимость в очередной раз придумывать новый пароль. Многие в этом случае используют один и тот же для различных сайтов и сервисов. Подспудно понятно, что это не слишком правильно, но придумывать новый пароль, чтобы потом его не забыть, довольно затруднительно.
Для начала разберёмся, для чего всем этим сайтам нужен ваш пароль в дополнение к имени пользователя и контактному телефону или электронному почтовому адресу. С помощью пароля, не известного никому, кроме вас, интернет-сайт получает подтверждение того, что действия на сайте совершаете именно вы, а не кто-то, кто знает ваш почтовый адрес или телефонный номер. Если же на сайте вы заказываете товары и услуги, а также вводите свои персональные данные, то пароль становится защитой для ваших денег и данных. Если ваши контактные данные могут быть известны широкому кругу лиц, то секретный пароль позволит вам подтвердить свою аутентичность при входе на сайт.
Конечно, хранение пароля в секрете очень важно, однако пароль также должен быть достаточно сложным, чтобы противостоять попыткам его подбора. Злоумышленник, который хочет похитить ваши данные, может воспользоваться программой автоматического подбора пароля, которая будет многократно пытаться зайти на сайт с вашим логином и различными паролями.
Дело в том, что в отличие от ПИН-кода ошибочный пароль можно вводить без каких-либо ограничений по количеству попыток. В большинстве случаев сайты не только разрешают это делать, но даже могут не обращать внимания на многократные и очевидные попытки подбора пароля. Подбирать пароль можно, просто перебирая всевозможные комбинации символов, вводимых с клавиатуры. Существенно упростить задачу помогает словарь часто используемых паролей. Оказывается, многие люди (и даже специалисты по информационным технологиям) недостаточно оригинальны и выбирают одни и те же пароли, даже не сговариваясь.
Словари для побора паролей собирают чаще всего в результате кражи баз паролей с взломанных сайтов. Однако есть и другие способы, эксплуатирующие человеческое невежество и любопытство. Некоторое время назад в интернете появились сайты, предлагавшие проверить пароль на стойкость. Для этого достаточно был ввести свой пароль и увидеть результат оценки.
Были и такие сайты, которые обещали поискать пароль в словаре для подбора паролей. Очевидно, всё это примеры социальной инженерии злоумышленников. Никогда нельзя вводить свой пароль на сайте, отличном от того, для которого этот пароль предназначен!
Мы видим, что создать такой пароль, в котором выполнялись бы все или большинство перечисленных условий, — уже нетривиальная задача. Конечно, можно воспользоваться многочисленными сервисами и программами, предлагающими создать по-настоящему сложный стойкий пароль любой заданной длины. Проблема только в запоминании такого пароля. Вернёмся к обсуждению задачи хранения чуть позже, а пока рассмотрим технику создания сложных, но запоминаемых паролей.
Правила мнемотехники говорят нам, что лучше всего запоминается то, что имеет для нас смысл. Выделю «для нас», поскольку очень важно даже в качестве части пароля не использовать заезженные слова, давно попавшие во все словари злоумышленников. Однозначно нельзя использовать слова: password, secret, key и их тривиальные производные. Хорошей основой пароля будет любая максимально персонализированная информация, уникально значимая именно для вас. Предложу несколько идей на выбор:
- номер автомобиля латиницей, заглавными буквами, например P450CH199;
- код домофона с номером квартиры, например 123#4398;
- имя домашнего питомца с заглавной буквы, например Murzik;
- ваше домашнее или школьное прозвище;
- любимый герой мультфильма или книги, например Chernomor;
- номер вашей группы в университете, например А-01-12.
Конечно, есть люди, которым известна данная информация, однако её очень трудно отождествить с вами как с пользователем сайта интернет-магазина. На всякий случай можно подстраховаться и использовать в качестве секретного слова что-то из вашего личного прошлого: номер своего первого автомобиля, который давно уже продан, имя домашнего питомца из детства и т. п. В итоге мы получим строчку символов, несущую смысл только для вас и по этой причине хорошо запоминаемую, а точнее, уже находящуюся у вас в памяти. Назовём все придуманные вами строчки базовыми парольными словами.
Сами по себе базовые парольные слова слишком короткие, чтобы использоваться в качестве пароля. Сделать пароль длиннее можно путем перечисления нескольких базовых парольных слов через какой-либо специальный знак, не обязательно разделительный. Можно взять, к примеру, восклицательный знак, или даже открывающуюся скобку. Взяв таким образом в цепочку 2—3 базовых слова, мы уже получаем отличный пароль, стойкость которого достигает достаточного уровня.
Такой пароль безусловно хорош, но нам ведь нужно уметь производить запоминающиеся пароли во множестве и без особых усилий. Комбинировать в разном порядке базовые парольные слова — плохая идея, поскольку порядок лишен смысла, и вы будете постоянно путаться. Кроме того, комбинаций небольшого числа мнемоничных базовых слов не так уж и много, в отличие от сайтов в интернете, с которыми вам потребуется иметь дело.
Решением этой проблемы является использование имени сайта непосредственно в качестве части пароля. Можно предложить схему «имя сайта»—«базовое слово №1»—«базовое слово №2». Количество символов, скорее всего, будет достаточным для стойкого пароля, а также не возникнет вопросов с придумыванием и запоминанием пароля для конкретного сайта.
Понятно, что такая схема (включая мелкие детали её реализации), а также базовые парольные слова должны оберегаться вами как самый большой секрет. Не стоит записывать пароли, созданные с помощью подобной схемы, поскольку посторонний человек, увидев два или три ваших пароля, мгновенно поймёт способ их генерации. Однако до тех пор, пока вы держите всё в голове, никто не сможет подобрать ваши пароли.
Иногда всё же приходится пароли записывать и хранить. Во-первых, иногда пароль создается самим сайтом и по какой-то причине его не хочется менять. Во-вторых, у вас наверняка есть уже пять, а то и десять паролей, которые вы запомнили, несмотря на их абсолютную бессмысленность, и вам жалко с ними расставаться. В-третьих, есть пароли, которые создаются для служебных целей и используются несколькими людьми. Конечно, такой пароль нельзя создавать по личной секретной схеме.
В любом случае, для хранения паролей есть места более удобные и надёжные, чем блокнот в письменном столе. Рассмотрим некоторые из подходящих вариантов.
Во-первых, очень удобно пользоваться менеджером паролей в браузере. В этом случае пароли ассоциируются с сайтами и часто ввод логина и пароля производится браузером автоматически, экономя время и повышая удобство. Важно отметить, что менеджер паролей в браузере должен быть защищён своим паролем. Этот мастер-пароль должен быть стойким и для него стоит использовать иную схему, чем обычно. Например, составьте его из других базовых слов.
Не рекомендую хранить пароли даже в запароленном менеджере на компьютере, который не является вашим персональным и к которому может иметь легитимный доступ большое количество людей. В таком случае при посещении сайтов, требующих ввода пароля, всегда следите, чтобы сайт не запомнил случайно ваш логин и пароль для последующего входа. Если вы всё-таки случайно дали браузеру запомнить свои данные аутентификации, то в настройках приватности браузера всегда можно стереть информацию об этом сайте.
Во-вторых, пароли можно хранить в специальных программах-менеджерах паролей, которые устанавливаются на смартфон. Вход в такую программу всегда защищён отпечатком пальца, графическим ключом или паролем, так что случайный человек не получит доступа к вашим секретам, даже если вы потеряете смартфон.
Программы — менеджеры паролей делятся на два больших класса: требующие доступ в интернет для своей работы и работающие автономно. С точки зрения здоровой паранойи не вижу смысла доверять программе, которая хранит мои секреты, используя интернет. Объективно такая программа без труда может передавать всю хранимую информацию разработчику программы, что делает бессмысленной саму задачу защиты ваших паролей от чужих глаз. Автономные программы хранят зашифрованные пароли на самом мобильном устройстве, что позволяет вам быть уверенными в их секретности.
Единственная проблема с автономным хранилищем паролей — это возможная потеря или выход из строя смартфона. Для этой цели зашифрованную базу с паролями нужно периодически сохранять в каком-либо онлайн-хранилище либо копировать на отдельный носитель (извлекаемую карту памяти). Таким образом, ваши пароли будут не только секретными, но и надёжно защищенными от потери.
Источник: iitrust.ru
Как правильно: надежный пароль
Даже с надежным паролем вас могут взломать: например, если кто-то подсмотрел, как вы вводите пароль; если на компьютере, с которого вы заходите в почту, стоит программа-шпион. Как обезопасить себя от таких случаев:
- Не используйте один и тот же пароль в почте, банке, соцсетях и мессенджерах. Меняйте хотя бы треть пароля, чтобы его было сложно подобрать.
- Включите двухфакторную авторизацию везде, где можно. Тогда, даже если ваш пароль попадет в руки мошенников, для входа в почту или банк им потребуется еще и ваш телефон.
- Старайтесь не вводить пароли на чужих компьютерах, особенно если компьютер общий: в интернет-кафе или библиотеке. Вы не знаете, какие на них могут стоять программы-шпионы.
- Защитите паролем домашнюю беспроводную сеть.
- Если у вас есть подозрение, что ваш пароль мог утечь к злоумышленникам, меняйте его в безопасной среде и с безопасного устройства. Например, дома с планшета.
- Держите при себе телефон, и, если вдруг ваша симка перестала работать, срочно звоните оператору и меняйте симку в салоне связи. Неработающая симка может означать, что кто-то изготовил дубликат.
Тэги: хакеры, безопасность, мошенничество Обложка — Татьяна Егошина
Когда вы в последний раз меняли пароли от почты, соцсетей и интернет-банка?
Как специалист ежедневно касающийся в своей работе информационной безопасности, могу заявить ,что статью писал новичок, который не знает сути энтропии и как её увеличивать простыми способами.
Здесь более компромиссным вариантом будет пароль, состоящий из бессвязных на первый взгляд слов, примерно такого вида: «Match-Spoon-Balalaika-Freedom», который куда более стойкий для взлома и гораздо проще для запоминания (если вы хоть немного знакомы с английским). Достаточно представить в голове сценку, в которой связаны эти 4 вещи и вы уже никогда их не забудете — это простая психология, принципы запоминания нашего мозга связаны с образами.
P.S. И еще, интересно посмотреть на автора, как он запомнит хотя бы 10 различных паролей, где какой символ и на что он изменил в своей фразе.
Я могу оценить ваш пароль. Просто киньте сюда имейл и пароль, что бы я посмотрел насколько они похожи
Tinkoff, пытался в вашем банковском приложении поменять пароль, придуманный по вашему же сценарию. Приложение не даёт, говорит: двоеточие использовать нельзя. Во всех сервисах главное можно, а у вас нельзя)
Предлагаю ещё вариант ошибки: «Ваш пароль слишком сложный, придумайте пароль с более простыми символами»
Запомнить пароль? У меня их десятки, если не сотни. Я не киборг же.
«Добавляете свой любимый смайл и возраст, в котором у вас был первый секс: EnSHmvvMpn1eiMX-D29.»
Максим, сарказм? Не, не слышал)
На что ты вообще тратил свои лучшие годы?!
Было бы интересно узнать мнение редакции о менеджерах паролей и рисках их использования.
Сегодня существует много сервисов, для генерации и схранения паролей с шифрованием. 1Password, Dashline, например
sviperm, после истории с LastPass параноидально отношусь к сторонним сервисам хранения паролей (https://habr.com/ru/company/defconru/blog/260383/). Пользуюсь локальным KeePass вместо них. Синхронизирую через Dropbox.
Реально прошлый век господа. Используйте защищённый менеджер паролей. Например тот же Enpass. Или аналоги. Как правило такие менеджеры хранят пароль в зашифрованном файле.
И вам только надо помнить только один пароль от этого файла. Даже если его украдут то дешифровать такой файл невероятно сложно.
Кстати, незнаю надежно ли это, но можно пользоваться техникой ввода паролей, похожий на создание ников в видеоиграх: ту же самую «картошку с грибами» можно латиницей, имитируя кириллицу, записать как KaPToLLIKa_C_rPuBaMu
Как то так; единственная проблема что не все буквы можно латиницей записать
Роман, достаточно добавить пару цифр в ваш пример: KaPT0LLIKa_C_rPu6aMu
Но и это не панацея, нужно еще уметь записывать таким образом, а потом уехать в отпуск на 2 недели вернуться и вспоминать было там «a» или «A» 🙁
Запомнить те сотни паролей которые у меня есть (пользуюсь правилом: один сервис — один пароль). не реально. Поэтому использую Ластпас с 2х факторной авторизацией и сложным (20+ символов, в том числе и спец) мастер-паролем. Хотелось бы мигрировать на что-то более безопасное (keepass, 1password), но пока не определился куда податься.
Вот вы чудаки. Используйте менеджер поролей типа кипас и будет вам счастье
Серьёзно? Менеджер паролей наше всё, особенно если база хранится локально или где-то на вашем сервере (не путать с облачным хранилищем), а доступ к базе осуществляется посредством ключа и мастер-пароля от 12 символов, в котором также имеются спец-символы.
я ожидал что статья про менеджеры паролей, а тут ерунда какая-то
месяц назад. но в течении месяца я просматриваю и меняю пробел на символ или же под настроение которое у меня на момент замены пароля.
Я часто это делаю, так как теряю прежние) А ещё люблю несмешно пошутить))
В мобильно приложении или в декстопе?
Источник: journal.tinkoff.ru