ФБР рекомендує: замість коротких складних паролів краще перейти на прості парольні фрази

Навряд чи хтось буде оскаржувати необхідність паролів для захисту облікових записів в Інтернеті і на ПК. Але зробити це можна по-різному. Пароль може бути коротким, з неймовірних комбінацій літер, цифр і символів, а може бути довгим і складається з простих слів. Як вважає ФБР, другий спосіб представляється найкращим вибором.

Цього тижня офіс ФБР у Портленді поширив рекомендації користуватися довгими парольними фразами з простих слів замість коротких і складних паролів. Рекомендації були сформовані в рамках технічних консультацій. Короткий пароль, що складається з літер у різних регістрах, цифр і спеціальних символів більшості користувачів вкрай складно запам’ятати. Парольна фраза з простих слів, навпаки, легко запам’ятовується людиною за рахунок асоціативного мислення.

Національний інститут стандартів і технологій США (NIST) випустив схожі рекомендації ще в 2017 році. Згідно з цими рекомендаціями, на сайтах необхідно було розміщувати поля для паролів довжиною до 64 символів. Користувачам же рекомендувалося використовувати парольні фрази замість складних паролів. Аналогічну рекомендацію в листопаді 2019 року до рад з безпеки включило Міністерство національної (внутрішньої) безпеки США (DHS).

У рекомендації ФБР пропонується використовувати кілька простих слів у ланцюжку довжиною не менше 15 символів. «Додаткова довжина парольної фрази ускладнює злом, а також полегшує запам’ятовування». На злом парольних фраз навіть з простих слів потрібно набагато більше часу, ніж на злом гранично складного по конструкції, але короткого пароля. Це підтверджують також академічні дослідження, результати яких були оприлюднені в 2015 році: «ефект збільшення довжини перевершує ефект розширення алфавіту [додавання складності]».

На тему парольних фраз років сім-вісім тому з’явився комікс XKCD. Пізніше навіть було відкрито сайт для генерації парольних фраз у стилі цього коміксу. Крім того, існують бібліотеки з відкритим кодом, які можуть наділити служби та програми функцією автоматичної генерації парольних фраз. Але все це не має сенсу, якщо користувачі свідомо не почнуть використовувати парольні фрази замість коротких складних паролів або, що теж себе не зжило, комбінацій «12345».