Поширена інтуїція — "пароль з великими літерами, цифрами й символами надійніший, ніж без них" — лише частина правди. Насправді стійкість пароля визначає ентропія: скільки варіантів довелося б перебрати зловмиснику, а не який саме алфавіт символів використано.
Що таке ентропія пароля
Ентропія вимірюється в бітах і залежить від розміру алфавіту символів і довжини пароля: ентропія = log2(розмір_алфавіту ^ довжина). Довший пароль з меншим алфавітом (наприклад, лише малі літери) може мати вищу ентропію, ніж короткий пароль зі складним алфавітом.
Чому довжина важливіша за складність
Пароль із чотирьох випадкових слів словника (наприклад, "correct-horse-battery-staple") часто має вищу ентропію, ніж короткий пароль на кшталт "P@ssw0rd!", хоча другий виглядає "складнішим" через символи різних типів. Це тому, що додавання кожного нового символу довжини експоненційно збільшує простір перебору, тоді як розширення алфавіту впливає лише лінійно на показник степеня.
Чому генератори все ж додають символи різних типів
Багато систем вимагають обов'язкової наявності цифр, великих літер і спецсимволів — це не завжди підвищує реальну ентропію, але захищає від найпростіших словникових атак і застарілих політик, які досі поширені. Хороший генератор паролів балансує довжину й різноманітність алфавіту, орієнтуючись на потрібний рівень ентропії.
Навіщо це потрібно
- Генерувати надійні паролі для нових облікових записів, не покладаючись на людську пам'ять.
- Розуміти, чому вимога "мінімум одна цифра й символ" — не найважливіший фактор безпеки.
- Оцінювати реальну стійкість існуючих паролів до перебору.
Пасфрази проти випадкових символів
Пасфраза з кількох випадкових слів словника (наприклад, «correct-horse-battery-staple») може мати вищу ентропію, ніж короткий пароль зі спецсимволами, і водночас значно легша для запам'ятовування людиною. Для паролів, які зберігаються в менеджері паролів і ніколи не вводяться вручну, це не має значення — випадкові символи дають вищу ентропію на символ. Але для «майстер-пароля» самого менеджера паролів, який доводиться пам'ятати, пасфраза часто практичніший вибір.