Многие сайты в России — от интернет-банков до Госуслуг — годами требовали пароль строго определённой длины (например, не более 20 символов) и запрещали часть спецсимволов, потому что их внутренние системы исторически не умели их корректно обрабатывать. Из-за этого пользователи привыкали урезать сгенерированный пароль под требования конкретной формы, а не наоборот.
Что такое энтропия пароля
Энтропия измеряется в битах и зависит от размера алфавита символов и длины пароля: энтропия = log2(размер_алфавита ^ длина). Более длинный пароль с меньшим алфавитом (например, только строчные буквы) может иметь более высокую энтропию, чем короткий пароль со сложным алфавитом — форма ввода, ограничивающая набор символов, не обязательно ограничивает реальную стойкость.
Ловушка раскладки клавиатуры
Ещё одна практическая проблема, характерная именно для пользователей с кириллической раскладкой ЙЦУКЕН: пароль генерируется и хранится латиницей, но при вводе на чужом компьютере или телефоне человек может не заметить, что раскладка переключена на русскую, и попытаться "угадать" пароль русскими буквами по расположению клавиш. Менеджер паролей с автозаполнением снимает эту проблему полностью, поскольку исключает ручной ввод.
Почему генераторы всё же добавляют символы разных типов
Многие системы требуют обязательного наличия цифр, больших букв и спецсимволов — это не всегда повышает реальную энтропию, но защищает от простейших словарных атак и устаревших политик, которые всё ещё распространены. Хороший генератор паролей балансирует длину и разнообразие алфавита, ориентируясь на нужный уровень энтропии.
Зачем это нужно
- Генерировать надёжные пароли для новых учётных записей, не полагаясь на человеческую память.
- Понимать, почему требование "минимум одна цифра и символ" — не самый важный фактор безопасности.
- Оценивать реальную устойчивость существующих паролей к перебору.
Парольные фразы против случайных символов
Парольная фраза из нескольких случайных слов словаря (например, «correct-horse-battery-staple») может иметь более высокую энтропию, чем короткий пароль со спецсимволами, и при этом значительно легче запоминается человеком. Для паролей, которые хранятся в менеджере паролей и никогда не вводятся вручную, это не имеет значения — случайные символы дают более высокую энтропию на символ. Но для «мастер-пароля» самого менеджера паролей, который приходится помнить, парольная фраза часто более практичный выбор.