Надёжность паролей и политики

Несмотря на распространение MFA и аутентификации без пароля, пароли остаются самым распространённым фактором аутентификации. Слабый пароль — наиболее частая точка первоначального доступа при утечках данных.

Надёжные пароли обладают следующими свойствами:

• Длина — 16 и более символов значительно повышают энтропию
• Сложность — сочетание прописных и строчных букв, цифр и символов
• Непредсказуемость — отсутствие слов из словаря, клавиатурных шаблонов и личной информации
• Уникальность — отдельный пароль для каждой учётной записи

Энтропия измеряет непредсказуемость в битах. В пароле, использующем 94 печатных символа ASCII, каждый символ добавляет примерно 6,5 бита. 16-символьный пароль обладает примерно 104 битами энтропии и практически не поддаётся взлому перебором.

Длина важнее сложности: "correcthorsebatterystaple" > "P@ss1".

Злоумышленники знают, что пользователи выбирают:

• слова из словаря с простой заменой символов (p@ssw0rd)
• личную информацию (дату рождения, имя домашнего животного)
• клавиатурные шаблоны (qwerty, 123456)
• название компании + год
• один и тот же пароль для всех сервисов

Эффективные политики паролей (согласно NIST SP 800-63B):

• минимум 8 символов (предпочтительно 12 и более)
• проверяйте пароли по спискам паролей из известных утечек
• NOT требуйте обязательной частой смены паролей (это поощряет использование слабых паролей)
• NOT требуйте произвольных правил сложности, которыми пользователи пытаются манипулировать
• разрешайте вставку, чтобы можно было использовать менеджеры паролей

Менеджер паролей создаёт и хранит уникальные надёжные пароли для каждой учётной записи, защищая их одним мастер-паролем. Это устраняет повторное использование паролей — первопричину атак с подстановкой учётных данных.

Популярные варианты: Bitwarden (с открытым исходным кодом), 1Password, KeePass, Dashlane.

Парольная фраза — это четыре или более случайных слова, сочетающие запоминаемость с высокой энтропией. "TrafficLampFrogBridge" надёжнее, чем "T!@#k7", и гораздо проще для запоминания и ввода.

Для корпоративных сред:

• устанавливайте минимальную длину с помощью групповой политики / поставщика удостоверений
• блокируйте часто используемые пароли (список 100 000 самых популярных)
• включайте MFA для всех учётных записей
• отслеживайте в журналах признаки распыления паролей и перебора
• используйте LAPS для смены паролей локальных администраторов

HaveIBeenPwned (HIBP), созданный Троем Хантом, содержит миллиарды украденных учётных данных. Организации могут использовать программный интерфейс HIBP, чтобы блокировать пароли, обнаруженные в известных утечках.

Пользователи могут проверить свой адрес электронной почты на сайте haveibeenpwned.com.

Биометрические данные (отпечаток пальца, лицо) удобны, но имеют ограничения: их нельзя изменить в случае компрометации. Лучше всего использовать их как второй фактор вместе с надёжным паролем, а не вместо него.

Ключи доступа (FIDO2/WebAuthn) заменяют пароли парами криптографических ключей. Закрытый ключ никогда не покидает устройство. Защита от фишинга заложена в принцип работы: пароль не нужно красть. Технологию внедрили Apple, Google и Microsoft.

Какая практика, согласно NIST SP 800-63B, рекомендуется для повышения безопасности паролей?

Надёжность паролей в большей степени зависит от длины и уникальности, чем от сложных правил выбора символов. Менеджеры паролей решают проблему повторного использования паролей. Рекомендации NIST советуют проверять пароли по базам данных утечек, а не принуждать пользователей к частой смене паролей. Ключи доступа (FIDO2) — будущее аутентификации, устойчивое к фишингу.