Генератор паролей

Как работает генератор паролей

Пароль собирается из случайных символов выбранных наборов: строчные буквы (26), прописные (26), цифры (10) и 23 знака пунктуации — всего 85 вариантов на каждую позицию. Каждый символ выбирается генератором crypto.getRandomValues равновероятно и без смещения, а затем инструмент проверяет, что в пароле присутствует хотя бы один знак из каждого выбранного набора. Стойкость оценивается по энтропии — числу бит информации, которое нужно угадать злоумышленнику.

H = L × log₂(N)         — L — длина, N — размер алфавита
T = 2^H ÷ V             — V — скорость перебора, попыток в секунду

Пример вручную: пароль из 12 символов, включены все наборы. Алфавит N = 85, log₂(85) ≈ 6,41, энтропия H = 12 × 6,41 ≈ 77 бит. Число вариантов 2^77 ≈ 1,5 · 10^23. При скорости 10 млрд попыток в секунду перебор займёт 1,5 · 10^13 секунд, или около 450 тыс. лет. Тот же пароль из одних строчных букв (N = 26) даёт 56 бит и вскрывается за 110 дней.

Скорость 10^10 попыток в секунду соответствует одной современной видеокарте, атакующей быстрый хеш вроде MD5 или NTLM. Если сервис хранит пароли через bcrypt или Argon2, перебор медленнее в десятки тысяч раз; если пароль утёк в открытом виде, никакая длина не поможет — его надо менять.

Сколько символов должно быть в пароле

Длина влияет на стойкость сильнее, чем набор символов: каждый дополнительный знак умножает число вариантов на 85, а добавление знаков пунктуации к буквам и цифрам — только на 1,37. Таблица показывает полный перебор при 10 млрд попыток в секунду.

Практический минимум сегодня — 12 символов из всех наборов для обычных сайтов и 16–20 для почты, банка, Госуслуг и мастер-пароля менеджера. Четырёхзначный ПИН-код безопасен только потому, что смартфон и банкомат блокируют ввод после нескольких ошибок.

Что такое энтропия и уровни стойкости

Энтропия пароля — это мера его непредсказуемости в битах: логарифм по основанию 2 от числа всех возможных комбинаций для заданной длины и набора символов. 12 случайных символов из букв обоих регистров, цифр и знаков дают около 77 бит — подбор такого пароля занимает годы даже на быстром оборудовании.

Энтропия — мера непредсказуемости, измеряется в битах: каждый бит удваивает число вариантов. Инструмент относит пароль к четырём уровням: слабый — до 40 бит (вскрывается за минуты), средний — 40–60 бит (часы и дни), надёжный — 60–80 бит (годы), очень надёжный — от 80 бит (тысячелетия и дольше). Оценка справедлива только для случайных строк: слово из словаря, дата рождения или «Qwerty123!» формально дают десятки бит, а на практике находятся в первых миллионах попыток.

Требования сервисов в СНГ укладываются в эти уровни. Госуслуги принимают пароль от 8 символов с прописными и строчными латинскими буквами, цифрами и знаками пунктуации; банковские приложения в России, Беларуси и Казахстане обычно просят 8–12 знаков из трёх наборов. Сгенерированный здесь 16-символьный пароль проходит любые такие проверки — если сервис ограничивает набор знаков, снимите галочку «Символы» и увеличьте длину до 20.

Как пользоваться паролями правильно

• Один сервис — один пароль. При утечке базы одного сайта злоумышленники автоматически пробуют те же пары логин-пароль в почте, банках и маркетплейсах.
• Храните пароли в менеджере, а не в заметках и не в файле на рабочем столе. Мастер-пароль — единственный, который придётся запомнить: 6 случайных слов из словаря на 7 776 слов дают 77 бит.
• Включите двухфакторную аутентификацию там, где она есть: код из приложения или аппаратный ключ защищает даже при утечке пароля.
• Не диктуйте пароль по телефону и не пересылайте в мессенджерах. Если пришлось — сгенерируйте новый после использования.
• Меняйте пароль не по расписанию, а по событию: утечка, подозрительный вход, увольнение сотрудника, имевшего доступ.