mirror of
https://github.com/privacyguides/i18n.git
synced 2025-08-26 16:19:20 +00:00
112 lines
16 KiB
Markdown
112 lines
16 KiB
Markdown
---
|
||
title: "Вступ до паролів"
|
||
icon: 'material/form-textbox-password'
|
||
description: Це кілька порад та підказок про те, як створювати найнадійніші паролі та зберігати свої акаунти в безпеці.
|
||
---
|
||
|
||
Паролі є важливою частиною нашого повсякденного цифрового життя. Ми використовуємо їх для захисту наших облікових записів, пристроїв і секретів. Попри те, що часто вони є єдиною перешкодою між нами та зловмисником, який хоче отримати нашу особисту інформацію, ми не замислюємося над ними, що часто призводить до того, що люди використовують паролі, які можна легко вгадати або підібрати грубим перебором.
|
||
|
||
## Передовий досвід
|
||
|
||
### Використовуйте унікальні паролі для кожного сервісу
|
||
|
||
Уявіть собі: ви реєструєте обліковий запис з однаковими електронною поштою та паролем на кількох онлайн-сервісах. Якщо один з цих постачальників послуг є зловмисником, або в його сервісі стався витік даних, який розкрив ваш пароль у незашифрованому вигляді, все, що потрібно зробити зловмиснику, - це спробувати цю комбінацію електронної пошти та пароля на інших популярних сервісах, поки він не отримає доступ. Не має значення, наскільки надійним є цей пароль, адже він вже у них є.
|
||
|
||
Це називається [підміна облікових даних](https://en.wikipedia.org/wiki/Credential_stuffing), і це один з найпоширеніших способів, за допомогою якого зловмисники можуть скомпрометувати ваші облікові записи. Щоб уникнути цього, переконайтеся, що ви ніколи не використовуєте свої паролі повторно.
|
||
|
||
### Використовуйте випадково згенеровані паролі
|
||
|
||
**Ніколи** не варто покладатися на себе у виборі надійного пароля.== Ми рекомендуємо використовувати [випадково згенеровані паролі](#passwords) або [парольні фрази](#diceware-passphrases) з достатньою ентропією для захисту ваших облікових записів і пристроїв.
|
||
|
||
Усі наші [рекомендовані менеджери паролів](../passwords.md) містять вбудований генератор паролів, яким ви можете скористатися.
|
||
|
||
### Зміна паролів
|
||
|
||
Вам слід уникати занадто частої зміни паролів, які ви повинні пам'ятати (наприклад, головний пароль вашого менеджера паролів), якщо тільки у вас немає підстав вважати, що він був скомпрометований, оскільки занадто часта зміна пароля наражає вас на ризик його забути.
|
||
|
||
Що стосується паролів, які вам не потрібно запам'ятовувати (наприклад, паролі, що зберігаються у вашому менеджері паролів), якщо цього вимагає ваша [модель загроз](threat-modeling.md), ми рекомендуємо переглядати важливі акаунти (особливо ті, що не використовують багатофакторну автентифікацію) і змінювати їхні паролі кожні два місяці, на випадок, якщо вони були скомпрометовані в результаті витоку даних, який ще не став публічним. Більшість менеджерів паролів дозволяють встановити дату закінчення терміну дії пароля, щоб полегшити керування ним.
|
||
|
||
!!! tip "Перевірка на витік даних"
|
||
|
||
Якщо ваш менеджер паролів дозволяє перевіряти скомпрометовані паролі, переконайтеся, що ви це робите, і негайно змінюйте будь-який пароль, який, можливо, був розкритий під час витоку даних. Крім того, ви можете стежити за [стрічкою останніх порушень Have I Been Pwned](https://feeds.feedburner.com/HaveIBeenPwnedLatestBreaches) за допомогою [новинного агрегатора](../news-aggregators.md).
|
||
|
||
## Створення надійних паролів
|
||
|
||
### Паролі
|
||
|
||
Багато сервісів встановлюють певні критерії до паролів, включаючи мінімальну або максимальну довжину, а також те, які спеціальні символи можна використовувати, якщо такі є. Використовуйте вбудований у ваш менеджер паролів генератор паролів, щоб створювати паролі настільки довгі та складні, наскільки це дозволяє сервіс, включаючи великі та малі літери, цифри та спеціальні символи.
|
||
|
||
Якщо вам потрібен пароль, який ви зможете запам'ятати, ми рекомендуємо використовувати [парольні фрази](#diceware-passphrases).
|
||
|
||
### Менеджери паролів
|
||
|
||
Парольна фраза - це метод створення ключових фраз, які легко запам'ятати, але важко вгадати.
|
||
|
||
Фрази-паролі - чудовий варіант, коли вам потрібно запам'ятати або ввести вручну свої облікові дані, наприклад, головний пароль вашого менеджера паролів або пароль шифрування вашого пристрою.
|
||
|
||
Прикладом парольної фрази є `viewable fastness reluctant squishy seventeen shown pencil`.
|
||
|
||
Щоб згенерувати кодову фразу з використанням справжніх гральних кубиків, виконайте такі дії:
|
||
|
||
!!! примітка
|
||
|
||
Ці інструкції припускають, що ви використовуєте [великий список слів EFF](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) для генерації парольної фрази, яка вимагає п'ять кидків кубика на слово. Інші словники можуть вимагати більшої або меншої кількості кидків на слово, а також іншої кількості слів для досягнення тієї ж самої ентропії.
|
||
|
||
1. Киньте шестигранний кубик п'ять разів, записуючи число після кожного кидка.
|
||
|
||
2. Для прикладу, припустимо, що ви викинули `2-5-2-6-6`. Подивіться у [великий список слів EFF](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) слово, яке відповідає `25266`.
|
||
|
||
3. Ви знайдете слово `encrypt`. Запишіть це слово.
|
||
|
||
4. Повторюйте цей процес до тих пір, поки у вашій парольній фразі не буде стільки слів, скільки вам потрібно, слова слід відокремлювати пробілами.
|
||
|
||
!!! попередження "Важливо"
|
||
|
||
Ви **не** повинні повторювати слова до тих пір, поки не отримаєте комбінацію слів, яка вам подобається. Процес має бути абсолютно випадковим.
|
||
|
||
Якщо у вас немає доступу до справжніх гральних кубиків або ви не хочете використовувати їх, ви можете скористатися вбудованим генератором паролів вашого менеджера паролів, оскільки більшість з них мають можливість генерувати парольні фрази на додачу до звичайних паролів.
|
||
|
||
Ми рекомендуємо використовувати [великий список слів EFF](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) для генерації паролів для diceware, оскільки він забезпечує таку ж безпеку, як і оригінальний список, але містить слова, які легше запам'ятовувати. Існують також [інші списки слів різними мовами](https://theworld.com/~reinhold/diceware.html#Diceware%20in%20Other%20Languages|outline), якщо ви не хочете, щоб ваша парольна фраза була англійською.
|
||
|
||
??? примітка "Пояснення ентропії та стійкості ключових фраз"
|
||
|
||
Щоб продемонструвати, наскільки сильними є ключові фрази, ми використаємо вищезгадану фразу з семи слів (`viewable fastness reluctant squishy seventeen shown pencil`) та [великий список слів EFF] (https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) як приклад.
|
||
|
||
Одним із показників для визначення сили парольної фрази є її ентропія. Ентропія кожного слова у фразі обчислюється як $\text{log}_2(\text{WordsInList})$, а загальна ентропія фрази обчислюється як $\text{log}_2(\text{WordsInList}^\text{WordsInPhrase})$.
|
||
|
||
Отже, кожне слово у вищезгаданому списку дає ~12.9 біт ентропії ($\text{log}_2(7776)$), а похідна від нього фраза з семи слів має ~90.47 біт ентропії ($\text{log}_2(7776^7)$).
|
||
|
||
[Великий список слів EFF](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) містить 7776 унікальних слів. Щоб підрахувати кількість можливих ключових фраз, все, що нам потрібно зробити, це $\text{WordsInList}^\text{WordsInPhrase}$, або у нашому випадку, $7776^7$.
|
||
|
||
Розгляньмо все це в перспективі: Ключова фраза з семи слів з використанням [великого списку слів EFF](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt) - це одна з ~1,719,070,799,748,422,500,000,000,000,000 можливих ключових фраз.
|
||
|
||
В середньому, щоб вгадати вашу фразу, потрібно спробувати 50% всіх можливих комбінацій. Враховуючи це, навіть якщо ваш супротивник здатний робити ~1 000 000 000 000 000 спроб за секунду, йому все одно знадобиться ~27 255 689 років, щоб вгадати вашу парольну фразу. Це так, навіть якщо чинні наступні умови:
|
||
|
||
- Ваш супротивник знає, що ви використовували парольну фразу.
|
||
- Ваш супротивник знає конкретний список слів, який ви використовували.
|
||
- Ваш супротивник знає, скільки слів містить ваша парольна фраза.
|
||
|
||
Підсумовуючи, парольні фрази - це найкращий варіант, коли вам потрібно щось, що легко запам'ятовується *та* є надзвичайно надійним.
|
||
|
||
## Зберігання паролів
|
||
|
||
### Менеджери паролів
|
||
|
||
Найкращий спосіб зберігати паролі - це використовувати менеджер паролів. Вони дозволяють зберігати паролі у файлі або в хмарі та захищати їх за допомогою єдиного головного пароля. Таким чином, вам потрібно буде запам'ятати лише один надійний пароль, який дозволить вам отримати доступ до решти.
|
||
|
||
Є багато хороших варіантів на вибір, як хмарних, так і локальних. Виберіть один із рекомендованих нами менеджерів паролів і використовуйте його для створення надійних паролів для всіх ваших акаунтів. Ми рекомендуємо захистити ваш менеджер паролів за допомогою [парольної фрази](#diceware-passphrases), що складається щонайменше з семи слів.
|
||
|
||
[Список рекомендованих менеджерів паролів](../passwords.md ""){.md-button}
|
||
|
||
!!! warning "Не зберігайте паролі та TOTP-токени в одному менеджері паролів"
|
||
|
||
При використанні кодів TOTP як [багатофакторної автентифікації](../multi-factor-authentication.md), найкращим вибором є зберігання кодів TOTP в [окремому додатку](../multi-factor-authentication.md#authenticator-apps).
|
||
|
||
Зберігання токенів TOTP в одному місці з паролями хоч і зручно, але зводить облікові записи до одного фактору в разі, якщо зловмисник отримає доступ до вашого менеджера паролів.
|
||
|
||
Крім того, ми не рекомендуємо зберігати в менеджері паролів одноразові коди відновлення. Їх слід зберігати окремо, наприклад, у зашифрованому контейнері на автономному накопичувачі.
|
||
|
||
### Резервні копії
|
||
|
||
Ви маєте зберігати резервну копію своїх паролів у [шифрованому](../encryption.md) вигляді на декількох накопичувачах або у хмарному сховищі. Це може допомогти вам отримати доступ до ваших паролів, якщо щось станеться з вашим основним пристроєм або сервісом, яким ви користуєтеся.
|