Генератор паролей помогает лишь в том случае, если вы подбираете правильный тип секретного кода для выполнения задачи. Именно здесь многие застревают. Они знают, что хотят чего-то более надежного, но не уверены, стоит ли генерировать случайный пароль, запоминающуюся парольную фразу или цифровой ПИН-код.

Самый простой способ принять решение — перестать спрашивать, какой вариант является самым надежным в теории. Спросите себя, какой вариант лучше подходит для контекста входа в систему. Учетная запись на веб-сайте, ежедневный вход с мобильного устройства и разблокировка локального устройства создают разные типы рисков.

Если вы хотите сделать выбор быстро, режим случайного пароля на главной странице — лучший вариант по умолчанию для входа в большинство учетных записей, тогда как режим запоминающейся парольной фразы и генератор ПИН-кодов на главной странице больше подходят для частных случаев. Главное — понимать, где каждый из них уместен.

Почему один режим генератора не подходит для любого входа в систему

Надежный секретный код для входа — это не только чистая сложность. Это также вопрос того, где вы его используете и как часто вам нужно его вводить. Это также зависит от того, используется ли менеджер паролей и защищает ли секретный код удаленную учетную запись или только разблокирует локальное устройство.

Вот почему сайт предлагает три режима вместо одного. «Случайный», «Запоминающийся» и «ПИН-код» — это не просто косметический выбор. Они решают разные проблемы неудобства, сохраняя при этом главную цель: создавать уникальные данные вместо повторного использования старых слабых учетных данных.

Когда случайный пароль является лучшим вариантом по умолчанию

Лучший выбор для входа в учетные записи, которые вы сохраните в менеджере паролей

Для большинства учетных записей на веб-сайтах и в приложениях случайный пароль остается лучшим вариантом по умолчанию. Его трудно предсказать, легко сделать уникальным, и вам не нужно полагаться на свою память, если вы сохраняете его должным образом.

Это соответствует современным стандартам. В стандарте NIST SP 800-63B говорится, что пароли, используемые в качестве однофакторных секретов аутентификации, должны состоять как минимум из 15 символов. Это одна из причин, почему генератор так полезен для сохраненных учетных данных: он позволяет легко создавать длинные уникальные строки без необходимости придумывать их вручную.

В каких случаях случайные строки создают больше неудобств, чем пользы

Случайные строки становятся менее удобными, когда их приходится часто вводить на телефоне, планшете, телевизионном пульте или другой неудобной поверхности для ввода. В таких случаях теоретически максимально надежная строка может подтолкнуть людей к небезопасному поведению, например, хранению паролей в обычных заметках или повторному использованию более простых паролей в будущем.

Это не означает, что случайные пароли — это плохо. Это означает, что они работают лучше всего, когда вход в систему сочетается с менеджером паролей или другим надежным способом их хранения и автозаполнения.

Когда запоминающаяся парольная фраза является лучшим компромиссом

Хорошо подходит для входа в систему, который вам действительно приходится часто вводить

Запоминающаяся парольная фраза может быть лучшим компромиссом, когда вам нужен секретный код, который вы будете вводить регулярно и на который не всегда можно положиться при автозаполнении. Длинная фраза, состоящая из не связанных друг с другом слов, часто легче вводится, и меньше искушения записать ее в неположенном месте.

NIST также поддерживает здесь более длинные и гибкие секретные коды. В том же руководстве NIST говорится, что верификаторы должны принимать все печатные символы ASCII, включая символ пробела. Также говорится, что они должны допускать максимальную длину не менее 64 символов. Это оставляет место для длинных парольных фраз, вместо того чтобы принуждать пользователей к коротким и трудным для запоминания строкам.

В каких случаях парольные фразы все равно требуют дополнительной осторожности

Парольная фраза не является автоматически надежной только потому, что она состоит из слов. Она все равно должна быть достаточно длинной, достаточно редкой и уникальной для этой учетной записи. Известная цитата, строчка из песни или фраза, которую вы уже используете в другом месте, — плохая замена по-настоящему свежему секретному коду.

Именно здесь помогает режим «Запоминающийся» на нашем сайте. Он дает вам способ сгенерировать что-то, что легче удержать в памяти, не возвращаясь к личным шаблонам, повторно используемым любимым фразам или предсказуемым заменам.

Когда ПИН-код уместен на устройстве, а не на веб-сайте

Полезно для контекстов разблокировки локального устройства

Цифровой ПИН-код подходит для контекстов локальной разблокировки, таких как телефоны или планшеты с ограничениями на количество попыток ввода. Это сильно отличается от использования короткого цифрового кода в качестве основного пароля для учетной записи в Интернете.

NIST четко проводит эту границу. В своем руководстве по секретам активации NIST заявляет, что ПИН-подобные секретные коды для локальных устройств должны состоять как минимум из 4 символов. Также говорится, что они должны состоять как минимум из 6 символов. Это полезный ориентир для разблокировки устройств, а не повод заменять настоящий пароль учетной записи коротким ПИН-кодом.

Почему ПИН-код не должен заменять надежный пароль учетной записи

Пароль веб-сайта обычно защищает удаленную учетную запись, которая может подвергнуться атакам с подбором учетных данных (credential stuffing), повторному использованию паролей и последствиям масштабных утечек. Короткий цифровой ПИН-код в этом контексте гораздо легче угадать, и он гораздо менее гибкий, чем полноценный пароль или парольная фраза.

Вот почему режим ПИН-кода на сайте следует рассматривать как конкретную опцию, а не как универсальный ответ. Он подходит для определенных нужд локальной разблокировки. Он не заменяет надежный секретный код учетной записи для электронной почты, рабочих инструментов, банковских сервисов или других важных входов в систему.

Как быстро выбрать правильный режим на главной странице

Подберите режим в соответствии с типом входа перед нажатием кнопки «Генерировать»

Помогает простое правило принятия решения. Если секретный код предназначен для обычной учетной записи в Интернете и вы сохраните его в менеджере паролей, выберите «Случайный». Если вам нужно часто вводить его и нужно что-то более удобное для человека, выберите «Запоминающийся». Если секретный код предназначен для разблокировки локального устройства, выберите «ПИН-код».

Это делает решение простым, не допуская при этом легкомыслия. Вы не выбираете любимый формат. Вы выбираете наименее рискованный формат для конкретной задачи.

Скопируйте, сохраните и избегайте повторного использования в краткосрочной перспективе

Генерация — это только первый шаг. Привычки хранения и повторного использования имеют не меньшее значение. Если пароль надежный, но повторно используется на нескольких сайтах, одна утечка данных может привести к распространению ущерба.

В руководстве FTC по паролям рекомендуется использовать длинные уникальные пароли для каждой учетной записи, поскольку повторное использование паролей может привести к раскрытию нескольких учетных записей в случае взлома одного сайта. Вот почему самый безопасный рабочий процесс — это не просто сгенерировать и скопировать. Это сгенерировать, правильно сохранить и перейти к следующей учетной записи со свежим секретным кодом.

Что делать дальше перед генерацией нового секретного кода

Начните с определения контекста входа. Это удаленная учетная запись, часто используемый вход в систему или разблокировка локального устройства? Как только этот ответ станет ясен, правильный режим обычно становится очевидным.

Затем сгенерируйте один раз, внимательно скопируйте и сохраните в правильном месте. Цель состоит не в том, чтобы создать максимально пугающую строку символов. Цель состоит в том, чтобы создать секретный код, который достаточно надежен для существующего риска и достаточно удобен, чтобы вам не пришлось искать обходные пути позже.

В этом заключается реальное преимущество наличия режимов «Случайный», «Запоминающийся» и «ПИН-код» в одном месте. Вы можете подобрать режим генератора под конкретную проблему, вместо того чтобы навязывать один формат для любой ситуации безопасности.