Пароли и аутентификация: как защитить свои аккаунты

Аутентификация

Аутентификация — это процесс проверки подлинности пользователя. Проще говоря, система проверяет, что вы — это действительно вы. Например, когда вы вводите пароль при входе в почту, система аутентифицирует вас.

Авторизация

Авторизация — это процесс предоставления прав доступа после успешной аутентификации. Например, после входа в почту вы получаете доступ к своим письмам.

Разница между ними

Три фактора аутентификации

• Знание — то, что вы знаете (пароль, PIN-код, ответ на вопрос).
• Владение — то, что у вас есть (телефон, аппаратный ключ, смарт-карта).
• Биометрия — то, что вы есть (отпечаток пальца, лицо, голос).

Древний мир

Пароли использовались ещё в древности. Римские легионеры использовали пароли для распознавания своих. В Средневековье пароли использовались для входа в гильдии и тайные общества.

1960-е — первые компьютерные пароли

В Массачусетском технологическом институте (MIT) появились первые компьютерные пароли для доступа к системе CTSS.

1970-е — хеширование паролей

Роберт Моррис придумал хранить пароли в виде хешей, а не в открытом виде. Это стало стандартом.

1990-е — массовые утечки

С ростом интернета появились массовые утечки паролей. Люди использовали простые пароли вроде «123456» и «qwerty».

2000-е — двухфакторная аутентификация

Банки и крупные сервисы начали внедрять 2FA. Появились аппаратные ключи и приложения-аутентификаторы.

2010-е — менеджеры паролей

Появились менеджеры паролей, которые позволяют хранить сотни уникальных паролей, не запоминая их.

2020-е — биометрия и passkeys

Развитие биометрии и технологии passkeys (ключей доступа), которые заменяют пароли.

Основные критерии

• Длина — минимум 12 символов, лучше 16+.
• Сложность — заглавные и строчные буквы, цифры, спецсимволы.
• Уникальность — не используйте один пароль для разных сервисов.
• Неочевидность — не используйте имена, даты, клички, словарные слова.
• Случайность — лучше сгенерировать пароль, а не придумывать.

Примеры плохих паролей

Сколько времени нужно на взлом

Брутфорс (перебор)

Брутфорс (brute force — грубая сила) — это метод перебора всех возможных комбинаций символов. Чем длиннее и сложнее пароль, тем больше времени нужно на перебор.

Словарная атака

Используется словарь популярных паролей и слов. Злоумышленник пробует все слова из словаря и их комбинации.

Атака по радужным таблицам

Используются заранее вычисленные хеши популярных паролей. Позволяет быстро находить пароли по их хешам.

Утечки данных

Базы данных с паролями попадают в открытый доступ. Злоумышленники используют их для входа в аккаунты.

Фишинг

Вы сами вводите пароль на поддельном сайте. Это самый распространённый способ кражи паролей.

Социальная инженерия

Злоумышленник звонит и представляется сотрудником банка, чтобы выманить пароль или код из SMS.

Что такое двухфакторная аутентификация

Двухфакторная аутентификация (2FA, Two-Factor Authentication) — это метод защиты, при котором для входа нужно не только ввести пароль, но и подтвердить личность вторым способом.

Как это работает

1. Вы вводите логин и пароль.
2. Система запрашивает второй фактор.
3. Вы подтверждаете личность (код из SMS, приложение, ключ).
4. Получаете доступ.

Почему 2FA важна

• Даже если пароль украдут — без второго фактора войти не получится.
• Защищает от фишинга и утечек.
• Снижает риск взлома на 99%.

SMS-код

• Плюсы: просто, не нужно ничего устанавливать.
• Минусы: можно перехватить через SIM-карту, работает только при наличии связи.

Приложение-аутентификатор

• Плюсы: работает без интернета, коды меняются каждые 30 секунд, надёжнее SMS.
• Минусы: нужно установить приложение, при потере телефона нужны резервные коды.
• Примеры: Яндекс.Ключ, Google Authenticator, Microsoft Authenticator.

Аппаратный ключ

• Плюсы: самый надёжный способ, нельзя перехватить.
• Минусы: нужно купить устройство, можно потерять.
• Примеры: YubiKey, JaCarta.

Биометрия

• Плюсы: удобно, не нужно запоминать.
• Минусы: нельзя изменить, если скомпрометирована.

Push-уведомление

• Плюсы: удобно, одно нажатие.
• Минусы: можно случайно подтвердить мошеннический вход.

Что такое менеджер паролей

Менеджер паролей — это программа или сервис, который хранит все ваши пароли в зашифрованном виде. Вам нужно помнить только один мастер-пароль.

Как это работает

1. Вы создаёте мастер-пароль.
2. Менеджер шифрует хранилище паролей.
3. Вы добавляете пароли для каждого сервиса.
4. При входе на сайт менеджер автоматически подставляет пароль.
5. Всё хранится в зашифрованном виде.

Популярные менеджеры

Преимущества

• Не нужно запоминать десятки паролей.
• Можно генерировать сложные уникальные пароли.
• Защита от фишинга (пароль подставляется только на правильном домене).
• Синхронизация между устройствами.

Что такое мастер-пароль

Мастер-пароль — это главный пароль, который открывает ваш менеджер паролей. Все остальные пароли хранятся внутри и защищены этим мастер-паролем.

Требования к мастер-паролю

• Минимум 16 символов.
• Заглавные и строчные буквы, цифры, спецсимволы.
• Не использовать словарные слова.
• Не использовать личные данные.
• Легко запоминаться — используйте парольную фразу.

Пример парольной фразы

Как защитить мастер-пароль

• Не записывайте в заметках на телефоне.
• Не храните в облаке без шифрования.
• Запишите на бумаге и храните в сейфе.
• Не сообщайте никому.
• Используйте 2FA для менеджера паролей.

Что такое парольная фраза

Парольная фраза — это длинный пароль, состоящий из нескольких слов. Она легко запоминается и при этом очень надёжна.

Примеры

Почему это работает

• Длина важнее сложности.
• Легко запомнить.
• Сложно подобрать.
• Можно использовать для разных сервисов, меняя одно слово.

Виды биометрии

• Отпечаток пальца — сканер на телефоне или ноутбуке.
• Face ID — распознавание лица (iPhone, некоторые Android).
• Радужная оболочка глаза — используется редко.
• Голос — используется редко.

Плюсы

• Удобно — не нужно вводить пароль.
• Быстро — разблокировка за секунду.
• Данные хранятся в защищённом чипе устройства.
• Нельзя подобрать.

Минусы

• Нельзя изменить, если скомпрометирована.
• Можно принудить приложить палец или посмотреть в камеру.
• Не работает при травме или маске.
• Не все устройства поддерживают.

Что такое аппаратный ключ

Аппаратный ключ — это физическое устройство, которое подключается к компьютеру или телефону через USB или NFC. Оно используется для двухфакторной аутентификации.

Как это работает

1. Вы подключаете ключ к устройству.
2. При входе в аккаунт система просит нажать кнопку на ключе.
3. Ключ подтверждает вашу личность.
4. Вы получаете доступ.

Преимущества

• Самый надёжный способ защиты.
• Нельзя перехватить удалённо.
• Защищает от фишинга (ключ проверяет домен).
• Работает без интернета.

Популярные модели

• YubiKey — самый популярный.
• JaCarta — российский производитель.
• Google Titan — ключ от Google.

Способы восстановления

• Номер телефона — код из SMS.
• Резервная почта — ссылка для сброса пароля.
• Резервные коды — сохранённые коды для 2FA.
• Контрольный вопрос — ответ на вопрос при регистрации.
• Обращение в поддержку — если ничего не помогает.

Что подготовить заранее

• Актуальный номер телефона.
• Резервную почту.
• Резервные коды для 2FA.
• Ответы на контрольные вопросы.
• Данные о регистрации (дата, устройство, предыдущие пароли).

Ошибки, которые допускают почти все

• Один пароль для всех сервисов — если один сервис взломают, взломают все.
• Простые пароли — 123456, qwerty, password.
• Личные данные в пароле — даты рождения, имена, клички.
• Запись паролей в заметках — на телефоне, в облаке, в блокноте.
• Отсутствие 2FA — большинство аккаунтов можно взломать только по паролю.
• Игнорирование утечек — не проверяют, не утекли ли их данные.
• Переход по ссылкам из писем — фишинг.
• Сообщение кодов из SMS — мошенникам.

Проверьте свои аккаунты

• Уникальные пароли для каждого сервиса.
• Длина пароля — минимум 12 символов.
• Пароль не содержит личных данных.
• Включена двухфакторная аутентификация (2FA).
• Используется менеджер паролей.
• Мастер-пароль хранится в надёжном месте.
• Указан номер телефона для восстановления.
• Указана резервная почта.
• Сохранены резервные коды для 2FA.
• Проверены активные сессии.
• Проверены утечки данных.
• Регулярно обновляются пароли (раз в 6–12 месяцев).

1. Что такое аутентификация и авторизация?
2. Какие три фактора аутентификации вы знаете?
3. Каким должен быть надёжный пароль?
4. Как взламывают пароли?
5. Что такое двухфакторная аутентификация?
6. Какие виды второго фактора бывают?
7. Что такое менеджер паролей?
8. Что такое мастер-пароль?
9. Что такое парольная фраза?
10. Какие плюсы и минусы у биометрии?
11. Что такое аппаратный ключ?
12. Как восстановить доступ к аккаунту?
13. Какие ошибки допускают пользователи?
14. Какие пункты чек-листа вы уже выполнили?

Больше лекций и практических материалов по информационным технологиям — на портале gadget59.ru.

Что мы изучили

• Что такое аутентификация и авторизация.
• Историю паролей.
• Каким должен быть надёжный пароль.
• Как взламывают пароли.
• Двухфакторную аутентификацию.
• Виды второго фактора.
• Менеджеры паролей.
• Мастер-пароль и его защиту.
• Парольные фразы.
• Биометрию.
• Аппаратные ключи.
• Восстановление доступа.
• Типичные ошибки.
• Чек-лист защиты аккаунтов.

Спасибо за внимание! Вопросы?