Почему совет «меняйте пароль каждые 90 дней» устарел
Правило обязательной смены пароля родилось во времена, когда паролей было два, и сегодня приносит больше вреда, чем пользы.
Многие организации до сих пор заставляют менять пароль раз в квартал. Логика кажется разумной: даже если пароль украли, он протухнет. На практике это правило работает против безопасности.
Что происходит на самом деле
Человек, которого заставляют менять пароль каждые три месяца, не придумывает
каждый раз новый надёжный пароль. Он делает минимальное изменение:
Zima2024 превращается в Vesna2024, затем
в Leto2024. Или к паролю приписывается цифра, которая растёт.
Такие последовательности предсказуемы. Программа подбора, зная один ваш старый пароль, проверит очевидные вариации в первые же секунды.
Второй побочный эффект — пароли начинают записывать. На стикер под клавиатурой, в файл на рабочем столе, в заметки телефона. Не потому что люди безответственные, а потому что помнить четыре новых пароля в год по каждому из десяти сервисов физически невозможно.
Третий эффект: усталость от безопасности
Бессмысленные требования обесценивают осмысленные. Человек, которого каждые три месяца дёргают без видимой причины, перестаёт воспринимать правила безопасности всерьёз — и пропускает мимо ушей то, что действительно важно.
Когда пароль менять надо
Не по календарю, а по событию:
- Сервис сообщил об утечке — или вы узнали о ней из новостей.
- Вы вводили пароль на подозрительной странице.
- Вы вводили его на чужом компьютере.
- Пароль знал кто-то ещё, и отношения изменились.
- Вы видите в списке сессий вход, который не совершали.
- Этот же пароль стоит где-то ещё — его нужно сделать уникальным.
Что работает вместо расписания
Уникальность важнее новизны. Один длинный пароль, стоящий только на одном сайте и никогда не менявшийся, безопаснее двенадцати похожих, менявшихся по графику.
Длина важнее сложности. Четыре несвязанных слова подбираются дольше, чем восемь символов с «обязательной заглавной и спецсимволом».
Второй фактор важнее обоих. Он превращает кражу пароля из катастрофы в неудобство.
Если правило спускают сверху
Спорить с корпоративной политикой бесполезно, но можно обойти её последствия: заведите менеджер паролей и при каждой обязательной смене генерируйте полностью новый случайный пароль. Запоминать его не придётся, а предсказуемая последовательность не возникнет.