Какво всъщност е силна парола

Модул 2: Пароли и вход в системата · Време за четене: 9 минути

Цел на урока: След този урок ще можете да обясните защо дължината и уникалността са по-важни от странните символи, и какво казва актуалната насока на NIST относно паролите.

Основни понятия: дължина, ентропия, парола-фраза, речникова атака, брутфорс (brute force), повторна употреба, задължителна смяна

Как се разбива парола

Когато чуят израза „разбиване на парола“, много хора си представят някой, който седи и познава паролата Ви на страницата за вход. Това се случва, но не е най-голямата заплаха. Една добре защитена страница за вход забавя темпото след няколко грешни опита или временно блокира достъпа. Познаването „през входната врата“ е бавно.

По-опасно е офлайн разбиването. Даден уебсайт съхранява (ако е направено правилно) не самата Ви парола, а нейния хеш: вид „пръстов отпечатък“, от който паролата не може директно да бъде изчислена обратно. Ако изтече базата данни на онлайн магазин, нападателят получава тези отпечатъци върху собствените си компютри. Там няма спирачка. Той пробва толкова пароли, колкото позволява оборудването му, и сравнява всеки резултат с изтеклия отпечатък.

При това използва два метода:

• Речникова атака: първо всичко, което хората избират най-често. Списъци с милиони реални пароли от предишни течове на данни, думи от речници, имена, населени места, години. Заедно с фиксирани правила: главна буква в началото, година в края, удивителен знак накрая, a се заменя с @, o се заменя с 0.
• Брутфорс (brute force): след това всички възможни комбинации от символи, от кратки към дълги.

Парола като Zomer2026! изглежда силна: главна буква, цифри, препинателен знак, десет символа. Но тя е точно моделът, заложен в тези правила: дума, година, знак. Такава парола пада в първия кръг, много преди да започне брутфорсът.

Дължината побеждава странните символи

Колко силна е дадена парола зависи от това колко възможности трябва да опита нападателят. Това число се изчислява така: брой възможни символи на степен дължина.

На обикновена клавиатура има 95 символа, които можете да въведете (главни и малки букви, цифри, препинателни знаци и интервал). Случайна парола от 8 символа има тогава 95 на степен 8 възможности: приблизително 6,63 × 10^15. Това изглежда много, но с бързо оборудване и слаб начин на съхранение се претърсва за дни.

Всеки допълнителен символ умножава броя по 95. Допълнителен вид символи (например добавяне на препинателни знаци само към букви) умножава основата само малко. Затова дължината дава много повече, отколкото сложността.

Последната колона е ентропия: мярка за това колко непредвидимо е нещо, изразена в битове. На прост език: всеки допълнителен бит удвоява работата на нападателя. Парола с 65 бита струва не малко, а около 4000 пъти повече работа от парола с 53 бита.

Важно: тези числа важат само ако паролата е избрана наистина случайно. Парола, която измисляте сами, почти никога не е случайна. Bakkerij2026! има тринадесет символа, но като модел присъства във всеки списък за разбиване.

Паролата-фраза

Една парола-фраза представлява парола, съставена от няколко отделни думи, например пет или шест. Предимството: дълга, но въпреки това лесна за запомняне и въвеждане. Нидерландският национален екип за киберсигурност (NCSC) препоръчва да изберете четири до шест думи, които нямат никаква връзка помежду си, и посочва, че дълга фраза само с малки букви е по-сигурна от кратка парола с всички видове символи.

Паролата-фраза е силна само ако думите са избрани случайно:

• Добре: генератор (във Вашия мениджър на пароли) или зарове със списък от думи. Известният метод с пет зара използва списък от 7776 думи, защото 6 на степен 5 е точно 7776. Създателите на такъв списък препоръчват за повечето случаи шест думи.
• Грешно: известна фраза, текст на песен, поговорка или нещо свързано с Вас лично. obichamkucheto siboby е дълга, но думите са свързани помежду си и могат да бъдат отгатнати от някой, който Ви познава или чете социалните Ви мрежи.

Паролата-фраза си остава парола. Използвате я само на едно място и не я споделяте.

Уникалността е по-важна от сложността

Най-силната парола не помага, ако я използвате на двадесет места. В урок 1.4 видяхте credential stuffing: изтекъл имейл адрес с парола се пробва автоматично при имейл, счетоводство, онлайн магазини и социални мрежи. Ако изтече при най-слабата от тези двадесет услуги, всичките двадесет стават уязвими.

Повторната употреба затова е най-голямата слабост на практика. А „малко варианти“ не се брои за уникалност. Example!Mail и Example!Shop могат да бъдат отгатнати от нападател с една изтекла парола само за няколко опита.

Решението не е запомняне, а съхранение: мениджър на пароли създава за всяка услуга дълга, случайна парола и я запомня вместо Вас. Това е темата на урок 2.2. Тогава Ви остава да запомните само няколко неща: главната парола на мениджъра и евентуално паролата на компютъра си.

Какво казва насоката на NIST

Американският институт NIST (National Institute of Standards and Technology) публикува най-известната насока за вход в системи: SP 800-63B. Четвъртата версия стана окончателна на 31 юли 2025 г. Много организации по света я следват. Най-важните точки относно паролите:

• Ако паролата е единственият начин за вход, тогава поне 15 символа. Ако е част от двуфакторно удостоверяване, тогава поне 8.
• Дадена услуга трябва да допуска пароли от поне 64 символа.
• Без правила за състав: услуга не бива да изисква „поне една главна буква, една цифра и един препинателен знак“.
• Да не се налага периодична смяна. Смяна само ако има индикация, че паролата е изтекла.
• Новите пароли да се проверяват спрямо списък с често използвани и изтекли пароли.
• Да се допускат поставяне (paste) и мениджъри на пароли.
• Без въпроси за сигурност („името на първото Ви домашно животно“) и без подсказки за пароли.

Защо задължителната смяна вече не се препоръчва

В продължение на години на работното място трябваше да избирате нова парола на всеки три месеца. Идеята беше: открадната парола работи тогава само кратко време. На практика хората правят следното: Zomer2026! става Herfst2026!, после Winter2026!. Нападател със старата парола отгатва новата само за няколко опита. А който трябва постоянно да измисля нова парола, избира по-кратки и ги записва на листче.

Задължителната смяна прави паролите по-предвидими. Смяна все пак правите веднага, щом има причина: съобщение за теч на данни, странен вход в акаунта, колега, който напуска и е знаел паролата, или ако случайно сте я въвели някъде погрешно.

На практика: политика за пароли на един лист

За малка фирма като Хлебарница Example е достатъчна кратка политика:

1. Всеки акаунт има собствена, лична парола. Без споделен вход за info@example.com, чиято парола знаят петима души.
2. Паролите се създават от мениджъра на пароли: случайни, поне 15 символа, или парола-фраза от поне пет случайно избрани думи, която трябва да въведете ръчно.
3. Никога една и съща парола на две места.
4. Двуфакторно удостоверяване включено за имейл, счетоводство, банка, хостинг и регистрация на домейн (урок 2.3).
5. Смяна само при причина, и тогава веднага.
6. Паролите никога не се изпращат по имейл, чат или не се записват на листче на екрана.

Същото важи и за Вашия контролен панел за хостинг. В средата на WebOké например можете да поискате случайна парола да бъде създадена за DA паролата и за пощенските кутии; в други панели този бутон често се нарича „Genereer“ или „Generate“. Оставете такъв генератор винаги да създава поне 15 символа; често можете сами да изберете дължината.

Обобщение

• Нападателите разбиват предимно офлайн, след теч на данни, със списъци и правила. Предвидимите модели падат веднага.
• Дължината и истинската случайност дават много повече, отколкото странните символи. Всеки допълнителен бит ентропия удвоява работата.
• Парола-фраза от случайно избрани думи е дълга, но въпреки това лесна за запомняне.
• Уникалността е по-важна от сложността: повторната употреба превръща един теч на данни в двадесет течове.
• NIST SP 800-63B-4: поне 15 символа като единствен фактор, без правила за състав, без периодична смяна, но проверка спрямо изтекли пароли.

Тест

Задача

Задача A2.1: Изчисляване и оценка. Никъде не въвеждате собствена парола. Част 1: изчислете колко възможности имат парола-фраза и случайна парола (ще получите броя на думите и символите), коя от двете е по-силна и колко пъти. Част 2: оценете шест измислени примерни пароли: предвидими, твърде кратки, повторно използвани или силни. Програмата проверява отговорите и дава обяснение за всеки от тях.

Още за четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е подобен.

• Ръководство за DirectAdmin 3.7: Сигурни пароли и какво да правите при изтекла парола
• Как да сменя паролата или лимитите на имейл адреса си?
• Нидерландският NCSC, Съвети за измисляне на силна парола: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Нидерландският NCSC, Четири стъпки за по-сигурни пароли: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (на английски): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (на английски, списъкът с думи за зарове): https://www.eff.org/dice