Паролите, съставени от случайни набори от символи вече не се считат за сигурни

Националният институт по стандартизация и технологии (NIST) на САЩ призна използването на сложни пароли, съставени от комбинации от различни видове символи и редовната смяна на паролите за лоша практика, съобщава Forbes. Хакерите могат лесно да разбият такива пароли. NIST публикува нови препоръки за потребителите и компаниите като част от втория публичен документ NIST SP 800-63-4 за цифровата идентичност.

В продължение на много години се смяташе, че за да бъдат паролите силни, те трябва да бъдат възможно най-сложни, като включват главни и малки букви, цифри и специални символи. Предполагаше се, че такива пароли ще бъдат по-трудни за отгатване или разбиване с помощта на специални програми.

С течение на времето обаче експертите стигнаха до заключението, че прекалено сложните пароли имат обратен ефект.

Според новото ръководство NIST вече не настоява за строги правила по отношение на сложността на паролите. Вместо това препоръчва паролите да бъдат по-дълги. Причините за това са няколко. Първо, проучванията показват, че потребителите трудно запомнят сложни пароли, което често ги кара да използват една и съща парола в различни сайтове или да измислят прекалено проста комбинация от символи, само за да отговорят на минималните изисквания. Пример за това е парола като „P@ssw0rd123“, която е технически сложна, но е лесна за отгатване.

Второ, изискването за смяна на паролите на всеки 60-90 дни, което преди беше обичайна практика в много организации, също вече не се препоръчва. Това изискване често влошава положението, като създава по-малко сигурни пароли поради необходимостта от честата им смяна. NIST препоръчва да се откажем от сложните пароли в полза на дългите и прости пароли и обяснява защо.

Силата на паролата често се измерва с концепцията за ентропия – броя на непредсказуемите комбинации от символи. Колкото по-висока е ентропията, толкова по-трудно е за хакерите да разбият дадена парола. Въпреки, че сложността на паролата може да увеличи ентропията е установено, че дължината на паролата от основни прости символи играе много по-важна роля.

NIST предлага да се използват дълги пароли, които са лесни за запомняне, особено фрази от няколко прости думи. Например, парола под формата на фразата „bigdogsmallratfastcatpurplehatjellobat“ би била едновременно сигурна и лесна за потребител с добро владеене на английски език. Такава парола съчетава висока ентропия и лекота на използване, което помага да се избегнат несигурни навици като записване на пароли или повторното им използване.

Въпреки, че съвременните технологии значително улесниха разбиването на кратки, но сложни пароли, все още дори най-усъвършенстваните алгоритми срещат трудности при опитите за разбиване на дълги пароли поради огромния брой възможни комбинации. Неотдавнашен пример е промяната на паролата на кмета на Ню Йорк Ерик Адамс. Той смени 4-цифрения си код с 6-цифрен на личния си смартфон, преди да го предаде на правоприлагащите органи. Тази промяна увеличи броя на възможните комбинации за съвпадение на знаците от 10 000 на 1 милион.

Към днешна дата NIST препоръчва на компаниите да позволяват на потребителите да създават пароли с дължина до 64 символа. Такава дълга парола, дори да се състои само от малки букви и познати думи ще бъде изключително трудна за разбиване. А ако към нея се добавят главни букви и символи, то тя става практически невъзможна за разбиване. Затова в новите препоръки на NIST се подчертава, че дължината на паролата е основен фактор за нейната сигурност.