Короткий ответ: если пароль служит единственной защитой, в нём должно быть не меньше 15 символов. Если вход дополнительно подтверждается кодом или ключом, допустимо от 8, но длиннее всё равно лучше.
- Единственная защита: не меньше 15 символов. Со вторым фактором: от 8.
- Сайты и сервисы: менеджер паролей, случайные уникальные пароли от 15 символов и второй фактор везде, где он есть.
- Пароли по памяти: фраза из 5-6 случайных слов, латиницей для пароля на загрузку.
- Без смены по расписанию, но сразу после утечки.
Что рекомендует NIST
NIST, американский институт стандартов, в 2025 году обновил руководство по аутентификации SP 800-63B. На него часто ориентируются и за пределами США.
| Правило | NIST SP 800-63B |
|---|---|
| Пароль единственный способ входа | не меньше 15 символов |
| Со вторым фактором (код из приложения, аппаратный ключ) | не меньше 8 символов |
| Обязательные заглавные, цифры, спецсимволы | не рекомендуются |
| Смена по расписанию | не нужна |
Это требования к сервисам, но как ориентир они годятся и для личных паролей: меняйте пароль при признаках утечки, а не каждые 90 дней.
Почему длина важнее сложности
Число возможных паролей равно размеру алфавита в степени длины: каждый новый символ умножает его на весь алфавит, а «усложнение» лишь немного увеличивает сам алфавит. Для случайных паролей:
| Случайный пароль | Вариантов |
|---|---|
| 8 символов из всех знаков клавиатуры (около 94) | примерно 6 квадриллионов |
| 5 слов из списка Diceware (7776 слов) | примерно в 4,7 тысячи раз больше |
| 15 строчных латинских букв | примерно в 275 тысяч раз больше |
- С 8 до 15 строчных букв: примерно в 8 миллиардов раз больше вариантов
- Несколько случайных слов длинные, но легко запоминаются
- 8 строчных букв заменить на все знаки клавиатуры: всего примерно в 29 тысяч раз больше
- Люди придумывают предсказуемо: правила превращаются в
Parol2026!илиP@ssw0rd, а такие шаблоны проверяют первыми
Парольная фраза: длинно, но запоминается
Парольная фраза состоит из нескольких случайных слов, например vedro-kometa-plombir-skvoznyak-olkha. Она длинная, но запомнить её проще, чем T7#qL!x9.
Игральные кубики со списком слов или генератор в менеджере паролей. Строчка из песни, цитата или «мойкотмурзик» не подойдут.
4 слова для пароля со вторым фактором, 5-6 слов для пароля, который защищает в одиночку, например шифрование.
Разделители и одна заглавная буква не помешают, но главное в длине и случайности.
Русские слова удобно набирать латиницей, как в примере. До запуска операционной системы раскладку не переключить, поэтому для пароля Disk Password Protection используйте только латинские буквы, цифры и знаки.
Где нужен менеджер паролей, а где нет
Для сайтов лучшее решение: менеджер паролей. Он создаёт случайные пароли нужной длины, помнит их и подставляет сам. Его главный пароль сделайте длинной фразой и защитите вторым фактором. Но некоторые пароли вводят до того, как менеджер запустится:
Здесь нужна длинная фраза, которую вы помните наизусть. Пошагово: как поставить пароль на компьютер при включении.
PBKDF2: медленная проверка помогает, но не спасает
Хорошие программы шифрования вычисляют ключ из пароля функцией PBKDF2: она много раз прогоняет пароль через хеш-функцию вместе со случайной «солью». Для вас это одна проверка при входе, а для подбора нужны миллионы таких проверок.
- В Cryptic Disk ключ заголовка вычисляется по PBKDF2 (PKCS #5 v2.0) с хеш-функциями SHA-2 или SHA-3.
- В Disk Password Protection 5.6 пароль загрузки тоже проверяется с помощью PBKDF2.
Короткий пароль замедление не спасёт. Оно умножает время подбора на постоянное число, а каждый новый символ умножает число вариантов. Пароль из словарей утёкших паролей или слово с годом рождения проверят одним из первых.
Ключевые файлы в Cryptic Disk
Cryptic Disk может требовать не только пароль, но и ключевые файлы (подойдёт любой файл, до 900 штук) или аппаратный токен либо смарт-карту. Тогда подсмотренного пароля уже недостаточно.
Храните ключевой файл отдельно от диска, например на флешке, и обязательно сделайте копию: если файл потерян или повреждён, диск не открыть. Пароль при этом всё равно должен быть длинным.
Не используйте один пароль дважды
Базы паролей утекают регулярно, и утёкшие пары «логин и пароль» автоматически проверяют на других сайтах: с одним паролем везде взлом самого слабого сайта открывает остальные. Пароль от зашифрованного диска и пароль на загрузку нигде больше не используйте.
Если пароль забыт
Если забыт единственный пароль от диска Cryptic Disk, данные потеряны навсегда: обходного пути нет.
Длинную фразу не стыдно записать на бумаге и хранить дома в надёжном месте, только не рядом с компьютером. Как защитить резервные копии ключей и данных: «Как зашифровать внешний жёсткий диск с резервными копиями».
Частые вопросы
Сколько символов должно быть в надёжном пароле?
Не меньше 15, если пароль служит единственной защитой, и от 8 со вторым фактором. Для паролей на загрузку и шифрование лучше фраза из 5-6 случайных слов: обычно это больше 20 символов.
Нужны ли в пароле спецсимволы?
Не обязательно. Длина даёт гораздо больше, а восклицательный знак в конце предсказуемого слова почти ничего не добавляет.
Как часто нужно менять пароль?
По расписанию не нужно. Меняйте пароль, если сервис сообщил об утечке, вы ввели его на подозрительном сайте или на чужом компьютере.
Надёжна ли парольная фраза из обычных слов?
Да, если хотя бы 4-6 слов выбраны случайно. Фраза из песни, пословица или связное предложение не годятся: их подбирают по словарям.
Можно ли хранить пароль от зашифрованного диска в менеджере паролей?
Как запасную копию можно, но помнить его нужно наизусть: он может понадобиться, когда менеджера под рукой нет.
Без ограничений в пробный период. Windows 11, 10, 8.1, 8, 7, Vista и XP.
Скачать бесплатно Цены и покупка