Почему фраза, а не «Qw3!rty»
Стойкость пароля — это то, сколько вариантов придётся перебрать. Короткий пароль с закорючками перебирается быстрее, чем кажется, а запоминается хуже: поэтому его и пишут на стикере. Пять-шесть случайных слов перебирать дольше, а запомнить проще — особенно если из них складывается картинка.
Случайная — ключевое слово. Фразу должен придумать не ты, а генератор: свои «случайные» слова люди выбирают очень предсказуемо. Здесь слова выбираются через crypto.getRandomValues — тот же генератор случайных чисел, которым браузер шифрует соединения.
Как пользоваться
- Короткая фраза — для сайтов, где после нескольких ошибок блокируют вход: Госуслуги, банк, почта с проверкой по СМС.
- Длинная — для того, что может утечь целиком и перебираться без ограничений: главный пароль менеджера паролей, архив, диск, Wi-Fi.
- «Что вводить» — если сайт не принимает русские буквы, запомни фразу, а набирай её, не переключая раскладку. Получится латиница с парой скобок и точек — это тоже нормально.
- Одна фраза — один сайт. Если утечёт один, остальные не пострадают.
Про время подбора
Это оценка, а не обещание: считается, сколько в среднем уйдёт на перебор всех вариантов. «Утекла база» — это когда у сайта украли пароли в виде хешей и перебирают у себя, без ограничений. Какой там хеш — быстрый или медленный, — решает сайт, а не ты. Поэтому самое важное всё равно двухфакторный вход: с ним даже подобранный пароль один ничего не откроет.
