Недавно завершившийся 2016 год был неважным в плане информационной безопасности. В программном обеспечении было обнаружено много уязвимостей, множество устройств IoT были поражены различными вирусами, из которых был сформирован ботнет, способный совершать DDoS атаки рекордной мощности, способные вывести из строя некоторые службы интернета.
Но еще более усиливает разочарование то, как люди выбирают свои пароли. Ресурс keepersecurity.com опубликовал самые популярные пароли 2017. Именно эти пароли пользователи использовали для защиты своих данных в 2016 году.
На протяжении прошлого года было несколько крупных утечек данных пользователей, например, недавно компания Yahoo объявила про утечку данных почти 1 миллиарда аккаунтов. Исследователи проанализировали более 10 миллионов общедоступных паролей и в результате получился такой список.
Пароль используется для защиты ваших устройств и личных данных в сети от несанкционированного доступа. Наша безопасность в интернете настолько важна, как и в реальном мире. Но некоторые люди, похоже, не понимают этого. Иначе почему на первом месте пароль 123456? Почти 17% пользователей защитили свой аккаунт этим паролем. А вот сам топ 25 самых популярных паролей:
- 123456;
- 123456789;
- qwerty;
- 12345678;
- 111111;
- 1234567890;
- 1234567;
- password;
- 123123;
- 987654321;
- qwertyuiop;
- mynoob;
- 123321;
- 666666;
- 18atcskd2w;
- 7777777;
- 1q2w3e4r;
- 654321;
- 555555;
- 3rjs1la7qe;
- google;
- 1q2w3e4r5t;
- 123qwe;
- zxcvbnm;
- 1q2w3e;
Топ самых популярных паролей в оригинале:
Этот список включает в себя 25 паролей, которые составляют 50% от общего числа 10 миллионов паролей. Большинство из них очень предсказуемы, даже если они длинные. Но большинство паролей в списке состоят только из цифр и очень коротки. Более безопасными кажутся 1q2w3e4r и zxcvbnm, но как только вы попробуете набрать их на клавиатуре, вы поймете в чем тут дело.
Возникает вопрос, почему в списке самых распространенных паролей находятся 18atcskd2w и 3rjs1la7qe. Они достаточно сложны и просто так их не перебрать. Но есть одна теория, скорее всего, это пароли, которые используется многими ботами для рассылки, спама, он сгенерирован один раз и применяется везде.
Ни в коем случае не используйте пароли из этого списка, а если сейчас используете, то измените, чтобы не подвергать свои личные данные опасности. Вот несколько правил по выбору правильного пароля:
- Используйте различные символы, буквы, цифры, символы разного регистра, специальные символы и т д чтобы защитить свой пароль от атаки путем перебора;
- Избегайте использования терминов, слов, или словосочетаний. Программы для перебора сначала пробуют самые распространенные варианты, а потом переходят на обычные словари;
- Используйте - многие пользователи устанавливают легкие пароли потому, что им сложно запомнить сложные комбинации. Менеджеры паролей будут хранить ваши пароли в надежном месте и отдавать их только вам по необходимости;
- Никогда, вообще никогда не оставляйте пароли по умолчанию для ваших устройств. Неважно, что это стандартные пароли wifi или других IoT устройств. Это равноценно тому, что там вообще нет пароля и любой желающий может получить к нему доступ.
Выводы
В этой небольшой заметке мы рассмотрели какие самые популярные пароли используют пользователи для защиты своих аккаунтов и систем. Будьте бдительны и не допускайте таких ошибок. Это очень важно, в первую очередь, для вас.
Эксперты по компьютерной безопасности из Кембриджского университета проанализировали структуру более 70 млн. паролей. И выяснили то, что самые сложные пароли в мире составляют пользователи из Германии и Кореи. Причём делают они это непринуждённо и естественно, без специальной подготовки. А секрет устойчивости комбинаций кроется в специфике их языка. Они применяют те же латинские символы, те же цифры, но берут за основу свои родные «трудные» слова - имена, топонимы, термины и т.д. Например, Annaberg-Buchholz#122. Придумать, запомнить эти варианты легко, а вот подобрать на порядок сложней по сравнению со словарными словами других языков.
Если вы, уважаемый читатель, не знаете корейского или немецкого, это, конечно же, не значит то, что вы должны игнорировать сложные пароли. Они являют залогом безопасности ваших данных в интернете (в платёжных онлайн-системах, на сайтах, форумах). Эта статья расскажет вам, каким должен отвечать требованиям ключ для доступа в аккаунт (какой он должен быть) и как его создать.
Определение сложности
Сложность ключа - мера устойчивости к подбору на символьном уровне посредством ручных и автоматизированных методов (логического вычисления, подбора по словарю). Она определяется количеством попыток взломщика, то есть, сколько ему понадобится времени на вычисление составленной пользователем комбинации.
На сложность пароля влияют следующие факторы:
- Количество символов в ключе. Чем больше знаков в последовательности, тем лучше. У комбинации из 5 знаков есть большая вероятность быстрого взлома. А вот на подбор последовательности из 20 знаков могут уйти годы, десятилетия и даже века.
- Чередование прописных и строчных литер. Примеры: ключ dfS123UYt с использованием регистра заглавных букв на порядок сложней этой же комбинации, но только с маленькими литерами - dfs123uyt.
- Символьные наборы. Разнообразие типов символов усиливает устойчивость. Если сделать ключ из маленьких и больших букв, цифр и спецсимволов длиной в 15-20 знаков, шансов его подобрать практически нет.
Как составлять устойчивые комбинации?
Нижеследующие способы помогут вам придумать очень сложный символьный ключ, который легко запомнить.
1. Создайте визуально контуры геометрической фигуры или какого-либо предмета на клавиатуре вашего компьютера. А затем наберите символы, по которым проходят линии.
Внимание! Избегайте простых «конструкций» - линии, квадраты или диагонали. Их легко предугадать.
2. Составьте сложное предложение, не поддающееся логике. Другими словами, какой-нибудь каламбур:
Например: Кот Васька на Юпитере уловил щуку.
Затем возьмите первые 2-3 буквы каждого слова из придуманного предложения:
Кот + Ва + На + Юп + ул + щук
Наберите слоги латинскими буквами:
Rjn + Df + Yf + >g + ek + oer
После транслитерации вставьте между слогами какие-нибудь хорошо знакомые вам числа: дату рождения, рост, вес, возраст, последние или первые цифры телефонного номера.
Rjn066Df 45Yf 178>g 115ek1202oer
Вот и всё! Как видите, получилась довольно «крепкая» комбинация. Чтобы вспомнить её быстро, вам нужен только ключ (предложение-каламбур) и используемые цифры.
3. Возьмите за основу 2 памятные даты. К примеру, два дня рождения (ваше и вашего любимого человека).
12.08.1983 05.01.1977
Разделите число, месяц и год какими-нибудь спецсимволами:
12|08/1983|05\01|1977
Теперь нули в датах замените маленькой буквой «o».
12|o8/1983|o5\o1|1977
Получается довольно замысловатый ключ.
4. Сделайте специальную таблицу: по вертикали и горизонтали матрицы расположите латинские буквы и цифры, а в строчках и столбцах - символы в хаотичном порядке.
Для генерации ключа возьмите несколько простых слов, записанных английскими буквами, например, my password very strong
Возьмите первую пару букв. В нашем случае это «my». В вертикальном списке найдите «m», в горизонтальном «y». На пересечении линий вы получите первый символ пароля.
Таким же образом, посредством следующих пар, найдите остальные символы ключа.
Если забудете пароль, для его восстановления воспользуйтесь простым ключевым словом и таблицей.
Как проверить устойчивость пароля?
Устойчивость символьной комбинации к подбору можно узнать на специальных веб-сервисах. Рассмотрим наиболее популярные:
Онлайн-служба от антивирусной лаборатории Касперского. Определяет по символьному набору и длине ключа, сколько понадобится времени на его взлом на различных компьютерах. После анализа последовательности в статистике отображается время для поиска на ZX-Spectrum (легендарной 8-ми битной машине 80-х), Mac Book Pro (модели 2012 года), суперкомпьютере Tianhe-2 и в сети ботнетов Conficker.
Онлайн-утилита на огромном сервисном портале 2IP.ru. После отправки ключа на сервер, выдаёт его статус (надёжный, ненадёжный) и время, затрачиваемое на его взлом.
В социальной сети ВК отличная система безопасности, которая предохраняет пользователей от подбора паролей к их страничкам, даже если злоумышленники узнают логины от чужих аккаунтов. В большинстве случаев, когда происходит «угон» аккаунта, виноват пользователь, а одной из причин этого является простейший пароль.
Что значит простейший пароль? Это легкий пароль, который, как правило, состоит всего из нескольких цифр или букв. Вот примеры простейших паролей:
- zxcvbn
- iphone
- 88888888
- password
- andrei
Это лишь несколько примеров, но суть вы уловили и это главное. Чем сложнее, а, значит, надежнее пароль, тем ниже вероятность того, что аккаунт будет вскрыт злоумышленниками.
Как придумать сложный пароль для ВКонтакте?
Существует несколько различных способов того, как придумать пароль. Мы рассмотрим одну из популярных и вместе с тем действующих схем.
Итак, сначала давайте определимся с количеством символов в пароле. Как правило, специалисты советуют использовать не менее 8 символов, но это самый-самый минимум (кстати, многие пользователи в лучшем случае используют 6-значный пароль). И хотя 8 символов — это минимальная длина рекомендуемая длина пароля, реальное количество символов в нем должно быть хотя бы 10-12. Скажите, это много? Зато защищенность аккаунта в сотни и даже тысячи раз выше.
Теперь приступаем к созданию пароля. Запомните, в нем должны быть как цифры, так и буквы разного регистра и даже специальные символы.
Самый простой вариант — это взять какое-нибудь русское слово и написать его на латинской раскладке. Например, слово смартфон на английской раскладке выглядит так — cvfhnajy . В этом слове 8 символов. Мало? Подождите, мы еще не закончили.
Итак, слово cvfhnajy . К нему мы прибавляем цифру, например, какую-нибудь памятную. Пусть это будет цифра 201. Получаем слово cvfhnajy201 . На всякий случай пишем пароль с большой буквы, чтобы усложнить задачу злоумышленникам и получаем Cvfhnajy201 . Хватит? Нет, нужно добавить специальных символов, например, * . Теперь наш пароль выглядит так — Cvfhnajy201* , целых 12 символов, при этом сам пароль сложный, а запомнить его легко. Разумеется, он дан в качестве примера и использовать его мы настоятельно не рекомендуем — придумайте свой, благо, это просто.
Кстати, сам пароль на всякий случай вы можете записать где-нибудь в блокноте или тетради, а последнюю уберите как можно дальше от людских глаз.
За последние несколько лет пользователи интернета стали умнее. Нет, серьезно. Если раньше мои друзья жаловались на постоянный взлом их почтовых ящиков или страничек в социальных сетях типа ВКонтакте или Одноклассников, то сегодня с такой проблемой они обращаются намного реже. Не в последнюю очередь это связано с паролем — важнейшей частью любого аккаунта, которой почему-то очень часто пренебрегают. И зря.
Представьте, что у вас есть страничка в соц.сети или, например, аккаунт в Скайпе. Если некий злоумышленник получит доступ к тому же Skype, то может израсходовать денежные средства, находящиеся на вашем счету. При этом самой компании вы ничего предъявить не сможете, поскольку сами ответственны за свой аккаунт. Или другой случай — некто вскрыл вашу и начал рассылать спам вашим друзьям. Кому это может быть приятно? Никому, а виноваты будете только вы.
Но прежде, чем мы начнем говорить о главной теме нашей сегодняшней статьи, хотелось бы сделать небольшое отступление. Я хочу рассказать вам о том, что даже архисложный пароль, состоящий из 50 знаков, не в силах защитить вас, если вы пренебрегаете простыми правилами безопасности. Почему?
- Первая причина: вы сохраняете пароль в браузере. Никогда, запомните, никогда и ни при каких условиях не делайте этого! Существует вид трояна, который при попадании на компьютер пользователя проверяет сохраненное содержимое браузера и, при нахождении сохраненных данных, передает информацию злоумышленнику, при этом вы даже не узнаете об этом! Поэтому все важные данные (тот же пароль) всегда записывайте в ежедневник или на листе бумаги, доступ к которому имеет только вы.
- Вторая причина: она является продолжением первой. Если некто заполучил данные от вашего аккаунта в социальной сети, то он наверняка попробует применить этот пароль и на других ресурсах, где вы также зарегистрированы. Именно поэтому некоторые пользователи так просто теряют свои почтовые ящики — они везде используют один-единственный пароль! Так делать нельзя! Для каждого сайта создавайте свою собственную уникальную комбинацию символов!
- Третья причина: фишинговые сайты. Увы, от них не застрахован не один из нас. Фишинговый сайт — это фейк, дизайн которого полностью копирует какой-нибудь популярный ресурс. Очень часто, к примеру, подделывает тот же «ВКонтакте» — вы заходите на его точную копию, которая находится не на домене vk.com, а, скажем, на vkkkk.com. После того, как вы введете данные от своего профиля, то они мигом попадут к злоумышленнику, хотя сами вы не сможете зайти на свою страницу — ведь этот совсем другой сайт, только внешне схожий с ВК! Поэтому всегда внимательно следите за доменными именами сайтов, на которых вводите ценную логин и пароль. (На фишинговый сайт также можно попасть через смену файла hosts, но об этом мы погорим в следующий раз).
- Четвертая причина: кейлогеры. Кейлогер — это небольшая программа, запущенная, как правило, без уведомления пользователя, которая запоминает все его действия: каждое нажатие на клавиатуру, движение мышкой и т.д. Чаще всего кейлогерами пользуются ревнивые люди, которые хотят поймать свою вторую половинку за написанием любовного письма неизвестному человеку, однако нередко такие программы попадают на компьютер из всемирной паутины и используются плохими дядями для кражи данных, ведь все напечатанное на клавиатуре сохраняется в файлике, который затем отправляется к злоумышленникам.
Вы еще не утомились? Надеюсь, что нет, но современная реальность — штука весьма жестокая и к ней надо быть подготовленным. Это лишь несколько основных причин, из-за которых люди теряют доступ к своим учетным записям. Поэтому соблюдайте правила, о которых мы написали чуть выше и тогда риск попасть в подобную ситуацию будет снижен до минимума.
Как придумать сложный пароль?
Что ж, друзья, теперь мы переходим к самому интересному, а именно — будем учиться создавать сложные пароли. На самом деле ничего нового в системе, о которой пойдет речь далее, нет, просто многие пользователи о ней даже не догадываются.
С чего начать? Пожалуй, вот с чего — минимальное количество символов не может быть менее 8. Почему именно 8? Согласно последним исследованиям, слова из 7 цифр и менее подбираются гораздо быстрее, нежели из 8, не говоря уже о чем-то большем (в силу некоторых причин разница подбора по времени очень велика). Тем не менее, мы советуем немного увеличить количество цифр хотя бы до 12-14 — в таком случае подобрать символы будет почти невозможно программным путем, это займет годы!
Итак, теперь о самом главном. Возьмите какое-нибудь простое русское слово. Допустим, этим словом будет «бумажник». Теперь берем и пишем его на английской раскладке, то есть у нас получилось,evf;ybr. Прекрасный набор символов, надо заметить. Теперь в начале или в конце добавляем одну заглавную букву — V. Получается V,evf;ybr. Вполне неплохо, но это еще не все. В заключительной части мы дописываем какую-нибудь произвольную цифру, например, год вашего рождения — 1975. Финальный пароль получается таким: V,evf;ybr1975 . В нем 13 знаков, включая буквы разных регистров, цифры и специальные символы. Поверьте, подобрать это слово злоумышленнику будет настолько тяжело, что он, скорее всего, даже не сможет этого сделать!
Пароль, который вы можете увидеть чуть выше, дан лишь с целью ознакомления и его использовать НЕ НУЖНО! Вы можете придумать его самостоятельно, следуя нашим инструкциям. Только не забудьте пароль! Что бы этого не произошло, запишите набор символов с свой ежедневник или в какую-нибудь тетрадь и спрячьте ее подальше от людских глаз. Не нужно записывать его в телефон — там его кто-нибудь может увидеть, а если телефон еще и украдут, то…
Кстати, существует специальные программы для автоматической генерации и хранения паролей на компьютере, но мы ими я пользоваться не советую — несмотря на то, что данные надежно спрятаны в программе, с компьютером может что-нибудь произойти и тогда вы можете сказать своим данным слово «Прощай»… Будьте аккуратнее!
На днях весь инет облетела новость, что кто-то украл пароли и илогины юзеров Вконтакте, а потом заботливо выложил их вордовским файлом на всеобщее обозрение. Интересно, как webplanet.ru проанализировала эту информацию. Читаем и меняем свои пароли:)
Из статьи:
... Главным признаком угасания умственных способностей можно считать количество ненадёжных паролей. 1344 человека (или 3,36 процента от 40 тысяч уникальных пользователей) защищают свои персональные данные не только простыми, но и распространёнными паролями (к распространённым мы отнесли те, что встречаются более 10 раз).
Вот двадцатка наиболее популярных из них:
Пароль Кол-во Процент
123456 134 0,34%
123456789 85 0,21%
qwerty 85 0,21%
111111 51 0,13%
1234567890 41 0,10%
7777777 39 0,10%
123321 34 0,09%
666666 33 0,08%
1234567 31 0,08%
123123 29 0,07%
12345678 26 0,07%
qwertyuiop 26 0,07%
qazwsxedc 25 0,06%
000000 23 0,06%
любовь 23 0,06%
555555 22 0,06%
zxcvbnm 22 0,06%
654321 19 0,05%
gfhjkm 19 0,05%
1q2w3e4r 18 0,05%
Примечание 1: Если вдруг кто не догадался, "gfhjkm" - это слово "пароль", набранное в латинской раскладке клавиатуры. Многие считают такой приём очень хитрым.
Примечание 2: Бдительная администрация ресурса с некоторых пор запретила изменять пароли на чисто цифровые, однако создавать новые аккаунты с такими паролями по-прежнему допускается.
Несколько слов о главной болезни интернетозависимых - копипейстинге. Напомним, что в рассматриваемой нами социальной сети в качестве логинов используются электронные адреса. Так вот, у 343 пользователей (0,86%) пароль идентичен логину на почтовом сервисе (т.е. части почтового адреса до "собаки"), а ещё у 67 человек (0,17%) пароль полностью соответствует логину (т.е. всему адресу, включая "собаку" и то, что за ней следует).
Кто был тот умный мужик, который сказал, что святая простота хуже воровства?
Где у него кнопка?
Об одном из популярных паролей, не вошедших в ТОП-20, хотелось бы сказать особо.
На странице настроек, в разделе смены пользовательского пароля, администрация разместила следующую нехитрую инструкцию:
Убедитесь, что не включена кнопка CAPS-Lock
Пароль должен быть не менее 6 символов в длину
Ещё лучше - использовать и буквы, и цифры
"kNOpKA" и "knopka" - разные пароли
Как и следовало ожидать, 16 человек из 40 тысяч (0,04%) выбрали в качестве пароля слово, приведённое в последней строчке. Из них 12 использовали вариант "knopka", 2 - "кнопка" и 1 - "KNOPKA". Ещё одна продвинутая девушка завела себе пароль "ryjgrf", то есть "кнопка" в латинской раскладке.
Казалось бы, 0,04% - ничтожная цифра. Однако в масштабах всего сервиса это уже не 16, а 15600 аккаунтов. И этот ключ заботливо вложила в руки злоумышленникам сама администрация!
Позвони мне, позвони!
Семь с лишним тысяч паролей в рассматриваемой базе - это полностью цифровые последовательности (считающиеся несекьюрными), из которых никак не меньше тысячи (то есть более 2,5%) в той или иной степени напоминают номера телефонов. Стоит отметить, что мы обращали внимание только на семизначные и десятизначные номера, так что эта цифра может быть сильно занижена. Добавьте к ним 237 11-значных паролей, начинающихся на "80" (здоровенькі були, шановнi українські друзі!) и еще десяток телефонопаролей, начинающихся с "+". Если учесть, что вконтактёры с большой охотой публикуют на личных страницах номера телефонов, да и телефонные базы купить не так уж и сложно, считать такие пароли надёжными никак нельзя.
Неплохо? А ведь это мы пока ещё не сказали ни слова о любви.
Любовь откроет все засовы
"Любовь" в том или ином виде присутствует в 332 паролях (0,83%). Сюда вошли также слова "люблю", "любимый", "любимая" и их сочетания с именем собственным. Если цифра в 0,83% вас не впечатляет, приплюсуйте сюда не поддающееся учёту количество паролей с именами (в частности, никнеймами, фамилиями и инициалами) любимой девушки, любимого юноши, а также любимого себя.
Среди паролей с именами встречаются такие криптостойкие как "люблюсережу", "ФамилияИмя" и даже "пусенька" (при электронном адресе, начинающемся с "pusya"). Напомним, что имя любимой или любимого, не говоря уже об имени самого человека, можно без труда взять из анкетных данных непосредственно на сайте.
К сожаленью, день рожденья...
Ещё один тип массово используемых небезопасных паролей - это даты. Действительно, намного труднее забыть пароль, если он совпадает с чьей-нибудь датой рождения. В исследуемой базе мы насчитали по крайней мере 1200 паролей (3 процента от общего числа) в форматах типа ЧЧММГГГГ и ГГГГММЧЧ.
Информация же о дате рождения пользователя или его ближайшего окружения зачастую открыта для ознакомления. Более того, сервис за несколько дней предупреждает друзей пользователя о (грядущем взломе) приближении праздника. Если дата рождения будет всё-таки скрыта, её можно попытаться найти в тех же телефонных базах.
Справедливости ради заметим, что с датой или годом рождения вполне можно создавать и довольно сильные пароли. Достаточно добавить несколько букв до, после или между цифрами. По нашим оценкам, порядка 0,5 процента пользователей так и поступает, хотя некоторые из них портят всё дело, дописывая вместо случайных букв своё имя.
Подсчитали - прослезились
Итого имеем:
Распространённые пароли 1344 3,36%
Предполагаемые номера телефонов ~1300 ~3,25%
"Любовь" (за вычетом вошедшего в п.1) 309 0,77%
Совпадение с электронным адресом
(до "собаки" или полностью) 410 1,02%
Даты рождения (только XX век) ~1200 ~3%
Таким образом, в общей сложности мы имеем до 11,4 процента паролей, взломать которые сможет любой желающий, при условии что он знает электронный адрес пользователя, имеет доступ к его анкетным данным и готов потратить пять минут своего драгоценного времени.
Добавьте к этому пароли, совпадающие с именами собственными (подсчитывать которые нам было лень, но речь идёт процентах о десяти, не меньше) и цифровые пароли, оперативно взламываемые элементарным брутфорсом (их доля, за вычетом номеров телефонов и дат, составляет где-то 11 процентов) - и вы получите удручающую картину.
Ситуация усугубляется тем, что правила сервиса требуют от пользователя выкладывать о себе всю подноготную. Наличие такой массы личных сведений в открытом доступе - просто праздник для потенциального взломщика.
Дисклеймер
Безусловно, в процессе подсчёта нами был сделан целый ряд допущений. Да и исследуемую базу никак нельзя назвать абсолютно достоверной. Например, часть пользователей явно не могла вспомнить своих паролей и просто пыталась их подобрать. А немногочисленные сообразительные юзеры, надо отдать им должное, и вовсе воспользовались формой логина-пароля, чтобы послать фишеров в пешее эротическое путешествие.
Саму выборку, несмотря на её весьма приличный объём, тоже нельзя считать полностью репрезентативной, поскольку речь идёт лишь о пользователях, которые, во-первых, умудрились подцепить заразу, а во-вторых, догадались отдать свои пароли в чужие руки - то есть о людях, заведомо наивных в вопросах безопасности.
Тем не менее, просмотрев другие аналогичные исследования, проведённые в самых разных частях света (если угодно - Google вам в помощь), рискнём предположить, что в своих выводах мы скорее преуменьшили масштабы трагедии, нежели преувеличили.
