Розділ «Урок 1. Паролі та менеджери паролів»

Мета

Зрозуміти, чому повторювані паролі — головний ризик, навчитися створювати довгі унікальні паролі та користуватися менеджером паролів.

Пояснення

Пароль — ключ від облікового запису. Кіберполіція радить: пароль щонайменше 8 символів (заголовні й малі літери, цифри, спеціальні символи), оригінальний для кожного запису; не використовувати ім'я, прізвище, номер телефону, дату народження та фрази щоденного вжитку; негайно змінювати пароль при підозрі на компрометацію; не зберігати записані паролі в чохлі телефону чи біля комп'ютера й не надсилати їх у месенджерах.

Довжина важливіша за «хитрість» символів: кожен додатковий символ множить перебір. Практичний формат — парольна фраза з 4–6 незв'язаних слів, цифри та розділового знака (16-20+ символів), яку можна запам'ятати. Кіберполіція окремо застерігає від комбінацій типу «123456», «qwerty», «admin».

CERT-UA («Основні правила кібергігієни», п. 3): для кожного облікового запису — окремий пароль; не зберігати автентифікаційні дані у відкритому вигляді у файлах, нотатках чи месенджерах; для зберігання використовувати спеціалізовані програмні засоби. Це і є менеджер паролів: зашифроване сховище під одним головним паролем, з генератором випадкових паролів. Вибираючи менеджер, керуйтеся відкритою документацією сервісу, історією оновлень і наявністю синхронізації між вашими пристроями; назви кнопок у різних програмах відрізняються, тому конкретні кроки дивіться в офіційній довідці саме вашого сервісу.

Унікальність паролів не гарантує повного захисту — вона знижує ризик того, що витік з одного сервісу відкриє шахраям інші ваші записи (credential stuffing — автоматична перевірка викрадених із витоків пар логін/пароль в інших сервісах). Тому унікальність поєднують із другим фактором (урок 2) — саме ця пара дає основний ефект.

План відновлення: головний пароль менеджера — єдиний, який треба пам'ятати. Можливості відновлення залежать від обраного сервісу: у частини менеджерів є відновлювальний код або контакти для відновлення, у частини — ні, і втрата головного пароля означає втрату сховища. До початку користування перевірте в офіційній документації, як саме працює відновлення; за наявності коду збережіть його офлайн (паперовий запис у сейфі), і ніколи не передавайте ні головний пароль, ні код відновлення нікому, включно з «підтримкою», яка сама вас про це просить.

Життєві ситуації

Ситуація 1. Ви роками користуєтесь одним паролем для пошти, соцмереж і інтернет-магазину.

Типовий «ефект доміно»: після витоку бази будь-якого з сервісів шахраї автоматично пробують ту саму пару логін/пароль у пошті — а пошта головна ціль, бо через неї скидаються паролі до всього іншого. Рішення: змінити пароль пошті на довгу унікальну фразу, для решти сервісів згенерувати окремі випадкові паролі в менеджері.

Ситуація 2. Родина веде спільний список паролів у файлі «паролі.txt» і пересилає його в месенджері.

CERT-UA прямо забороняє таку практику: не зберігати автентифікаційні дані у відкритому вигляді у файлах, нотатках чи месенджерах. Кожна копія файлу — потенційний витік. Рішення: менеджер паролів зі спільним сховищем (більшість сервісів це вміє), де дані видно лише тим, кому ви дали доступ.

Практична вправа (безпечна, без введення справжніх паролів).

1. Складіть ТРИ вигадані парольні фрази для вигаданих акаунтів: 4–6 незв'язаних слів, цифра, розділовий знак, щонайменше 16 символів.

2. Оцініть кожну: довжина; відсутність даних вашого реального життя (імена, дати, адреси); незв'язаність слів.

3. Порахуйте, скільки облікових записів ви маєте і скільки з них мають ОКРЕМИЙ пароль. Це ваш «індекс доміно»: чим більше записів під одним паролем — тим ширший наслідок одного витоку.

Жоден справжній пароль вводити не потрібно.

Чекліст

1. У поштовій скриньці — довга унікальна парольна фраза, якої немає більше ніде.