Метод Diceware: парольные фразы вместо паролей

Дилемма надёжного пароля

Существует противоречие: чем надёжнее пароль, тем сложнее его запомнить. «X7#kP@mQ9!vL2» защищён хорошо, но запомнить его невозможно. «МояСобака2020» запомнить легко, но взломать тоже несложно.

В 1995 году американский программист Арнольд Рейнхольд предложил элегантное решение этой дилеммы — метод Diceware (от английского dice — «игральные кости»).

Как работает Diceware

Оригинальный метод: берёте игральный кубик, бросаете его 5 раз подряд, записываете числа. Получившаяся пятизначная последовательность (например, 43521) соответствует слову в специальном словаре Diceware. Повторяете процесс для каждого слова.

Результат — фраза из нескольких случайных слов: «облако замок берёза гроза». Никакого смысла, никакой связи. Именно случайность обеспечивает надёжность.

Наш генератор парольных фраз делает то же самое автоматически — использует криптографически стойкий генератор случайных чисел вместо кубика.

Почему это так надёжно

Стандартный словарь Diceware содержит 7776 слов (6⁵ = число комбинаций при броске кубика 5 раз). Каждое слово добавляет log₂(7776) ≈ 12.9 бита энтропии.

Для сравнения: случайный пароль из 8 символов (буквы + цифры) даёт около 48 бит энтропии. Фраза из 6 слов — 77 бит. Фраза надёжнее и при этом её гораздо проще запомнить.

Почему фразу легче запомнить

Человеческая память лучше работает со словами, чем с символами. Исследования когнитивной психологии показывают, что мы запоминаем слова в 5–7 раз лучше, чем случайные символы.

Хитрость: придумайте абсурдную историю, связывающую слова. Для фразы «облако-замок-берёза-гроза»: представьте замок на облаке, рядом берёза, в неё ударяет гроза. Такой визуальный образ запоминается легко и надолго.

Метод «дворца памяти», использованный для парольной фразы, работает даже для полного новичка.

Где использовать парольные фразы

Парольные фразы особенно хороши там, где пароль нужно вводить вручную:

• Мастер-пароль менеджера паролей — главное применение
• PIN или пароль для шифрования диска (BitLocker, VeraCrypt)
• Пароль для Wi-Fi дома — вводите редко, должен быть надёжным
• Пароль для входа в ноутбук
• Пароль для VPN

Для остальных аккаунтов используйте обычный генератор паролей — случайные пароли там надёжнее, а запоминать их не нужно (менеджер паролей сделает это за вас).

Рекомендации NIST

Американский NIST (National Institute of Standards and Technology) в своих обновлённых рекомендациях по паролям (NIST SP 800-63B) прямо указывает, что длинные парольные фразы предпочтительнее коротких сложных паролей. Длина важнее сложности.

NIST также рекомендует отказаться от принудительной смены паролей каждые 90 дней — это приводит к предсказуемым изменениям («Пароль1» → «Пароль2»). Надёжный пароль, который не утёк, можно использовать долго.

Читайте также: Как создать надёжный пароль · Менеджер паролей · Попробовать генератор фраз