Пароль
Простыми словами
Пароль — секрет, который человек предъявляет системе как доказательство знания при входе. Он не является именем пользователя и не подтверждает личность сам по себе: если секрет украден, система может принять злоумышленника за владельца.
Как применяется
Пароли используют как один из факторов аутентификации, но дополняют MFA, ограничением попыток, проверкой утечек и безопасным восстановлением доступа. Сервис хранит не открытый пароль, а результат стойкой парольной функции с уникальной солью.
Пример применения
При регистрации сервис проверяет новый пароль по списку скомпрометированных значений, вычисляет Argon2id-хеш с уникальной солью и сохраняет параметры функции. После серии неверных попыток включает задержку и дополнительную проверку, не раскрывая, существует ли учётная запись.
Не путать с
- Парольная фразаПарольная фраза длиннее и состоит из слов
- Одноразовый парольодноразовый пароль действует для одной операции или короткого периода.
Как это работает
- Создать секретПользователь выбирает уникальный пароль, а сервис проверяет минимальные требования и известные утечки.
- Защитить хранениеСистема применяет соль и специализированную ресурсоёмкую функцию, сохраняя только результат и параметры.
- Проверить при входеВведённое значение обрабатывается теми же параметрами и сравнивается безопасным способом с сохранённым результатом.
- Управлять рискомПопытки ограничивают, подозрительные входы выявляют, а сброс и смену пароля защищают не слабее основного входа.
Частые вопросы
Бессодержательная периодическая смена может ухудшить поведение пользователей; смена обязательна при компрометации, а политика должна учитывать применимые требования и оценку риска.
Можно ли хранить зашифрованные пароли?Для проверки обычно применяют одностороннюю парольную функцию с солью; обратимое шифрование создаёт риск раскрытия всей базы при компрометации ключа.
Заменяет ли сложный пароль MFA?Нет. Длинный уникальный пароль снижает риск подбора и повторного использования, но второй независимый фактор ограничивает последствия его кражи.