imported>Пушёк в 12:28, 8 марта 2026

2026-03-08T12:28:16Z

Новая страница

[[Файл:Log-in-window.PNG|thumb|250px|Окно входа, в котором требуется ввести имя пользователя и пароль.]]
'''Паро́ль''', также '''ключ безопа́сности''', ({{lang-fr|parole}} — слово) — условное слово<ref>{{ВТ-ТСД2|Пароль}}</ref> или произвольный набор знаков, состоящий из букв, цифр и других символов, и предназначенный для подтверждения личности или полномочий. Если допустимо использование только цифр, то такую комбинацию иногда называют [[ПИН-код]]ом (от английской аббревиатуры PIN — персональный идентификационный номер).

Пароли часто используются для защиты [[информация|информации]] от [[Несанкционированный доступ к информации|несанкционированного доступа]]. В большинстве [[Вычислительная система|вычислительных систем]] комбинация «[[Логин (учётная запись)|имя пользователя]] — пароль» используется для [[AAA (компьютерная безопасность)|удостоверения]] пользователя.

Несмотря на происхождение термина, пароль не обязан быть, собственно, словом. Комбинацию, не являющуюся словом, сложнее угадать или подобрать, поэтому такие пароли более предпочтительны. Для дополнительной защиты иногда используют пароли, состоящие из многих слов; такой пароль иногда называют «парольной фразой».

== История паролей ==
Пароли использовались с древнейших времён. [[Полибий]] ([[201 до н. э.]]) описывает применение паролей в [[Древний Рим|Древнем Риме]] следующим образом:

<blockquote>То, каким образом они обеспечивают безопасное прохождение ночью, выглядит следующим образом: из десяти [[Манипула|манипул]] каждого рода пехоты и кавалерии, что расположено в нижней части улицы, командир выбирает, кто освобождается от несения караульной службы, и он каждую ночь идёт к [[Военный трибун|трибуну]] и получает от него пароль — деревянную табличку со словом. Он возвращается в свою [[Воинская часть|часть]], а потом проходит с паролем и табличкой к следующему командующему, который в свою очередь передает табличку следующему.</blockquote>

Пароли использовались в компьютерах с первых их дней.
Например, CTSS от [[Массачусетский технологический институт|MIT]], появившаяся в [[1961 год]]у, была одна из первых открытых систем. Она использовала команду LOGIN для запроса пароля пользователя.

[[Моррис, Роберт Тэппэн|Роберт Моррис]] предложил идею хранения паролей в [[Хеш-сумма|хеш]]-форме для операционной системы [[UNIX]]. Его алгоритм, известный как [[crypt]], использует 12-битный [[salt]] и связывается для изменения формы с алгоритмом [[Data Encryption Standard|DES]], снижая риск [[Перебор по словарю|перебора по словарю]].

Пользователи по логину и паролю проходят [[Аутентификация|аутентификацию]] в процессе входа с контролем доступа к защищённым операционным системам, мобильным телефонам, приложениям и онлайн-сервисам. Пользователь компьютера зачастую имеет пароли для множества различных целей: вход в учётные записи; доступ к ящикам электронной почты, личным кабинетам на сайтах, в базах данных; для чтения новостей в платных изданиях{{Нет АИ|07|08|2021}}. По результатам исследования компании NordPass, в 2019 году среднее количество паролей, используемых одним человеком, составляло 70-80 штук; за год это число выросло на 25 % и приблизилось к 100 паролям<ref>{{Cite web|lang=en|url=https://tech.co/news/average-person-100-passwords|title=Study Reveals Average Person Has 100 Passwords|date=2020-10-22|access-date=2021-09-07|archive-date=2021-09-07|archive-url=https://web.archive.org/web/20210907134859/https://tech.co/news/average-person-100-passwords|url-status=live}}</ref>.

== Безопасность пароля пользователя ==
Исследования показывают<ref>{{Cite web |url=http://www.dp.ru/a/2009/01/30/Samie_rasprostranennie_pa |title=Самые распространенные пароли в интернете — Деловой Петербург |access-date=2010-01-05 |archive-date=2009-12-12 |archive-url=https://web.archive.org/web/20091212145550/http://www.dp.ru/a/2009/01/30/Samie_rasprostranennie_pa |url-status=live }}</ref>, что около 40 % всех пользователей выбирают пароли, которые [[Сложность пароля|легко угадать автоматически]]<ref>{{Cite news|access-date=2021-06-27|first=Ashlee|last=Vance|date=2010-01-21|website=The New York Times|title=If Your Password Is 123456, Just Make It HackMe|url=https://www.nytimes.com/2010/01/21/technology/21password.html|archive-date=2017-02-11|archive-url=https://web.archive.org/web/20170211224543/http://www.nytimes.com/2010/01/21/technology/21password.html}}</ref> Легко угадываемые пароли (123, admin) считаются слабыми и уязвимыми. Пароли, которые очень трудно или почти невозможно угадать, считаются более стойкими. Некоторыми источниками рекомендуется использовать пароли, генерируемые на стойких [[Хеширование|хешах]] типа [[MD5]], [[SHA-1]] от обычных псевдослучайных последовательностей, по алгоритмам вида<ref>{{Cite web |url=http://mlawire.blogspot.com/2009/07/linux-password-generator.html |title=MLA Wire: Shell: Linux Password Generator |access-date=2010-01-05 |archive-date=2009-12-28 |archive-url=https://web.archive.org/web/20091228085900/http://mlawire.blogspot.com/2009/07/linux-password-generator.html |url-status=live }}</ref><ref>{{Cite web |url=http://samlib.ru/editors/a/astahow_k_w/passgen.shtml |title=Астахов Константин. Генератор паролей |archive-date=2023-07-21 |access-date=2012-01-22 |archive-url=https://web.archive.org/web/20230721003439/http://samlib.ru/editors/a/astahow_k_w/passgen.shtml |url-status=live }}</ref><ref>{{Cite web |url=http://sourceforge.net/projects/mkpw-md5-alpha/ |title=mkpw-md5-alpha {{!}} Download mkpw-md5-alpha software for free at SourceForge.net |access-date=2010-03-03 |archive-date=2010-05-31 |archive-url=https://web.archive.org/web/20100531084513/http://sourceforge.net/projects/mkpw-md5-alpha/ |url-status=live }}</ref>

В конце 2017 года [[корпорация]] SplashData опубликовала 100 самых ненадёжных паролей года. Первое место, уже четвёртый год подряд, занимает пароль 123456. Его используют около 17 % пользователей сети Интернет.<ref>{{Cite web|url=http://planet-today.ru/novosti/tekhnologii/item/81047-eksperty-nazvali-samye-khudshie-paroli-2017-goda|title=Эксперты назвали самые худшие пароли 2017 года|access-date=2018-01-02|publisher=planet-today.ru|archive-date=2018-01-03|archive-url=https://web.archive.org/web/20180103072425/http://planet-today.ru/novosti/tekhnologii/item/81047-eksperty-nazvali-samye-khudshie-paroli-2017-goda|url-status=live}}</ref>

В 2013 году компания Google опубликовала список широко используемых категорий паролей, которые считаются слишком ненадёжными из-за того, что их легко подобрать (особенно после изучения профиля персоны в социальной сети):<ref>{{Статья|ссылка=https://techland.time.com/2013/08/08/google-reveals-the-10-worst-password-ideas/?iid=biz-article-mostpop2|автор=Techlicious|заглавие=Google Reveals the 10 Worst Password Ideas|год=2013-08-08|язык=en-US|издание=Time|issn=0040-781X|archive-date=2021-06-27|archive-url=https://web.archive.org/web/20210627190935/https://techland.time.com/2013/08/08/google-reveals-the-10-worst-password-ideas/?iid=biz-article-mostpop2}}</ref>

* Кличка домашнего животного, имя ребёнка, партнёра или родственника
* Даты рождения и важных событий
* Место рождения
* Название любимого праздника
* Что-либо, связанное с любимой спортивной командой
* Слово «password» (пароль)
Пароли, состоящие из комбинаций распространённых фраз, например, «qwerty», «zxcvbn», «asdfg» и прочих, считаются легко взламываемыми за счет технологии брутфорса.<ref>{{Cite web|url=https://roskachestvo.gov.ru/news/roskachestvo-rekomenduet-rabotat-tolko-so-slozhnymi-parolyami/|title=Роскачество рекомендует работать только со сложными паролями – Роскачество|website=roskachestvo.gov.ru|access-date=2024-11-25|archive-date=2024-11-25|archive-url=https://web.archive.org/web/20241125200505/https://roskachestvo.gov.ru/news/roskachestvo-rekomenduet-rabotat-tolko-so-slozhnymi-parolyami/|url-status=live}}</ref>

== Генерация пароля ==
{{wikibooks|Реализации алгоритмов/Генерация пароля|Генерация пароля}}
В [[Unix]]-подобных [[Операционная система|операционных системах]] можно использовать [[утилита|утилиту]] [[pwgen]].
Например

pwgen 10 1
сгенерирует 1 пароль длиной 10 символов.

== Альтернативные методы контроля доступа ==
Многочисленные виды многоразовых паролей могут быть скомпрометированы и способствовали развитию других методов. Некоторые из них становятся доступны для пользователей, стремящихся к более безопасной альтернативе.

* [[Одноразовый пароль|Одноразовые пароли]]
* [[Биометрия]]
* [[Технология единого входа]]
* [[OpenID]]

== Методы передачи пароля через сеть ==

=== Простая передача пароля ===
Пароль передаётся в открытом виде. В этом случае он может быть перехвачен при помощи простых средств отслеживания [[Сетевой трафик|сетевого трафика]].

=== Передача через зашифрованные каналы ===
Риск перехвата паролей через Интернет можно уменьшить, помимо прочих подходов, с использованием Transport Layer Security [[TLS]], которая ранее называлась SSL, такие функции встроены во многие браузеры Интернета.

=== Базирующийся на хешах ===
Пароль передаётся на сервер уже в виде хеша (например, при отправке формы на web-странице пароль преобразуется в md5-хеш при помощи JavaScript), и на сервере полученный хеш сравнивается с хешем, хранящимся в БД. Такой способ передачи пароля снижает риск получения пароля при помощи [[Анализатор трафика|сниффера]].

== Проектирование защищённого программного обеспечения ==
Общие методы повышения безопасности программного обеспечения систем защищённых паролем включают:
* Ограничение минимальной длины пароля (некоторые системы [[Unix]] ограничивают пароли 8 символами).
* Требование повторного ввода пароля после определённого периода бездействия.
* Требование периодического изменения пароля.
* Назначение стойких паролей (генерируемых с использованием аппаратного источника [[случайное число|случайных чисел]], либо с использованием [[Генератор псевдослучайных чисел|генератора псевдослучайных чисел]], выход которого перерабатывается стойкими [[Хеширование|хеш-преобразованиями]]).

== Взлом компьютерных паролей ==
Взлом пароля является одним из распространённых типов атак на информационные системы, использующие [[аутентификация|аутентификацию]] по паролю или паре «имя пользователя-пароль». Суть атаки сводится к завладению злоумышленником паролем пользователя, имеющего право входить в систему.

Привлекательность атаки для злоумышленника состоит в том, что при успешном получении пароля он гарантированно получает все права пользователя, [[Учётная запись|учетная запись]] которого была скомпрометирована, а кроме того вход под существующей учётной записью обычно вызывает меньше подозрений у [[Системный администратор|системных администраторов]].

Технически атака может быть реализована двумя способами: многократными попытками прямой аутентификации в системе, либо анализом [[Хеш-сумма|хешей]] паролей, полученных иным способом, например перехватом трафика.

При этом могут быть использованы следующие подходы:
* '''[[Brute force|Прямой перебор]]'''. Перебор всех возможных сочетаний допустимых в пароле символов. Например, нередко взламывается пароль «qwerty» так как его очень легко подобрать по первым клавишам на клавиатуре с раскладкой [[QWERTY]].
* '''Подбор по словарю'''. Метод основан на предположении, что в пароле используются существующие слова какого-либо языка либо их сочетания.
* Метод '''[[социальная инженерия|социальной инженерии]]'''. Основан на предположении, что пользователь использовал в качестве пароля личные сведения, такие как его имя или фамилия, дата рождения и т. п. Например [[Вася Пупкин]], 31.12.1999 г. р. нередко имеет пароль типа «vp31121999» или «vp991231».

Для проведения атаки разработано множество инструментов, например, [[John the Ripper]].

=== Критерии стойкости пароля ===
{{основная статья|Сложность пароля}}
Исходя из подходов к проведению атаки можно сформулировать критерии стойкости пароля к ней.
* Пароль не должен быть слишком коротким, поскольку это упрощает его взлом полным перебором. Наиболее распространённая минимальная длина — восемь символов. По той же причине он не должен состоять из одних цифр.
* Пароль не должен быть словарным словом или простым их сочетанием, это упрощает его подбор по словарю (исключение — {{Не переведено 5|Diceware|3=en|4=Diceware}}: выбор определённого количества слов из списка определённой длины с помощью генератора случайных чисел; однако пароли получаются длинными).
* Пароль не должен состоять только из общедоступной информации о пользователе.

В качестве популярных рекомендаций к составлению пароля можно назвать использование сочетания слов с цифрами и специальными символами (#, $, * и т. д.), использование малораспространённых или несуществующих слов, соблюдение минимальной длины.

=== Методы защиты от атаки ===
Методы защиты можно разделить на две категории: обеспечение стойкости к взлому самого пароля, и предотвращение реализации атаки. Первая цель может быть достигнута проверкой устанавливаемого пароля на соответствие критериям сложности. Для такой проверки существуют автоматизированные решения, как правило работающие совместно с утилитами для смены пароля, например, cracklib<ref>{{Cite web |url=http://sourceforge.net/projects/cracklib/ |title=CrackLib {{!}} Download CrackLib software for free at SourceForge.net |access-date=2010-06-25 |archive-date=2010-07-25 |archive-url=https://web.archive.org/web/20100725001440/http://sourceforge.net/projects/cracklib/ |url-status=live }}</ref>.

Вторая цель включает в себя предотвращение захвата хэша передаваемого пароля и защиту от многократных попыток аутентификации в системе. Чтобы предотвратить перехват, можно использовать защищённые (зашифрованные) каналы связи. Чтобы усложнить злоумышленнику подбор путём многократной аутентификации, обычно накладывают ограничение на число попыток в единицу времени (пример средства: fail2ban<ref>{{Cite web |url=http://www.fail2ban.org/ |title=Fail2ban |access-date=2010-06-25 |archive-date=2008-08-21 |archive-url=https://web.archive.org/web/20080821122611/http://www.fail2ban.org/ |url-status=live }}</ref>), либо разрешением доступа только с доверенных адресов.

Комплексные решения для централизованной аутентификации, такие как [[Red Hat Directory Server]]<ref>{{Cite web |url=http://www.redhat.com/docs/manuals/dir-server/8.1/admin/User_Account_Management.html#User_Account_Management-Managing_the_Password_Policy |title=Chapter 7. Managing User Authentication |access-date=2010-06-25 |archive-date=2010-03-06 |archive-url=https://web.archive.org/web/20100306070327/http://www.redhat.com/docs/manuals/dir-server/8.1/admin/User_Account_Management.html#User_Account_Management-Managing_the_Password_Policy |url-status=live }}</ref> или [[Active Directory]]<ref>{{Cite web |url=http://technet.microsoft.com/en-us/library/cc875814.aspx |title=Enforcing Strong Password Usage Throughout Your Organization |access-date=2010-06-25 |archive-date=2010-07-24 |archive-url=https://web.archive.org/web/20100724025133/http://technet.microsoft.com/en-us/library/cc875814.aspx |url-status=live }}</ref> уже включают в себя средства для выполнения этих задач.

== См. также ==
* [[Лозунг]]
* [[/etc/passwd]]
* [[Проверка подлинности|Аутентификация]]
* [[Менеджер паролей]]
* [[Вводимые взглядом пароли]]
* [[Графический пароль]]

== Примечания ==
{{примечания}}

== Литература ==
* {{ВТ-ТСД2|Пароль}}

== Ссылки ==
{{Навигация
|Тема = Пароль
|Портал =
|Викисловарь = пароль
|Викиучебник = Методика выбора пароля
|Викицитатник =
|Викитека =
|Викивиды =

|Викисклад =
|Метавики =
|Проект =
}}
* [http://wwhois.ru/password_rule.html Рекомендации по составлению паролей] {{Wayback|url=http://wwhois.ru/password_rule.html |date=20100408095449 }}
* [https://web.archive.org/web/20111213205135/http://www.security4all.ru/publ/nadezhnyj_parol/1-1-0-31 Требования по безопасности паролей] {{недоступная ссылка}}
* [http://www.acsac.org/2005/abstracts/89.html Графические пароли: обзор] {{Wayback|url=http://www.acsac.org/2005/abstracts/89.html |date=20110609042848 }}{{ref|en}}
* [https://web.archive.org/web/20070806010916/http://labs.mininova.org/passclicks/ PassClicks]{{ref|en}} {{недоступная ссылка}}
* [https://bad-android.com/news/6116-pravitelstvo-ssha-utverzhdaet-chto-spetsialnye-simvoly-v-vashikh-parolyakh-ne-nuzhno-ispolzovat Правительство США утверждает, что специальные символы в ваших паролях не нужно использовать]
* [http://www.infosecurity.ru/cgi-bin/cart/arts.pl?a=_060817 Концепция одноразовых паролей в системе аутентификации] {{Wayback|url=http://www.infosecurity.ru/cgi-bin/cart/arts.pl?a=_060817 |date=20071009142835 }}
* [http://bugtraq.ru/library/security/passunleashed.html Статья «Пароли для профессионалов»] {{Wayback|url=http://bugtraq.ru/library/security/passunleashed.html |date=20080507055238 }}
* [http://mlawire.blogspot.com/2009/07/linux-password-generator.html Статья «Shell: Linux Password Generator»] {{Wayback|url=http://mlawire.blogspot.com/2009/07/linux-password-generator.html |date=20091228085900 }}

{{нет источников|дата=2015-01-10}}
{{плохое оформление|дата=2015-01-10}}

[[Категория:Аутентификация]]
[[Категория:Контроль доступа]]

Пароль - История изменений

imported>Пушёк в 12:28, 8 марта 2026