Историческая история про пароли и требования к ним...
Научно доказано: дурацкие правила сложности делают систему МЕНЕЕ безопасной.
Классический пример — требование «минимум 8 знаков, заглавная, строчная, цифра, спецсимвол и менять каждые 90 дней».
Кто этот «гений»? У него есть имя.
Эту концепцию в 2003 году придумал Билл Бёрр (Bill Burr) — менеджер американского Национального института стандартов и технологий (NIST). Он написал методичку SP 800-63, из которой эти правила расползлись по всей планете.
Знаете, что самое смешное? В 2017 году 72-летний Бёрр дал интервью The Wall Street Journal и публично извинился перед всем человечеством. Он признался, что:
-
Он не был экспертом по безопасности и написал эти правила просто «из головы», опираясь на примитивную математику 80-х годов.
-
Он вообще не учитывал человеческую психологию.
-
Он искренне сожалеет о том, сколько нервов испортил людям по всему миру.
Почему эти правила ДЕЛАЮТ ВСЁ ХУЖЕ?
Потому что инженер по ИБ считает, что человек — это генератор случайных чисел. А человек — это биологическое существо, которое ищет путь наименьшего сопротивления.
В теории безопасника: пароль со спецсимволом — это непредсказуемая энтропия вроде xK#9!mQ2$z.
В реальности человека: пароль превращается в Password1 или Spring2024. А когда система требует менять его каждые 3 месяца, человек просто меняет цифру. Скрипты перебора взламывают это за полсекунды.
Главный финал: когда мозг человека перегружен требованием помнить пять разных паролей с символами и случайными кнопками, он записывает их на стикер и клеит прямо на монитор. Безопасность максимальная!
Эпилог: Сам институт NIST ещё в 2017 году переписал свои стандарты: они официально запретили заставлять людей часто менять пароли, запретили требовать спецсимволы и рекомендовали просто использовать длинные понятные фразы (например, правильный-конь-батарея-скрепка).