Пароль, который уже где-то был
Самая безличная позиция в таблице. Вас никто не искал, и именно поэтому это работает в промышленных масштабах.
- Как часто
- Часто
- Сколько забирает
- Аккаунт и всё, что в нём
- Возвращается
- Иногда
- Цена профилактики
- Десять минут один раз
Дело в неповторяемости, а не в сложности
Сложность защищает от перебора, а перебора здесь нет. Есть пара из утечки постороннего сервиса, которую программа пробует везде подряд. Длинный сложный пароль, который повторяется там, где его утекло, бесполезен ровно так же, как короткий, и уверенность, которую он даёт, только ухудшает дело.
От чего спасает второй фактор
| Атака | Останавливает? |
|---|---|
| Утёкший пароль, который пробуют позже | Да, полностью. Ровно для этого он и придуман. |
| Живая копия страницы входа | Нет. Пароль и код собирают вместе и подставляют, пока код действует. |
| Что-то на вашей же машине | Нет. Со стороны аккаунта здесь не помогает ничего. |
То есть он закрывает эту позицию и ничего не делает со второй. Две разные проблемы, похожие внешне и требующие разных ответов.
Где повтор случается на практике
| Схема | Почему так делают | Почему не работает |
|---|---|---|
| Один пароль везде | Помнить надо одно | Одна утечка где угодно — это утечка здесь |
| Основа плюс приставка по сайту | Выглядит системно | Выводится из двух примеров за секунду |
| Старый пароль повышен до важного | Он знакомый и проверенный | Знакомый значит давно существующий, то есть успевший утечь |
| Сложный пароль на двух сайтах | Сложность кажется достаточной | Сложность к этой атаке отношения не имеет |
То, о чём потом жалеют
Коды восстановления, сохранённые при настройке, до закрытия страницы, отдельно от пароля и не в одном экземпляре на одном устройстве. Без них восстановление ограничено и часто невозможно, а хуже всего оказаться с балансом за проверкой, на которую нечем ответить.
Как список доходит до вас
Ломают посторонний сервис, пары логин и пароль расходятся по рукам, программа перебирает их везде, где это имеет смысл. Никакого прицела и никакого интереса лично к вам, поэтому осторожность, незаметность и отсутствие ценности не защищают вообще. Помогает единственное свойство: чтобы перебираемая пара здесь не подходила.
Про менеджер паролей
Он решает неповторяемость полностью и добавляет одну вещь, о которой стоит подумать: получается один файл, который важнее любого пароля внутри. Локально, с вашей собственной резервной копией и с парольной фразой, которой нет больше нигде, это явно лучше любой альтернативы. В облачном сервисе это другой набор компромиссов, и его стоит выбрать сознательно, а не по умолчанию.