Надёжные пароли и UUID

Длина и случайность

Пароль надёжен, если злоумышленнику понадобилось бы слишком много попыток, чтобы его подобрать. Важнее всего две вещи: его длина и то, как он был выбран. Каждый дополнительный символ умножает число вариантов, поэтому длина обычно помогает больше, чем добавление ещё одного типа символов.

Способ выбора пароля не менее важен. Люди склонны выбирать слова, имена, даты и предсказуемые замены вроде «P@ssw0rd», и злоумышленники проверяют такие шаблоны в первую очередь. Пароль, созданный безопасным источником случайности, лишён этих шаблонов. Генератор LeedyBox использует генератор случайных чисел Web Crypto в браузере, а не Math.random(), который не предназначен для задач безопасности.

Это руководство содержит общую информацию, а не профессиональную консультацию по безопасности. Следуйте требованиям вашей организации или сервиса, в котором вы регистрируетесь.

Что означают биты энтропии

Энтропия, измеряемая в битах, показывает, сколько попыток потребуется для подбора случайного пароля. Для пароля длиной L, символы которого выбраны равновероятно из N возможных, энтропия равна L × log₂(N). Каждый дополнительный бит удваивает пространство перебора.

У этой оценки есть ограничения. Она имеет смысл, только если каждый символ был выбран случайно. Придуманный вами пароль, например «Summer2026!», по этой формуле может казаться содержащим много бит, но угадать его гораздо проще. Кроме того, энтропия ничего не говорит о том, как сервис хранит пароли, использовался ли пароль повторно и не был ли он перехвачен с помощью фишинга.

Менеджеры паролей и уникальные пароли

Случайные пароли трудно запомнить, и здесь помогает менеджер паролей: он создаёт, хранит и подставляет отдельный пароль для каждого сайта. Использовать везде уникальные пароли важно, потому что утечки данных случаются, а повторно использованный пароль позволяет злоумышленнику попробовать те же данные для входа в других сервисах. Для немногих паролей, которые нужно помнить, например мастер-пароля самого менеджера, распространённый подход — длинная парольная фраза из нескольких случайно выбранных слов.

Двухфакторная аутентификация

Даже надёжный пароль могут украсть с помощью фишинга или вредоносного ПО. Двухфакторная аутентификация (2FA) добавляет вторую проверку, например код из приложения-аутентификатора, аппаратный ключ безопасности или ключ доступа (passkey). Если включить её для почты, банка и других важных учётных записей, украденный пароль сможет причинить меньше вреда. Храните коды восстановления в надёжном месте.

UUID v4 и UUID v7

UUID (универсальный уникальный идентификатор) — это 128-битное значение, записываемое 36 символами, например 550e8400-e29b-41d4-a716-446655440000. Цифра после второго дефиса показывает версию.

• UUID v4 почти полностью случаен (122 из 128 бит). Он ничего не сообщает о том, когда и где был создан, а вероятность совпадения двух таких значений для практических целей пренебрежимо мала.
• UUID v7, определённый в RFC 9562, начинается с метки времени Unix в миллисекундах, за которой следуют случайные биты. Значения, созданные позже, сортируются после более ранних, что может сделать индексы базы данных эффективнее, чем с v4. Обратная сторона — любой, кто видит UUID v7, может примерно определить, когда он был создан.

Инструмент LeedyBox может создавать обе версии, а его анализатор UUID позволяет изучить вставленный UUID.

UUID — идентификаторы, а не секреты

UUID задуман как уникальный, а не секретный. Многие UUID попадают в URL, журналы и ответы API, а UUID v7 содержит время своего создания. Не используйте UUID сам по себе как пароль, ключ API или токен сброса пароля; используйте специальный случайный токен из безопасного генератора в сочетании с правильными проверками доступа.

Часто задаваемые вопросы