Сообщение 🤨 Длина пароля — это не просто «одна из характеристик». Это фактор, который в современном мире доминирует над сложностью…

🤨 Длина пароля — это не просто «одна из характеристик». Это фактор, который в современном мире доминирует над сложностью. Парадокс в том, что пароль вида Tr0ub4dor&3 (11 символов, со «сложностью») современные видеокарты взламывают быстрее, чем длинную фразу из обычных слов вроде педаль оседлать растяжка эндокринный неуловимый (40+ символов, без цифр и спецзнаков). Причина кроется в комбинаторике и том, как именно работает перебор. 📝 Почему длина «бьёт» сложность: математика пространства поиска Сила пароля измеряется энтропией — количеством бит неопределённости. Если пароль выбирается случайно из алфавита размером N и имеет длину L, энтропия равна log₂(Nᴸ). Ключевой момент: длина L стоит в показателе степени. Каждый дополнительный символ умножает пространство поиска на размер алфавита, тогда как добавление нового типа символов (например, спецзнаков) увеличивает N лишь линейно, с относительно скромным итоговым эффектом. NIST (SP 800-63B) прямо указывает: «Длина пароля является первичным фактором, характеризующим его стойкость». Современные руководства смещают акцент с принудительной сложности на длину и проверку по базам утечек, поскольку обязательные правила композиции (заглавные, цифры, символы) заставляют людей создавать предсказуемые вариации вроде Password1!. ⚡️ Реальность брутфорса: перебор на GPU Брутфорс — это перебор всех возможных комбинаций с вычислением хеша и сравнением с украденным хешем. Видеокарты идеальны для этой задачи: тысячи ядер позволяют выполнять миллиарды хеш-операций в секунду. Цифры отрезвляют. Одна RTX 4090 в 2024 году подбирала 8-символьный пароль из строчных букв и цифр (36 символов) за 17 секунд при хешировании MD5 с солью, показывая скорость около 164 миллиардов хешей в секунду. В 2025 году кластер из 12 карт RTX 5090 взламывал 8-символьный пароль только из цифр за 15 минут (bcrypt), а 8-символьный пароль из строчных букв — за три недели. Для более стойких алгоритмов вроде bcrypt время выше, но рост производительности GPU (RTX 5090 до 65% быстрее RTX 4090 на bcrypt) быстро сокращает и этот запас. И вот здесь проявляется ограничение «сложных, но коротких» паролей. Восьмисимвольный пароль, даже со всеми типами символов, остаётся в зоне досягаемости специализированного кластера. Увеличение длины с 8 до 12–16 символов отодвигает время перебора на годы и столетия — не потому, что пароль «сложнее», а потому что комбинаторно вариантов становится несоизмеримо больше. ⚠️ Критики длинных паролей из реальных слов справедливо указывают на словарные атаки — перебор по списку популярных слов и их комбинаций. Если взять четыре случайных слова из списка в 7776 слов (стандарт Diceware), энтропия составит около 50–60 бит, что сопоставимо с 10-символьным полностью случайным паролем. Четыре слова — это уже неплохо, но всё ещё умеренно. Однако семь слов из того же списка дают примерно 90 бит энтропии — эквивалент 15-символьного пароля со смешанным регистром или 18-символьного алфавитно-цифрового пароля, при этом запоминается и вводится такая фраза несравнимо легче. Секрет в том, что слова должны быть выбраны случайно (например, броском кубиков по методу Diceware), а не составлены из «умных» фраз, цитат или песен. Случайная комбинация семи слов создаёт пространство поиска, где даже мощный кластер GPU будет перебирать её тысячелетиями, потому что словарная атака вынуждена проверять астрономическое число сочетаний, а не одно «сложное» слово. Сложность ради сложности — это ловушка, которая ведёт к предсказуемым паролям и забытым комбинациям. Длина — это рычаг, который экспоненциально увеличивает стоимость атаки для любого метода: и для слепого брутфорса, и для словарного перебора. Парольная фраза из 6–7 случайно выбранных слов даёт энтропию, эквивалентную длинному случайному паролю, но остаётся человечной и запоминаемой. В мире, где кластер из двенадцати видеокарт стоимостью в несколько тысяч долларов перебирает миллиарды вариантов в секунду, именно длина становится тем барьером, который делает взлом экономически бессмысленным. 🔵 Эпсилон // @epsilon_h