Чому паролі втрачають свою ефективність
Люди прагнуть простоти. Запам'ятовувати довгий набір букв, цифр і символів — це клопітно, тому більшість вибирає щось швидке і просте. Але навіть якщо ви були достатньо дисципліновані, щоб створити складний пароль, він все одно зберігається в базі даних компанії.
А бази даних піддаються хакерським атакам.
Регулярно.
Витік паролів: кілька історій, які варто врахувати
- McDonald’s, 2025: чат-бот для найму персоналу на базі штучного інтелекту працював з логіном Admin і паролем 123456. Результат? Витік інформації про понад 64 мільйони заяв про працевлаштування, включаючи номери телефонів, адреси електронної пошти, дані про освіту та досвід роботи. [1]
- Yahoo, 2013: Найбільший злом в історії: було скомпрометовано понад 3 мільярди облікових записів, включаючи паролі та контрольні питання. [2]
Ці історії мають одну важливу спільну рису: навіть корпорації з багатомільйонними бюджетами на кібербезпеку не застраховані від невдач.
Кращі практики зберігання паролів
Незважаючи на те, що ми відходимо від паролів, вони все ще широко використовуються. Тому варто розуміти, як правильно їх зберігати — особливо якщо ви керуєте платформою або додатком.
Ніколи не зберігайте паролі у вигляді звичайного тексту
Паролі завжди повинні бути зашифровані за допомогою надійних алгоритмів, таких як bcrypt або argon2. Це робить їх реверс-інжиніринг обчислювально дорогим.
Додати сіль
Соління гарантує, що навіть якщо два користувачі виберуть однаковий пароль, їх хеші будуть різними. Це важливий захист від атак за допомогою райдужних таблиць.
Використовуйте розтягування клавіш
Ця техніка значно уповільнює спроби брут-форсу, що дає вам час і зменшує ризик у разі порушення безпеки.
Проте, навіть при застосуванні цих заходів, сам факт зберігання облікових даних користувачів на серверах робить їх потенційною мішенню. Ось чому метою має бути повне усунення зберігання паролів.
Найкращі практики щодо створення та повторного використання паролів
Якщо ви мусите використовувати паролі, ось як це зробити безпечно:
Використовуйте довгі, випадкові паролі
Довжина > складність. Випадковий пароль з 20 символів набагато безпечніший, ніж короткий пароль із символами.
Приклад: qH7T#sY9!GmK3*vBxZlP
Уникайте повторного використання паролів
Один повторно використаний пароль = доступ до всіх ваших облікових записів. Витік даних дозволяє зловмисникам легко перевіряти одні й ті ж облікові дані на декількох сайтах (це називається credential stuffing).
Використовуйте менеджер паролів
Це допомагає створювати та зберігати унікальні, надійні паролі для кожного веб-сайту, зменшуючи навантаження на пам'ять та підвищуючи рівень безпеки.
Але навіть найкращий пароль все одно залишається лише... паролем. Його можна вгадати, викрасти за допомогою фішингу, викрасти через витік інформації або зламати методом грубої сили.
Що таке багатофакторна автентифікація і чому вона важлива?
Багатофакторна автентифікація (MFA) додає другий (або третій) рівень захисту, поєднуючи те, що ви знаєте (пароль), те, що ви маєте (пристрій), або те, що ви є (біометричні дані).
Наприклад:
- Пароль + SMS код
- Пароль + мобільний автентифікатор програми (TOTP)
- Пароль + сканування відбитків пальців
MFA значно зменшує ймовірність захоплення облікового запису, особливо у випадках, коли паролі були викрадені або просочилися.
Але це не ідеально:
- SMS-коди можуть бути перехоплені за допомогою атак SIM-swap.
- Достовірність додатків-аутентифікаторів залежить від безпеки пристрою, на якому вони встановлені
Проте MFA є обов'язковою при використанні систем на основі паролів. Це еквівалентно встановленню замка на двері замість використання простої засувки.
Основний недолік старої моделі паролів
Пароль — це єдиний ключ. Ви передаєте його комусь іншому і сподіваєтеся, що він збереже його в безпеці. Але якщо вони не спрацюють, незнайомець отримає доступ до вашого «дому».
Отже, питання таке: чи дійсно варто довіряти комусь іншому свій єдиний ключ?
Коли облікові записи зникають: підхід NymVPN
Уявіть собі сервіс:
- Без логінів
- Без паролів
- Без великих баз даних з обліковими даними, які можна зламати
Замість традиційних облікових записів, NymVPN використовує seed phrase — унікальну комбінацію слів, яка служить вашим приватним ключем. Це означає, що ви не реєструєтеся, не створюєте ім'я користувача чи пароль і не залежите від жодного централізованого органу для управління своєю ідентичністю.
Що таке seed phrase?
Seed phrase (також називається фразою відновлення або секретною фразою) — це послідовність, як правило, 12 або 24 випадково згенерованих слів. Він представляє вашу криптографічну ідентичність і використовується для безпечного генерування приватних ключів.
Приклад (не використовуйте цей):
акустичний банан рідина тане вірус чорна черепаха смак цемент відомий цибуля плавати
Ця фраза відображається тільки вам під час налаштування. Вона ніколи не зберігається на сервері NymVPN і не передається через Інтернет. Ви є єдиним власником і зберігачем цієї фрази.
Чому це безпечніше
Оскільки на сервері нічого не зберігається, навіть якщо NymVPN буде зламано, зловмисники не зможуть нічого вкрасти:
- Відсутність бази даних облікових даних користувачів
- Жодних журналів сеансів, пов'язаних з ідентифікаційними даними
- Відсутність електронних листів для відновлення, які можуть бути підроблені
Seed phrase існує виключно на вашому пристрої, і в ідеалі ви зберігаєте її в офлайн-режимі — записану на папері або збережену в безпечному менеджері паролів або апаратному гаманці.
Що таке докази з нульовим розкриттям інформації — і чому вони важливі?
Докази з нульовим розкриттям інформації (ZKPs) — це потужний інструмент захисту конфіденційності, який дозволяє довести правдивість чогось, не розкриваючи фактичну інформацію, що стоїть за цим.
Уявіть, що ви можете довести, що вам більше 18 років, не показуючи дату народження, або довести, що ви оплатили послугу, не розкриваючи свою особу чи деталі транзакції.
У цьому полягає магія ZKP: вони відокремлюють перевірку від розкриття даних.
У контексті Nym докази з нульовим розкриттям інформації у формі zk-nyms допомагають користувачам перевірити доступ або участь у NymVPN без прив'язки до конкретного облікового запису або розкриття особистих даних. Вони є частиною того, що робить можливою інфраструктуру для збереження конфіденційності, таку як Nym: систему, в якій ви можете безпечно взаємодіяти, не залишаючи ідентифікованих слідів.
ZKPs змінюють веб з моделі «показати все, щоб довести що-небудь» на більш розумний стандарт «тільки те, що потрібно знати» — такий, що поважає ваше право на конфіденційність за замовчуванням.
