Как выбрать и надёжно хранить пароль для архива с важными файлами

Архив с конфиденциальными данными защищён только тем паролем, который вы задали при его создании. Если пароль слабый или хранится ненадёжно, любой, кто получит доступ к файлу архива, сможет извлечь содержимое. Поэтому важно понимать, что делает пароль стойким, как его генерировать, где хранить и какие проверки проводить.

Что делает пароль надёжным

Надёжный пароль сочетает достаточную длину и непредсказуемость. Длина увеличивает количество возможных комбинаций экспоненциально, а непредсказуемость препятствует перебору по словарям или шаблонам. Современные архиваторы (7‑Zip, WinRAR, PeaZip) используют алгоритм AES‑256, который считается криптостойким при условии, что ключ (производный от пароля) имеет достаточную энтропию.

Длина и сложность

Минимальная рекомендуемая длина — 12 символов для случайного набора из букв, цифр и знаков препинания. При использовании фразы‑пароля длина должна быть не менее 20‑25 символов, чтобы компенсировать предсказуемость естественного языка.

Сложность достигается за счёт сочетания четырёх наборов символов: строчные буквы, заглавные буквы, цифры и специальные знаки (!, @, #, $, %, &, * и т.д.). Однако случайный набор из всех четырёх наборов длиной 12 символов уже обеспечивает высокую энтропию, поэтому чрезмерное усложнение (например, повторяющиеся паттерны) не добавляет реальной защиты.

Случайные последовательности vs фразы-пароли

Случайно сгенерированная строка типа G7$qZ9&mL2! трудно запомнить, но её можно хранить в менеджере паролей. Фраза‑пароль, составленная из несвязанных слов (правильный‑лошадь‑батарея‑скрепка), легче запоминается и при достаточной длине обеспечивает сравнимую энтропию. Главное — избегать известных цитат, пословиц или комбинаций из личной информации (даты рождения, кличек питомцев).

Как сгенерировать пароль

Надёжный генератор должен работать локально, без передачи данных в сеть. В большинстве менеджеров паролей (KeePass, Bitwarden, 1Password) есть встроенный генератор, позволяющий задать длину и набор символов. Если менеджер недоступен, можно использовать утилиты командной строки (openssl rand -base64 12) или онлайн‑генераторы только в том случае, если вы уверены в их надёжности и не планируете вводить полученный пароль в важные системы.

Для фразы‑пароля применим метод Diceware: бросая пять кубиков six‑сторонних, получаете число от 11111 до 66666, которое соответствует слову из заранее подготовленного списка. Повторяя процесс пять‑шесть раз, получаете фразу достаточной длины.

Где хранить пароль

Пароль не должен храниться в открытом виде в файлах, заметках на рабочем столе или в письмах. Надёжные варианты:

• Менеджер паролей с мастер‑паролем, который вы знаете только вы.
• Зашифрованная заметка в самом менеджере или в защищённом контейнере (например, зашифрованный текстовый файл с помощью GPG).
• Физический носитель (листок бумаги)Stored в надёжном месте (сейф, закрытый ящик) и доступный только вам.

Избегайте сохранения пароля в том же каталоге, где находится архив, потому что при компрометации каталога злоумышленник получит и архив, и пароль.

Чего избегать при выборе пароля

• Использование личных данных: даты рождения, имена, клички, номера телефонов.
• Последовательных клавиш на клавиатуре (qwerty, asdfgh).
• Повторяющихся символов (aaaaaa, 111111).
• Один и тот же пароль для нескольких архивов или сервисов.
• Короткие пароли (<8 символов), даже если они кажутся сложными.
• Запись пароля в открытый облачный документ без дополнительного шифрования.

Как проверить надёжность уже выбранного пароля

Оценка энтропии можно выполнить локально с помощью специализированных программ (например, pwscore из пакета libpwquality или онлайн‑калькуляторы, которые работают в браузере без отправки данных на сервер). Введите пароль и получите оценку в битах; значение выше 60 битов обычно считается достаточным для защиты от перебора при текущих вычислительных возможностях.

Никогда не вводите свой реальный пароль в сторонние онлайн‑сервисы, которые обещают «проверить надёжность», если вы не уверены, что они не сохраняют введённые данные.

Когда пароль недостаточен: дополнение ключ‑файлом

Некоторые архиваторы позволяют использовать одновременно пароль и ключ‑файл. Ключ‑файл — это любой бинарный файл (изображение, документ), который добавляет дополнительную энтропию к ключу шифрования. Такой подход полезен, если:

• Вы опасаетесь, что пароль может быть подобрано методом перебора.
• Вы хотите разделить знание о доступе между несколькими людьми (один знает пароль, другой хранит ключ‑файл).

Ключ‑файл следует хранить отдельно от пароля и архива, ideally на другом носителе (например, на USB‑накопителе в сейфе). Потеря ключ‑файла делает архив недоступным, поэтому сделайте его резервную копию в надёжном месте.

Практические шаги по защите архива

1. Определите, какие файлы необходимо архивировать и сжимать.
2. Выберите архиватор, поддерживающий AES‑256 (например, 7‑Zip).
3. Сгенерируйте пароль длиной не менее 12 случайных символов или фразу‑пароль из пяти‑шести слов Diceware.
4. При необходимости создайте ключ‑файл и сохраните его в отдельном безопасном месте.
5. Создайте архив, указав выбранный пароль и, если используете, путь к ключ‑файлу.
6. Проверьте, что архив действительно запрашивает пароль при попытке извлечения.
7. Сохраните пароль в менеджере паролей или зашифрованной заметке; ключ‑файл — в отдельном защищённом месте.
8. Сделайте резервную копию архива на другом носителе и periodically проверяйте её целостность.

Типичные ошибки и их последствия

• Использование даты рождения в качестве пароля → лёгкий перебор по известным личным данным.
• Хранение пароля в том же каталоге, что и архив → при краже каталога злоумышленник получает оба элемента.
• Повтор использования одного пароля для множества архивов → компрометация одного архива угрожает всем остальным.
• Зависание на «сложных» но коротких паролях (<8 символов) → недостаточная энтропия даже при разнообразии символов.
• Отсутствие резервной копии ключ‑файла → постоянная потеря доступа к архиву при его утере.

Что делать дальше

Главный принцип: пароль должен быть достаточно длинным, непредсказуемым и храниться отдельно от архива. После создания архива проверьте, что он действительно требует ввода пароля, и убедитесь, что ваш метод хранения пароля (или пароля + ключ‑файла) надёжен и доступен только вам. Регулярно обновляйте пароли, если вы подозреваете их компрометацию, и всегда держите резервные копии важных архивов в отдельном месте.