Mida tähendab tugev parool tegelikult

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, miks pikkus ja ainulaadsus on olulisemad kui veidrad märgid, ja mida ütleb kehtiv NIST-i paroolijuhend.

Põhimõisted: pikkus, entroopia, paroolilause, sõnastikurünnak, jõurünnak (brute force), korduvkasutus, kohustuslik vahetamine

Kuidas parooli murtakse

Kui mõelda "parooli murdmisele", kujutavad paljud ette kedagi, kes istub su sisselogimislehel ja arvab. See juhtub, aga see pole suurim oht. Hea sisselogimisleht aeglustab pärast mitut valet katset või blokeerib ajutiselt. Uksest sisse arvamine on seega aeglane.

Ohtlikum on võrguühenduseta murdmine. Veebileht ei salvesta sinu parooli ennast (kui kõik on korras), vaid räsi: omamoodi sõrmejälje, millest parooli otse tagasi arvutada ei saa. Kui veebipoe andmebaas lekib, on ründajal need sõrmejäljed oma arvutites. Seal pole mingit piirangut. Ta proovib nii palju paroole kui tema riistvara jaksab ja võrdleb iga tulemust lekkinud sõrmejäljega.

Selleks kasutab ta kahte meetodit:

• Sõnastikurünnak: kõigepealt kõik, mida inimesed sageli valivad. Nimekirjad miljonite varasematest lekketest pärit pärisparoolidega, sõnastike sõnad, nimed, kohanimed, aastaarvud. Koos kindlate reeglitega: suurtäht ees, aastaarv taga, hüüumärk lõpus, a saab @-ks, o saab 0-ks.
• Jõurünnak (brute force): seejärel kõik võimalikud märgikombinatsioonid, lühikesest pikani.

Parool nagu Suvi2026! näib tugev: suurtäht, numbrid, kirjavahemärk, kümme tähemärki. Aga see on täpselt see muster, mis neis reeglites peitub: sõna, aastaarv, märk. Selline parool murdub juba esimeses voorus, kaua enne jõurünnaku algust.

Pikkus võidab veidrad märgid

Parooli tugevus sõltub sellest, mitut võimalust peab ründaja proovima. Selle arvutad nii: võimalike märkide arv astmel pikkus.

Tavalisel klaviatuuril on 95 tähemärki, mida saab trükkida (suur- ja väiketähed, numbrid, kirjavahemärgid ja tühik). Juhuslikul 8 tähemärgiga paroolil on seega 95 astmel 8 võimalust: umbes 6,63 × 10^15. See tundub palju, aga kiire riistvara ja nõrga salvestusviisi korral on see päevadega läbi käidud.

Iga lisamärk korrutab võimaluste arvu 95-ga. Lisatüüp märke (näiteks kirjavahemärkide lisamine ainult tähtedele) korrutab baasi vaid veidi. Seetõttu annab pikkus palju rohkem juurde kui keerukus.

Viimane veerg on entroopia: mõõt selle kohta, kui ettearvamatu miski on, väljendatuna bittides. Lihtsalt öeldes: iga lisabitt kahekordistab ründaja töö. 65-bitine parool maksab seega mitte veidi, vaid umbes 4000 korda rohkem tööd kui 53-bitine.

Tähtis: need numbrid kehtivad ainult siis, kui parool on valitud tõeliselt juhuslikult. Parool, mille sina ise välja mõtled, ei ole peaaegu kunagi juhuslik. Pagarikoda2026! on kolmteist tähemärki pikk, kuid oma mustrilt leidub see igas murdmisnimekirjas.

Paroolilause

Paroolilause on parool, mis koosneb mitmest eraldiseisvast sõnast, näiteks viiest või kuuest. Eelis: pikk, kuid siiski meeldejäetav ja trükitav. Madalmaade NCSC soovitab valida neli kuni kuus sõna, millel pole omavahel pistmist, ja ütleb, et pikk lause ainult väiketähtedega on turvalisem kui lühike parool, milles on kõiki tähemärgiliike.

Paroolilause on tugev ainult siis, kui sõnad on valitud juhuslikult:

• Hea viis: generaator (su paroolihaldurist) või täringud koos sõnastikuga. Tuntud viieтäringu meetod kasutab 7776 sõnast koosnevat nimekirja, sest 6 astmel 5 on täpselt 7776. Sellise nimekirja koostajad soovitavad enamikuks kasutuseks kuut sõna.
• Halb viis: tuntud lause, laulusõnad, vanasõna või midagi sinu enda kohta. mullemeeldibmukoerbobby on pikk, aga sõnad on omavahel seotud ja neid saab ära arvata inimene, kes sind tunneb või loeb su sotsiaalmeediat.

Paroolilause on ikkagi parool. Kasutad seda ühes kohas ja ei jaga seda kellegagi.

Ainulaadsus on olulisem kui keerukus

Kõige tugevam parool ei aita, kui kasutad seda kahekümnes kohas. Õppetunnis 1.4 nägid credential stuffingut: lekkinud e-posti aadressi ja parooli kombinatsiooni proovitakse automaatselt e-postis, raamatupidamises, veebipoodides ja sotsiaalmeedias. Kui see lekib kõige nõrgemast neist kahekümnest teenusest, on kõik kakskümmend avatud.

Korduvkasutus on seetõttu praktikas suurim nõrkus. Ja "natuke variatsioone" ei loe ainulaadsuseks. Näide!Post ja Näide!Pood on ründaja jaoks, kellel on üks lekkinud parool, paari katsega ära arvatavad.

Lahendus pole meeldejätmine, vaid salvestamine: paroolihaldur loob iga teenuse jaoks pika, juhusliku parooli ja jätab selle sinu eest meelde. Sellest räägib õppetund 2.2. Siis pead meeles pidama vaid paar asja: halduri peaparooli ja võib-olla ka oma arvuti parooli.

Mida ütleb NIST-i juhend

USA instituut NIST (National Institute of Standards and Technology) avaldab kõige tuntuma sisselogimisjuhendi: SP 800-63B. Neljas versioon sai lõpliku kuju 31. juulil 2025. Paljud organisatsioonid kogu maailmas järgivad seda. Olulisimad punktid paroolide kohta:

• Kui parool on sisselogimise ainus viis, siis vähemalt 15 tähemärki. Kui see on osa kaheastmelisest autentimisest, siis vähemalt 8.
• Teenus peab lubama vähemalt 64 tähemärgiga paroole.
• Koostisreegleid ei tohi olla: teenus ei tohi nõuda "vähemalt üht suurtähte, üht numbrit ja üht kirjavahemärki".
• Ei tohi nõuda regulaarset vahetamist. Vahetada tuleb ainult siis, kui on märke, et parool on lekkinud.
• Uusi paroole tuleb kontrollida sageli kasutatavate ja lekkinud paroolide nimekirjade vastu.
• Kleepimine ja paroolihaldurid tuleb lubada.
• Ei tohi olla turvaküsimusi ("su esimese lemmiklooma nimi") ega paroolivihjeid.

Miks kohustuslikku vahetamist enam ei soovitata

Aastaid tuli töökohal valida iga kolme kuu tagant uus parool. Idee oli: varastatud parool töötab siis vaid lühikest aega. Praktikas teevad inimesed nii: Suvi2026! saab Sügis2026!, seejärel Talv2026!. Ründaja, kellel on vana parool, arvab uue ära paari katsega. Ja kes peab pidevalt uut parooli välja mõtlema, valib lühemaid ning kirjutab need sedelile.

Kohustuslik vahetamine teeb paroolid seega ettearvatavamaks. Küll aga vahetad kohe, kui selleks on põhjus: teade lekke kohta, kahtlane sisselogimine, kolleeg, kes lahkub ja teadis parooli, või kui oled selle kogemata kuskile sisestanud.

Praktikas: parooliplaan ühele A4-le

Väikeettevõttele nagu Pagarikoda Example piisab lühikesest korrast:

1. Igal kontol on oma isiklik parool. Mitte ühist sisselogimist aadressile info@example.com, mille parooli teab viis inimest.
2. Paroolid loob paroolihaldur: juhuslikud, vähemalt 15 tähemärki, või paroolilause vähemalt viiest juhuslikult valitud sõnast, mida pead ise trükkima.
3. Mitte kunagi sama parool kahes kohas.
4. Kaheastmeline autentimine (2FA) sisse lülitatud e-postis, raamatupidamises, pangas, majutuses ja domeeniregistreerimises (õppetund 2.3).
5. Vahetamine ainult põhjusega, ja siis kohe.
6. Paroole ei saadeta kunagi e-posti, vestluse teel ega kirjutata ekraanile kleebitud sedelile.

Ka su majutuspaneel järgib seda joont. WebOké keskkonnas saad näiteks DA-parooli ja postkastide puhul lasta luua juhusliku parooli; teistes paneelides kannab see nupp sageli nime "Genereeri" või "Generate". Lase sellisel generaatoril alati luua vähemalt 15 tähemärki; sageli saad pikkust ise valida.

Kokkuvõte

• Ründajad murravad paroole peamiselt võrguühenduseta, pärast lekkeid, nimekirjade ja reeglite abil. Ettearvatavad mustrid murduvad kohe.
• Pikkus ja tõeline juhuslikkus annavad palju rohkem juurde kui veidrad märgid. Iga entroopiabitt kahekordistab töö.
• Juhuslikult valitud sõnadest koosnev paroolilause on pikk, kuid siiski meeldejäetav.
• Ainulaadsus on olulisem kui keerukus: korduvkasutus muudab ühe lekke kahekümneks lekkeks.
• NIST SP 800-63B-4: vähemalt 15 tähemärki ainsa teguri korral, koostisreegleid pole, regulaarset vahetamist ei nõuta, küll aga kontrollitakse lekkinud paroolide nimekirjade vastu.

Test

Ülesanne

Ülesanne A2.1: Arvutamine ja hindamine. Sa ei sisesta kuskile oma parooli. Osa 1: arvuta välja, mitu võimalust on paroolilausel ja juhuslikul paroolil (saad teada sõnade ja tähemärkide arvu), kumb kahest on tugevam ja mitu korda. Osa 2: hinda kuut väljamõeldud näidisparooli: ettearvatav, liiga lühike, korduvkasutatud või tugev. Programm kontrollib vastused üle ja annab iga vastuse kohta selgituse.

Loe edasi

WebOké artiklites toodud sammud kehtivad WebOké keskkonnas; teiste pakkujate juures töötab see sarnaselt.

• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• Kuidas muuta oma e-posti aadressi parooli või limiite?
• Madalmaade NCSC, Nõuanded tugeva parooli väljamõtlemiseks: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Madalmaade NCSC, Neli sammu oma paroolide turvalisemaks muutmiseks: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (inglise keeles): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (inglise keeles, täringutega loodud sõnastik): https://www.eff.org/dice