Требования к защите учетных записей претерпели значительные изменения: от обязательной смены паролей каждые три месяца и использования сложных комбинаций с цифрами и спецсимволами, до отказа от таких практик в пользу более надежных методов. Современные угрозы включают перехват активных сессий, фишинг и использование нейросетей для предсказания слабых паролей, что делает надежность аккаунта зависимой не только от сложности комбинации, но и от способа входа и управления сессиями. В июле 2025 года Национальный институт стандартов и технологий США (NIST) опубликовал обновленные рекомендации SP 800-63B-4, где минимальная длина пароля для единственного фактора аутентификации установлена на уровне 15 символов, а при использовании многофакторной аутентификации допускается минимум восемь символов. Стандарт больше не требует обязательного сочетания строчных и заглавных букв, цифр и специальных знаков, акцентируя внимание на длине и проверке на наличие в базах скомпрометированных данных. Регулярная смена паролей без признаков компрометации также не рекомендуется, так как исследования показывают, что пользователи часто меняют пароли предсказуемо, лишь слегка варьируя символы, что не повышает безопасность.
Вопрос о способности нейросетей взламывать пароли требует уточнения: хотя модели вроде PassGPT и PassLLM демонстрируют высокую эффективность в генерации вероятных комбинаций на основе утечек, они не могут подобрать любой длинный случайный пароль за минуту. Исследования показывают, что успех таких атак зависит от наличия информации о владельце аккаунта, например, имен родственников или дат рождения, что делает пароли, содержащие подобные данные, уязвимыми. Для защиты от перебора и фишинга эксперты рекомендуют использовать менеджеры паролей, которые генерируют и хранят случайные комбинации из 20–24 символов, а также применять парольные фразы для мастер-паролей хранилищ. Важно избегать использования одного пароля для нескольких сервисов и не доверять языковым моделям генерацию паролей, так как они не могут гарантировать криптографическую стойкость.
Системы единого входа (SSO) и единые аккаунты, такие как Яндекс ID или VK ID, предлагают удобство централизованной аутентификации, но требуют повышенной защиты основного аккаунта, включая многофакторную проверку и контроль устройств. В корпоративной среде SSO позволяет управлять доступами сотрудников, однако блокировка учетной записи в центральной системе не всегда мгновенно завершает активные сессии в подключенных приложениях, что создает риски при компрометации провайдента идентификации. Альтернативой традиционным паролям становятся passkey — пары криптографических ключей, привязанных к конкретному сервису и подтверждаемых биометрией или PIN-кодом. Технология passkey устойчива к фишингу, так как ключи не передаются на поддельные страницы, и уже используется в российских сервисах, например, в Яндекс ID, обеспечивая более безопасный вход без необходимости запоминать сложные строки символов.
