[{"data":1,"prerenderedAt":171},["ShallowReactive",2],{"publication:ru:P197":3},{"meta":4,"copy":19,"relatedArticles":135,"terms":163,"term":164,"resourceParent":165,"glossaryParent":168},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":10,"description":11,"incoming":12,"updated":16,"widget":17,"preparedOn":18},"P197","\u002Fblog\u002Fwhy-passwords-fail-entropy-vs-mfa","article","почему пароля недостаточно 2fa","Сильный пароль, passkeys и MFA: от чего защищает каждый способ","Энтропия паролей, passkeys и MFA: сравнение","Чем отличаются перебор, фишинг и кража сессии. Когда синхронизируемые passkeys подходят для AAL2 и что NIST требует для AAL3.",[13,14,15],"\u002Fservices\u002Faccess-2fa-audit","\u002Fblog\u002Fworkspace-mfa-setup","\u002Fblog\u002Fpassword-manager-business","2026-10-30","password-entropy","2026-11-06",{"intro":20,"sections":21,"checklistTitle":80,"checklist":81,"faq":88,"sources":98,"links":114,"cta":130},"Чем выше энтропия случайно сгенерированного пароля, тем труднее его подобрать. Фишинговая страница всё равно может получить пароль, а вредоносная программа может украсть сессию уже после входа. Выбор способа входа зависит от того, от какой угрозы нужно защититься.",[22,27,32,37,42,75],{"title":23,"paragraphs":24},"Что энтропия говорит о стойкости к перебору",[25,26],"Энтропия зависит от способа генерации. Если независимо выбрать 18 символов из алфавита из 62 символов, получится около 107 бит. Пароль такой же длины, придуманный человеком, может оказаться гораздо предсказуемее.","Перебор через форму входа зависит от ограничений числа попыток. При офлайн-переборе важны алгоритм хеширования или выработки ключа и ресурсы атакующего.",{"title":28,"paragraphs":29},"Что защищает фраза Diceware",[30,31],"В длинном списке EFF 7776 слов. Шесть независимо выбранных случайных слов дают около 77,5 бита. Скопированный пример или придуманную фразу по этой формуле оценивать нельзя.","Фразу можно перехватить при вводе или копировании. Вредоносная программа также может украсть уже открытую сессию браузера.",{"title":33,"paragraphs":34},"Что происходит, если код входа приходит на почту",[35,36],"Доступ к уже открытой почте может дать атакующему код входа или восстановления. NIST не допускает почту как отдельный канал аутентификации и рассматривает восстановление отдельно.","TOTP на отдельном устройстве может уменьшить риск при заражении компьютера. Фишинговая страница всё равно может передать введённый пользователем код настоящему сервису.",{"title":38,"paragraphs":39},"Как passkeys и ключи безопасности защищают от фишинга",[40,41],"WebAuthn привязывает ключ к сервису. Сайт-двойник не может использовать ключ, выданный для настоящего сайта, чтобы войти в аккаунт на нём.","Некоторые passkeys синхронизируются между устройствами. Они могут соответствовать AAL2 при выполнении требований NIST. Для AAL3 нужен неэкспортируемый закрытый ключ и выполнение остальных требований. Подходящий аппаратный ключ может использоваться в такой конфигурации. Кража открытой сессии остаётся отдельной угрозой.",{"title":43,"paragraphs":44,"table":45},"Сравнение способов входа по уровням NIST",[],{"caption":46,"headers":47,"rows":52},"Устойчивость к фишингу и краже сессии",[48,49,50,51],"Способ входа","Устойчивость к фишингу","При краже сессии браузера","NIST SP 800-63B-4",[53,58,62,66,69,72],[54,55,56,57],"Только пароль","Пароль можно перехватить","Сессию можно использовать повторно","Может соответствовать AAL1",[59,60,56,61],"Пароль + код на почту","Код можно перехватить","Почта не допускается как отдельный канал аутентификации",[63,64,56,65],"Пароль + SMS-код","Код можно переслать","Метод с ограничениями, возможен AAL2 при выполнении условий",[67,64,56,68],"Пароль + TOTP","Возможен AAL2 при выполнении условий",[70,71,56,68],"Синхронизируемый passkey","Вход устойчив к фишингу",[73,71,56,74],"FIDO2 с неэкспортируемым ключом","Возможен AAL3 при выполнении всех требований",{"title":76,"paragraphs":77},"Как выбрать способ входа для каждого аккаунта",[78,79],"Для администраторов отдавайте предпочтение входу, устойчивому к фишингу. Проверьте и сам ключ, и настройки сервиса. Заранее испытайте запасной способ входа.","Запишите порядок восстановления и отзыва сессий при потере устройства. Там, где passkeys недоступны, TOTP добавляет второй фактор с описанными выше ограничениями.","Чеклист проверки аутентификации и входа",[82,83,84,85,86,87],"Суперадминистраторы защищены аппаратными токенами FIDO2 (YubiKey) с резервным ключом","Для всех рабочих аккаунтов исключена доставка одноразовых кодов на рабочую почту","SMS-верификация отключена везде, где поддерживаются TOTP или Passkeys","Проверено, какие passkeys синхронизируются и какие ключи должны оставаться на устройстве.","Аварийные коды восстановления распечатаны и хранятся офлайн в изолированном месте","Проверен регламент отзыва сессий и смены методов при потере сотрудником устройства",[89,92,95],{"question":90,"answer":91},"Почему NIST ограничивает вход через SMS?","Атакующий может перехватить сообщения, получив контроль над номером. Проверьте альтернативы и требования NIST, если используете SMS.",{"question":93,"answer":94},"Безопасно ли хранить генератор TOTP в том же менеджере паролей?","Если кто-то получит доступ к одному хранилищу, он может забрать оба секрета. Для привилегированных аккаунтов рассмотрите раздельное хранение и проверьте поддержку входа, устойчивого к фишингу.",{"question":96,"answer":97},"Что делать при потере сотрудником телефона с приложением 2FA?","Процедура восстановления должна опираться на резервный канал администратора: верификацию личности, сброс прежнего метода через консоль управления и немедленный принудительный отзыв всех активных сессий.",[99,102,105,108,111],{"label":100,"url":101},"NIST SP 800-63B-4: authentication assurance levels","https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b\u002Faal\u002F",{"label":103,"url":104},"NIST SP 800-63B-4: syncable authenticators","https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b\u002Fsyncable\u002F",{"label":106,"url":107},"NIST SP 800-63B-4: authenticator requirements","https:\u002F\u002Fpages.nist.gov\u002F800-63-4\u002Fsp800-63b\u002Fauthenticators\u002F",{"label":109,"url":110},"CISA: Cross-Sector Cybersecurity Performance Goals (MFA)","https:\u002F\u002Fwww.cisa.gov\u002Fcpgs",{"label":112,"url":113},"Electronic Frontier Foundation: EFF Diceware Passphrases","https:\u002F\u002Fwww.eff.org\u002Fdice",[115,117,119,121,124,127],{"path":13,"label":116},"Аудит учетных записей и двухфакторной аутентификации",{"path":15,"label":118},"Выбор менеджера паролей для компании",{"path":14,"label":120},"Настройка двухэтапной аутентификации Workspace",{"path":122,"label":123},"\u002Fblog\u002Flost-mfa-device","Восстановление аккаунта при утере устройства 2FA",{"path":125,"label":126},"\u002Fblog\u002Fmicrosoft-365-account-compromise","Расследование компрометации учетной записи",{"path":128,"label":129},"\u002Fblog\u002Femployee-offboarding-access","Отзыв прав и сессий при увольнении сотрудника",{"title":131,"description":132,"button":133,"type":134},"Согласуем аудит доступов и внедрение надежной 2FA","Проверим административные учетные записи, методы восстановления и риски компрометации сессий без передачи паролей.","Обсудить аудит доступов","check",[136,145,151,157],{"id":137,"path":138,"title":139,"description":140,"category":141,"artwork":142,"order":143,"publishedOn":144},"ai-awareness","\u002Fblog\u002Fai-cyber-threats-access-hygiene-employee-awareness","Фишинг с ИИ: как проверять запросы в бизнесе","Фишинг с ИИ использует убедительные сообщения для обмана получателя. Грамотный текст не подтверждает личность отправителя. Запросы на смену реквизитов, выдачу доступа или передачу данных проверяйте по уже известному компании каналу; дополняйте этот порядок MFA, контролем прав и понятным способом сообщить о подозрении.","access","performance",98,"2026-05-07",{"id":146,"path":128,"title":147,"description":148,"category":141,"artwork":141,"order":149,"publishedOn":150},"P052","Как закрыть доступы уволенному сотруднику и сохранить данные","План отключения сотрудника: владельцы данных, учетные записи, сеансы, приложения, общие секреты и проверка результата без потери рабочих материалов.",97,"2026-10-24",{"id":152,"path":14,"title":153,"description":154,"category":141,"artwork":141,"order":155,"publishedOn":156},"P063","Как включить двухэтапную аутентификацию Google Workspace без лишних блокировок","План настройки 2SV в Google Workspace: пользователи, группы, регистрация, методы, восстановление и проверка применения до расширения политики.",88,"2026-10-18",{"id":158,"path":15,"title":159,"description":160,"category":141,"artwork":141,"order":161,"publishedOn":162},"P065","Менеджер паролей для бизнеса: как выбрать и проверить на пилоте","Как сравнить менеджеры паролей по владению, общему доступу, восстановлению и выходу. Пилот на учебных данных до переноса рабочих секретов.",80,"2026-10-10",[],null,{"path":166,"label":167},"\u002Fresources","Материалы и шаблоны безопасности сайта",{"path":169,"label":170},"\u002Fglossary","Словарь кибербезопасности для бизнеса",1794134065507]