Спросите аудиторию IT-специалистов, как создать надёжный пароль, и большинство повторят один и тот же рецепт: заглавные буквы, строчные буквы, цифра, символ, менять каждые 90 дней, никогда не записывать. Теперь попросите их действительно создать пароль под таким давлением. То, что получится, почти всегда будет одной и той же формы — время года, год, восклицательный знак. Summer2024! — не надёжный пароль. Это то, что получается из рецепта, когда человек честно ему следует.
Этот разрыв между правилом и результатом — суть CISSP (Certified Information Systems Security Professional), а именно его домена «Управление идентификацией и доступом». Экзамен проверяет не то, можете ли вы запомнить рецепт. Он проверяет, понимаете ли вы, почему от рецепта отказались, что пришло ему на смену и как защитить замену перед менеджером, который до сих пор считает записанный пароль грехом.
Что на самом деле произошло, когда правило сложности встретилось с реальными пользователями
Представьте среднюю компанию, внедряющую новую парольную политику в начале 2025 года. Минимум восемь символов, все четыре класса символов, смена каждые 90 дней, запрет повторного использования последних пяти. На бумаге — учебник по безопасности. Через полгода служба поддержки тонет в сбросах, а пароли в реальной жизни выглядят так:
Qwerty2025!Company2025!Winter2025!Password1!
Каждый из них технически удовлетворяет политике. Каждый из них падает в первые минуты словарной атаки с правиловым искажением, потому что искажение было построено именно для того, чтобы пробовать слова с заглавной буквы, за которыми следует год и символ. Политика не сделала пароли непредсказуемыми. Она сделала их предсказуемыми по-новому, единообразно.
Более глубокая проблема — арифметика. Восьмисимвольный пароль, выбранный из полного набора 94 символов клавиатуры, на бумаге выглядит так, будто обладает огромной энтропией. На практике пользователи не выбирают случайно из 94 символов — они выбирают из словаря, возможно, в несколько тысяч слов плюс несколько преобразований. Эффективное пространство поиска сжимается от астрономического до чего-то, что потребительский GPU пережёвывает.
Модель, пришедшая на смену: длина, проверка и медленное хеширование
Специальная публикация NIST 800-63B, руководство по цифровой идентификации, на которое теперь ссылается большинство современных систем идентификации, сделала тихий, но радикальный сдвиг. Она отменила обязательные правила композиции и периодическую принудительную смену для запоминаемых секретов. Вместо них — три идеи: Подробнее — в статье «Цифровая гигиена и приватность: пароли, двухфакторная защита и шифрование — практическое руководство по личной безопасности в сети».
- Энтропия на основе длины. Парольная фраза из четырёх-шести случайно выбранных слов превосходит короткую «сложную» строку на порядки против перебора, потому что пространство поиска — это словарь, возведённый в степень количества слов, а не количества символов.
- Проверка по спискам утечек. Когда пользователь устанавливает или меняет пароль, система проверяет кандидата по известным скомпрометированным корпусам — Have I Been Pwned является наиболее широко используемым публичным источником — и отклоняет всё, что уже появлялось в утечке.
- Медленное хеширование с ограничением скорости. Пароли хранятся с использованием адаптивных алгоритмов, таких как bcrypt или Argon2, с настроенным коэффициентом стоимости, так что даже украденная база данных дорога для офлайн-атаки.
Обратите внимание, что общего у всех трёх: ни одна из них не зависит от дисциплинированности пользователя. Это меры, которые применяет система. Именно этот сдвиг поощряет образ мышления CISSP — от обвинения человека к проектированию системы так, чтобы естественное поведение человека было безопасным.
Парольная фраза против пароля, в цифрах, которые можно проверить самостоятельно
Возьмите подход diceware: шесть слов, выбранных равномерно из списка в 7 776 слов. Количество комбинаций — 7 776 в шестой степени, что примерно 1,8 × 10²³. Даже при миллиарде попыток в секунду против быстрого хеша это порядка миллионов лет. Теперь возьмите восьмисимвольный пароль с правилом четырёх классов. Если пользователь выбирает словарное слово, делает первую букву заглавной, добавляет год и символ, реальная энтропия ближе к энтропии базового слова плюс несколько бит — часто меньше 30 бит, что целеустремлённый атакующий исчерпывает за часы.
Парольную фразу также легче набирать и запоминать, что важнее, чем люди признают: мера, которую никто не соблюдает, не является мерой.
Где совет «никогда не записывать» ломается
Вот сценарий, который разыгрывается постоянно. Сотрудник, осведомлённый о безопасности, следует каждому правилу, запоминает разные сложные пароли для двадцати сервисов и в конце концов повторно использует три из них, потому что память имеет пределы. Человек, который записывает парольную фразу на стикере в запертом ящике и использует менеджер паролей для всего остального, в большинстве реалистичных моделей угроз безопаснее.
Угроза, от которой вы защищаетесь, — не вор, читающий ваш стол. Это подстановка учётных данных — автоматизированное воспроизведение утёкших пар имя/пароль по сервисам — и фишинг. Ни то, ни другое не заботится о вашем стикере. Оба чрезвычайно заботятся о том, повторно ли вы использовали пароль и есть ли у вас устойчивая к фишингу многофакторная аутентификация.
Именно эта часть удивляет новичков в домене: единственная мера с наибольшим рычагом для остановки кражи учётных данных — вовсе не пароль. Это устойчивая к фишингу MFA — аппаратные ключи безопасности или passkeys, привязанные к источнику, которые просто не могут быть переданы на похожий сайт атакующего так, как это может быть сделано с SMS-кодом или push-уведомлением.
Пошаговый разбор: аудит политики, которая выглядит нормально
Представьте, что вам поручили проверить вышеуказанную парольную политику. Вот порядок, в котором на самом деле работает практик, и что ломается на каждом шаге, если его пропустить.
Шаг первый — прочитайте политику в свете стандарта. Всё ещё требует правил композиции и 90-дневной смены? Если да, она не соответствует NIST SP 800-63B и активно генерирует предсказуемые пароли.
Шаг второй — проверьте хранение. Пароли хешируются с bcrypt или Argon2, или с чем-то быстрым, вроде простого SHA-256? Если последнее, никакая длина пароля не спасёт вас, как только база данных утечёт, потому что скорость угадывания атакующего не ограничена.
Шаг третий — проверьте проверку. Отклоняет ли система пароли, которые появляются в списках утечек, в момент установки? Эта единственная мера ловит большинство семейства Summer2024! до того, как оно вообще дойдёт до продакшена.
Шаг четвёртый — проверьте MFA. Она устойчива к фишингу или это SMS-код, который побеждается подменой SIM-карты или прокси в реальном времени? Здесь находится наибольшее снижение риска, и обычно именно здесь уделено меньше всего внимания.
Пропустите шаг второй, и вы построили красивую политику поверх базы данных, которая дарит атакующим бесплатную сессию офлайн-взлома. Пропустите шаг четвёртый, и вы укрепили входную дверь, оставив окно открытым.
Как освоить это правильно, и компромиссы каждого пути
Вы можете почерпнуть механику парольных фраз и менеджеров паролей из хорошего поста в блоге. Что сложнее получить самостоятельно — это суждение: знание, какую меру приоритизировать, когда менеджер просит «самый безопасный вариант», а вам нужно взвесить удобство, стоимость и фактическую модель угроз. Именно это суждение и тренируют домены CISSP.
Самостоятельное обучение дёшево и гибко, но у него есть конкретный режим отказа: вы читаете шаблон политики, киваете и так и не обнаруживаете, что ваша версия провалила бы аудит, потому что никто не проверил ваши рассуждения. Практические вопросы помогают, но только если кто-то — или что-то — говорит вам, почему ваш ответ был неправильным, а не просто что он был неправильным.
Структурированный курс закрывает этот пробел, давая обратную связь по вашим решениям. Формат с адаптацией ИИ на asibiont.com персонализирует путь под ваш существующий опыт, так что человек с сетевым опытом не сидит над основами контроля доступа, которые он уже знает, а человек, пришедший со службы поддержки, получает нужную глубину по архитектуре. Это один из нескольких маршрутов — самостоятельное обучение плюс учебная группа или формальный курс с инструктором одинаково valid в зависимости от вашего бюджета и того, сколько внешней структуры вам нужно.
Кому подходит этот путь, а кому нет
Материал CISSP вознаграждает людей, у которых уже есть некоторый опыт в безопасности или IT-операциях, потому что домены предполагают, что вы видели реальный инцидент, реальный аудит или реальный спор о политике. Если вы совершенно новичок в области, концепции покажутся абстрактными — вам лучше сначала наработать практический опыт и вернуться к этому позже.
Если вы менеджер, аудитор или архитектор, которому нужно рассуждать об идентификации и доступе как о системе, а не как о наборе правил для заучивания, это хорошо подходит. Если вы хотите быть человеком, который пишет эксплойты, вам лучше послужит другой путь.
Что вынести
Рецепт, которому вас учили — смешивайте классы символов, меняйте каждые 90 дней, никогда не записывайте — был прокси, который перестал работать в тот момент, когда атакующие научились моделировать человеческое поведение. То, что пришло на смену, проще и сильнее: длинные парольные фразы, проверка по спискам утечек, медленное хеширование и устойчивая к фишингу MFA. Настоящий навык — не запоминание новых правил; это понимание, почему они работают, и способность защитить это рассуждение в комнате, полной людей, которые всё ещё верят в старые.
Именно это рассуждение и тренируют домены CISSP, а курс проходит через эти решения с проработанными примерами и даёт обратную связь по вашим ответам, а не оставляет вас гадать. Если вы хотите построить это суждение правильно, детали и запись — на странице CISSP — сертифицированный специалист по информационной безопасности. Подробнее — в статье «Профессия: Специалист по кибербезопасности — полный путь в информационную безопасность, где он ломается и как избежать ошибок».