Шестнадцать символов для двух разных задач
Первая задача — вход в банк или в другой сервис, где цена ошибки высокая, а поле принимает длинную строку. Шестнадцать случайных знаков из букв, цифр и символов дают около 100 бит. Полный перебор при десяти миллиардах попыток в секунду не укладывается в человеческую жизнь. Это уже не «посложнее двенадцати», а другой порядок величины: каждый лишний символ умножает работу, а не прибавляет её.
Вторая задача — мастер-пароль менеджера. Он открывает все остальные пароли сразу. Его нельзя совмещать с банковским: если банк утечёт, вместе с ним откроется хранилище. Сгенерируйте здесь две разные строки и подпишите в менеджере, какая для чего. Сам мастер-пароль в облако менеджера обычно не уходит в открытом виде, но помнить его всё равно придётся. Если запомнить 16 случайных знаков нереально, возьмите парольную фразу из пяти-шести слов: она длиннее и произносится.
Когда банк не принимает знаки
Часть мобильных банков ругается на #, кавычки и пробел, хотя в подсказке просит «сложный пароль». Снимите галочку спецсимволов и оставьте буквы разного регистра и цифры. Шестнадцать таких знаков всё ещё около 95 бит — для входа в банк этого достаточно. Не укорачивайте строку до восьми, чтобы «влезли знаки»: короткая строка со знаками слабее длинной без них.
Повседневные аккаунты, где потеря менее болезненна, нормально живут на 12 символах. Восемь — только если форма режет длину, см. генератор из 8 символов. Для роутера лучше отдельный пароль без похожих букв: его набирают с телефона, об этом страница Wi-Fi.
Куда деть строку после копирования
Вставьте пароль в менеджер сразу, пока он в буфере. Буфер обмена другие программы могут прочитать, поэтому после сохранения имеет смысл скопировать что-нибудь безобидное поверх. На бумажке у монитора шестнадцать случайных знаков всё равно не запомнить без ошибки, а фото экрана с паролем потом находится в облаке телефона.
Перед тем как поставить строку на важный аккаунт, проверьте её на странице надёжности и в известных утечках. Случайная строка почти наверняка чистая, но проверка занимает секунду. Как устроен мастер-пароль и зачем он один, а не «один пароль на всё», написано в статье о менеджерах паролей.
Вопросы про пароль из 16 символов
Нет. Это разные секреты. Утечка банка не должна открывать хранилище, а компрометация мастер-пароля не должна совпадать с паролем карты или личного кабинета.
Да, если оставить 16 букв разного регистра и цифры. Снимите галочку знаков и сгенерируйте заново. Укорачивать строку не нужно.
Мастер-пароль менеджера запоминают, остальные — нет. Если случайные 16 знаков не запоминаются, используйте парольную фразу из нескольких слов той же стойкости.