Требования к паролям по NIST 2026: что изменилось

Стандарты NIST SP 800-63B: что изменилось

Национальный институт стандартов и технологий США (NIST) пересмотрел рекомендации по паролям. Многие привычные правила оказались контрпродуктивными.

Главные изменения

1. Длина важнее сложности

**Старый подход**: минимум 8 символов, обязательны цифры, спецсимволы, смешанный регистр.

**Новый NIST**: минимум 8 символов, но **рекомендовано 15+**. Сложность обязательной не является, если пароль достаточно длинный.

Почему? «Tr0ub4dor&3» легче взломать брутфорсом, чем «correct horse battery staple» (32 символа, запоминается).

2. Никакой принудительной ротации

**Старый подход**: менять пароль каждые 90 дней.

**Новый NIST**: менять пароль **только при компрометации**. Принудительная ротация заставляет использовать слабые, предсказуемые пароли (Password1! → Password2! → Password3!).

3. Запрет подсказок и «секретных вопросов»

Подсказки и вопросы (девичья фамилия матери, кличка питомца) легко угадываются через социальные сети.

4. Проверка по базам утечек

При создании пароля нужно проверять его по базам известных утечек (Have I Been Pwned). Скомпрометированные пароли запрещаются.

5. Никаких запретов на символы

Все Unicode-символы разрешены, включая пробелы и эмодзи.

Практические рекомендации

Типы атак на пароли

Создайте надёжный пароль

Генератор паролей создаёт криптографически случайные пароли любой длины и состава.

Смотрите также: Проверка надёжности пароля, Хэш-генератор, Генератор UUID