Регистрираш се в нов сайт и системата иска парола. Измисляш нещо с главна буква, цифра и удивителен знак, записваш го някъде и след месец не помниш къде. После идва имейл: „паролата ви е в списък с изтекли данни“. Ти не си направил нищо лошо. Просто си използвал същата парола на две места, а едното от местата е било пробито. Темата не е за това колко сложна е паролата, а за това колко места падат заедно с нея. Точно тук започва темата за влизането: сигурността не е качество на паролата, а на системата около нея.
Паролата работи по прост принцип. Сайтът не пази самата парола, а математически отпечатък от нея — низ, от който не можеш да се върнеш обратно. При влизане системата изчислява отпечатъка на това, което си написал, и го сравнява. Ако съвпадат, влизаш. Затова дължината има значение, но още по-голямо значение има какво прави сайтът с отпечатъка, след като го е изчислил. Затова изтичането на база данни не дава паролите директно, а дава отпечатъци, които могат да бъдат разбити с достатъчно изчислителна мощ и достатъчно глупава парола.
Слабото място не е математиката, а човекът. Хората избират пароли, които помнят, а това значи пароли, които са свързани с живота им: име, дата, град, любим отбор. Такива пароли не се разбиват с мислене, а със списък — програма пробва милиони комбинации за минути. Ето защо добрите системи не разчитат на дисциплината на потребителя, а на това, че грешката му не е фатална. Поради това правилата за сложност са по-скоро безполезни: те карат хората да добавят една главна буква и една цифра в края, което не увеличава трудността, а само я прави предвидима.