Jak vytvořit silné heslo?

NumGener ·

Silné heslo je takové, které útočník nedokáže uhodnout v žádném reálném čase — a které jste nepoužili nikde jinde. Krátká a předvídatelná hesla se dají snadno odhadnout a znovupoužité heslo útočníci po úniku zkoušejí na dalších službách; obě tyto slabiny lze snadno odstranit. Silné heslo však neochrání před vším: nezastaví phishingovou stránku ani malware, a proto se závěrečné kroky níže netýkají samotného hesla. Tento článek nabízí nejprve stručný postup a poté vysvětluje, proč jednotlivé kroky fungují.

Stručný postup

  1. Heslo generujte, místo abyste je vymýšleli: zvolte 16 znaků nebo více, kdekoli to web umožňuje.
  2. Využijte všechny druhy znaků, které web přijímá: velká a malá písmena, číslice a symboly.
  3. Uložte si je do správce hesel.
  4. Používejte je pouze pro jeden účet.
  5. Zapněte dvoufázové ověření nebo přístupový klíč (passkey), pokud jej služba nabízí, a bezpečně uschovejte záchranné kódy.

Co dělá heslo silným

Rozhodují o tom tři vlastnosti. Délka: každý další náhodný znak násobí počet kombinací, které útočník musí vyzkoušet. Náhodnost: heslo je jen tak silné, jak silný byl proces jeho vzniku, takže dvanáct znaků vybraných strojem je mnohem silnějších než dvanáct znaků tvořících jméno a rok. Jedinečnost: heslo použité na dvou různých webech je chráněno pouze na úrovni toho slabšího z nich, protože hesla uniklá z jedné služby se běžně zkoušejí na všech ostatních.

Síla se měří v bitech entropie a každý další bit zdvojnásobuje počet potřebných pokusů o uhodnutí. Znak náhodně vybraný ze 62 možností — latinských písmen a–z a A–Z a číslic 0–9, všech se stejnou pravděpodobností — přidává přibližně 6 bitů, takže 12 takových znaků poskytuje zhruba 71 bitů a 16 znaků zhruba 95 bitů. Tato čísla platí pouze tehdy, když je každý znak vybrán nezávisle a náhodně; neříkají nic o heslu, které si člověk vymyslel sám. Na stupnici, kterou náš generátor zobrazuje pro vytvořená hesla, je 60 bitů rozumná hodnota pro běžný účet, 80 bitů je silná ochrana a 100 bitů leží mimo praktické možnosti útoku hrubou silou (brute force) při dnešním hardwaru. Jde o orientační body, nikoli o normu: to, jak dlouho heslo v praxi odolá, závisí také na způsobu uložení ve službě a na použitém typu útoku.

Proč běžné triky nefungují

Lidé volí hesla pozoruhodně podobnými způsoby a nástroje pro prolamování hesel jsou na tyto zvyklosti přímo stavěny:

Společnou chybou je, že sledují předvídatelné vzorce lidského uvažování. Pravidla, která mají vynutit složitost — symbol, číslice, nové heslo každých 90 dní — tlačí uživatele přesně k těmto vzorcům. Proto aktuální doporučení NIST radí službám, aby nevynucovaly formální pravidla pro skladbu znaků ani povinné pravidelné změny a namísto toho nová hesla porovnávaly se seznamy uniklých hesel.

Heslo, které musíte zadávat sami: použijte přístupovou frázi

Několik hesel musíte zadávat bez správce hesel po ruce: hlavní heslo k samotnému správci, přihlášení do počítače nebo telefonu a v mnoha případech i heslo k hlavnímu e-mailovému účtu. Pro tyto účely použijte přístupovou frázi (passphrase) — několik náhodně vybraných slov, nikoli větu, kterou jste sami vymysleli. Klasickou metodou je Diceware a organizace EFF publikuje seznamy slov vytvořené přímo pro tento účel; použijte ten s názvem EFF Long Wordlist v angličtině:

  1. Otevřete seznam: obsahuje 7 776 slov, z nichž každé je očíslováno pěti číslicemi od 1 do 6.
  2. Hoďte běžnou šestistěnnou kostkou pětkrát (nebo pěti kostkami najednou a čtěte je zleva doprava) a zapište těchto pět číslic v daném pořadí.
  3. Vyhledejte slovo s tímto číslem.
  4. Opakujte postup, dokud nezískáte šest slov.
  5. Ponechte slova přesně tak, jak vyšla, i kdyby se některé opakovalo nebo byste si vybrali hezčí. Pro zapamatování si k nim vytvořte představu nebo příběh — aniž byste měnili slova či jejich pořadí.

Každé slovo přidává přibližně 12,9 bitu, takže pět slov poskytuje zhruba 65 bitů a šest přibližně 78 bitů, přičemž šest běžných slov se pamatuje a píše mnohem snáze než řetězec symbolů o stejné síle. Funguje to za dvou podmínek. Slova musí být vybrána náhodně, protože úryvek z písně nebo oblíbený citát se již nachází ve slovnících útočníků; ze stejného důvodu nikdy nepoužívejte frázi, kterou jste kdekoli viděli jako příklad. A fráze se nesmí opakovat: jedna přístupová fráze pro jedno místo.

Všechna ostatní hesla: nechte si je vygenerovat

U desítek účtů, jejichž hesla nikdy nezadáváte ručně, není důvod cokoli vymýšlet. Náš generátor silných hesel vytváří každé heslo přímo ve vašem prohlížeči pomocí Web Crypto API a nikdy se neodesílá na server. Nastavte položku Délka na 16 nebo více znaků, zvolte druhy znaků, které web přijímá, a stiskněte tlačítko Generovat; odhad entropie pod výsledkem ukazuje sílu v bitech. Volba Bez podobných znaků odstraní znaky, které se dají snadno zaměnit (Il1O0o), pokud je třeba heslo přečíst nahlas nebo opsat z obrazovky, a pole Počet vytvoří celý seznam, když nastavujete více účtů najednou.

Některé weby stále omezují délku nebo zakazují určité symboly. Pokud web výsledek odmítne, vypněte pouze ty druhy znaků, které zakazuje, a délku zachovejte; heslo zkraťte pouze tehdy, když web délku opravdu striktně omezuje. V žádném případě se nevracejte k vymyšlenému heslu: náhodné heslo o 12 znacích je stále mnohem lepší než heslo rádoby důmyslné.

Kam hesla ukládat

Jedinečné náhodné heslo pro každý účet se nejsnáze uchovává ve správci hesel: bezpečně je uloží, automaticky vyplní a mnoho správců vás také varuje, pokud se některé z hesel objeví ve známém úniku dat. Pamatujete si pak pouze jednu přístupovou frázi namísto stovky hesel. Pokud správce používat nechcete, sešit uložený na bezpečném místě doma, mimo dohled návštěv, představuje menší riziko než opakované používání hesel. Co naopak nefunguje, je textový soubor na ploše, poznámka v chatovací aplikaci nebo lístek nalepený na monitoru v práci.

Stručný kontrolní seznam

Chcete-li pochopit, proč tato pravidla existují, přečtěte si článek jak se prolamují hesla. Další články naleznete v našich materiálech o heslech.