Jak stworzyć silne hasło?

NumGener ·

Silne hasło to takie, którego atakujący w praktyce nie odgadnie – i którego nie używasz nigdzie indziej. Odgadywane są hasła krótkie i przewidywalne, a hasło używane w kilku serwisach jest po wycieku sprawdzane w innych serwisach; obie słabości łatwo usunąć. Silne hasło nie chroni przed wszystkim: nie zatrzyma strony phishingowej ani złośliwego oprogramowania, dlatego ostatnie kroki poniżej nie dotyczą już samego hasła. Najpierw znajdziesz krótką odpowiedź, a potem wyjaśnienie, dlaczego każdy krok działa.

Krótka odpowiedź

  1. Wygeneruj hasło, zamiast je wymyślać: 16 znaków lub więcej, wszędzie tam, gdzie strona na to pozwala.
  2. Używaj wszystkich rodzajów znaków, które strona akceptuje: wielkich i małych liter, cyfr i znaków specjalnych.
  3. Zapisz je w menedżerze haseł.
  4. Używaj go tylko do jednego konta.
  5. Włącz uwierzytelnianie dwuskładnikowe albo klucz dostępu (passkey), jeśli serwis go oferuje, i zachowaj kody zapasowe.

Co sprawia, że hasło jest silne

Decydują o tym trzy cechy. Długość: każdy dodatkowy losowy znak zwielokrotnia liczbę kombinacji, które atakujący musi sprawdzić. Losowość: hasło jest tylko tak silne, jak proces, który je wytworzył, więc dwanaście znaków wybranych przez maszynę jest znacznie silniejsze niż dwanaście znaków układających się w imię i rok. Unikalność: hasło używane na dwóch stronach jest tylko tak bezpieczne, jak słabsza z nich, bo hasła, które wyciekły z jednego serwisu, są rutynowo sprawdzane we wszystkich pozostałych.

Siłę losowo wygenerowanego hasła wyraża się w bitach entropii, a każdy bit podwaja liczbę potrzebnych prób. Znak wybrany losowo spośród 62 możliwości – liter łacińskich a–z i A–Z oraz cyfr 0–9, wszystkich jednakowo prawdopodobnych – dodaje około 6 bitów, więc 12 takich znaków daje mniej więcej 71 bitów, a 16 – mniej więcej 95. Te liczby są prawdziwe tylko wtedy, gdy każdy znak jest wybrany niezależnie i losowo; nic nie mówią o haśle wymyślonym przez człowieka. Na skali, którą nasz generator pokazuje dla tworzonych przez siebie haseł, 60 bitów to rozsądny poziom dla konta używanego na co dzień, 80 to hasło silne, a 100 leży poza praktycznym zasięgiem ataku siłowego (brute force) na dzisiejszym sprzęcie. To punkty odniesienia, a nie norma: to, jak odporne jest hasło w praktyce, zależy też od tego, jak serwis je przechowuje i jak jest atakowane.

Dlaczego zwykłe sztuczki nie działają

Ludzie wybierają hasła w zadziwiająco podobny sposób, a narzędzia do łamania haseł wykorzystują te przewidywalne nawyki:

Wspólną słabością tych haseł są przewidywalne schematy. Wymogi złożoności – znak specjalny, cyfra, nowe hasło co 90 dni – popychają ludzi właśnie ku tym wzorcom. Dlatego aktualne wytyczne NIST każą serwisom nie narzucać reguł składu hasła ani zmian według harmonogramu, a zamiast tego sprawdzać nowe hasła na listach tych, które wyciekły.

Hasło, które musisz wpisywać samodzielnie: użyj frazy hasłowej

Kilka haseł trzeba wpisywać bez menedżera haseł pod ręką: hasło główne samego menedżera, hasło logowania do komputera lub telefonu, a u wielu osób także hasło do głównej skrzynki e-mail. Dla nich użyj frazy hasłowej – kilku słów wybranych losowo, a nie wymyślonego zdania. Klasyczna metoda to Diceware, a EFF publikuje listy słów przygotowane dla niej; użyj angielskiej listy o nazwie EFF Long Wordlist:

  1. Otwórz listę: ma 7776 słów, każde ponumerowane pięcioma cyframi od 1 do 6.
  2. Rzuć zwykłą sześciościenną kostką do gry pięć razy albo pięcioma kośćmi naraz, odczytując je od lewej do prawej, i zapisz pięć cyfr w tej kolejności.
  3. Znajdź słowo o tym numerze.
  4. Powtarzaj, aż będziesz mieć sześć słów.
  5. Zachowaj wylosowane słowa bez zmian, nawet jeśli któreś się powtórzy albo dałoby się wybrać ładniejsze. Żeby je zapamiętać, wyobraź sobie scenę lub ułóż historię łączącą te słowa – nie zmieniając słów ani ich kolejności.

Każde słowo dodaje około 12,9 bita, więc pięć słów daje około 65 bitów, a sześć – około 78, przy czym sześć zwykłych słów znacznie łatwiej zapamiętać i wpisać niż ciąg znaków o tej samej sile. Metoda działa pod dwoma warunkami. Słowa muszą być wybrane losowo, na podstawie rzutów, bo wers z piosenki czy ulubiony cytat już są w słownikach atakujących; z tego samego powodu nigdy nie używaj frazy, którą gdziekolwiek podano jako przykład. I nie używaj tej samej frazy do różnych kont lub sejfów haseł: jedna fraza hasłowa do jednego miejsca.

Każde inne hasło: wygeneruj je

Haseł do dziesiątek kont nigdy nie wpisujesz ręcznie, więc nie ma powodu ich wymyślać. Nasz generator silnych haseł tworzy każde hasło w Twojej przeglądarce za pomocą Web Crypto API i nigdy nie jest ono wysyłane na serwer. W polu Długość ustaw 16 lub więcej, wybierz rodzaje znaków, które strona akceptuje, i kliknij przycisk Generuj; szacunek entropii pod wynikiem pokazuje siłę w bitach. Opcja Bez podobnych usuwa znaki, które łatwo pomylić (Il1O0o), gdy hasło trzeba przeczytać na głos albo przepisać z ekranu, a pole Liczba daje całą listę, gdy zakładasz kilka kont naraz.

Niektóre strony wciąż ograniczają długość albo zabraniają pewnych znaków specjalnych. Jeśli strona odrzuci wynik, wyłącz tylko te grupy znaków, których strona nie dopuszcza, i zachowaj długość; skracaj hasło tylko wtedy, gdy strona naprawdę ogranicza długość. Tak czy inaczej nie wracaj do wymyślonego hasła: losowe hasło składające się z 12 znaków i tak jest znacznie lepsze niż sprytnie wymyślone.

Gdzie przechowywać hasła

Unikalne losowe hasło do każdego konta najłatwiej przechowywać w menedżerze haseł: zapisuje je, sam wpisuje je w formularzach, a wiele menedżerów ostrzega też, gdy któreś z nich pojawi się w znanym wycieku. Pamiętasz wtedy jedną frazę hasłową zamiast stu haseł. Jeśli wolisz nie używać menedżera, notes trzymany w domu w bezpiecznym miejscu, niedostępnym dla osób postronnych, to mniejsze ryzyko niż ponowne używanie haseł. Nie sprawdza się natomiast plik tekstowy na pulpicie, notatka w komunikatorze ani karteczka na monitorze w pracy.

Krótka lista kontrolna

Żeby zobaczyć, skąd się biorą te zasady, przeczytaj, jak łamane są hasła. Więcej artykułów znajdziesz w materiałach o hasłach.