Jak vygenerovat silné heslo (a co ho dělá slabým)
Silné heslo je takové, které je těžké uhodnout nebo prolomit. Ale „tvrdé“ neznamená spoustu symbolů a čísel smíchaných dohromady – znamená to entropii: dostatečně náhodnou délku, že i rychlý počítač, který kontroluje miliardy kombinací, by zabral staletí. Nejjednodušší způsob, jak se tam dostat, je použít místní generátor hesel, který zajišťuje, že náhodnost pochází z kryptografie, nikoli z předvídatelného algoritmu.
Co dělá heslo slabým
Většina hesel je slabá, protože jsou založena na něčem, co si zapamatujete: jménu, datu, slovu s velkým a číslem na konci. Pokud je heslo založeno na vzoru – skutečném slově, narozeninách, frázi – prvním nástrojem moderního útočníka je slovník těchto vzorů, nikoli hrubá síla. Dokonce MyDog2024! vypadá na člověka náhodně, ale okamžitě praskne, protože se řídí nejběžnějším receptem na heslo.
Druhý zabiják: opětovné použití. Pokud použijete stejné heslo na deseti webech a jeden z těchto webů bude narušen, všech deset účtů padne. Mnoho lidí netuší, kolik databází s výpisem hesel je veřejných a lze v nich vyhledávat online.
Na délce záleží více než na speciálních znacích
Častý mýtus: hesla potřebují smíšená malá a velká písmena, čísla a symboly, aby byla bezpečná. Ve skutečnosti je důležitá délka. Heslo o 16 znacích s malými písmeny má mnohem větší entropii – a je mnohem těžší ho prolomit – než 8místné heslo s každým speciálním znakem. Zde je důvod: každý přidaný znak násobí vyhledávací prostor. 8místné heslo obsahující pouze malá písmena má 26^8 možností (asi 200 milionů). 16místné heslo s malými písmeny má 26^16 (asi 43 kvadrilionů).
To je důvod, proč mnoho bezpečnostních expertů nyní doporučuje přístupové fráze — sekvence náhodných slov — přes tradiční „složitá“ hesla. Jsou snadněji zapamatovatelné a mnohem silnější.
Přístupové fráze: přístup Diceware
Přístupová fráze je pouze posloupnost náhodných slov. Klasickým příkladem je „správná-kůň-baterie-staple“: čtyři náhodná slova, více než 20 znaků, absurdně silné a není tak těžké si je zapamatovat. Můžete generovat náhodné přístupové fráze pomocí Generátor přístupových frází, který je sestavuje ze seznamu běžných anglických slov. Pět slov ze seznamu 1 000 vám dává větší entropii než 20znakový náhodný řetězec smíšených velkých a malých písmen a symbolů.
Pokud potřebujete tradiční heslo – symboly, malá a velká písmena, čísla – použijte Generátor hesel místo toho. Ale pro většinu účtů je výraz silnější a praktičtější.
Přestaňte znovu používat hesla
Jediným nejlepším zvykem je: jedno heslo na web. Pokud znovu používáte hesla, žijete ve vypůjčeném čase. Jakmile jeden web unikne, vaše ostatní účty budou odhaleny. Silné heslo je jen tak dobré, jak dobré je nejslabší stránka, která ho používá. Chcete-li zkontrolovat, zda některé z vašich hesel nebylo odhaleno při známém porušení, použijte Kontrola síly hesla — vložte heslo (vidíte ho pouze vy; váš prohlížeč nic neopustí) a on vám řekne, zda se objeví ve veřejných databázích narušení bezpečnosti.
PINy a číselná hesla
Některé systémy vyžadují pouze číslice — bankomaty, kódy PIN telefonu, některé zámky. Platí stejný princip entropie: delší je silnější. Čtyřmístný PIN má pouze 10 000 možností, které lze prolomit během milisekund. Šestimístný PIN je lepší (1 milion možností); 8místný PIN je pevný (100 milionů). Pokud potřebujete náhodný číselný kód, Generátor PIN vytvoří je okamžitě.
Proč generovat lokálně
Nikdy nevěřte generátoru hesel na serveru někoho jiného. I když je to dobře míněné, nemůžete ověřit, že používá skutečnou náhodnost nebo že nezaznamenává to, co generuje. Nástroje TextArray běží výhradně ve vašem prohlížeči – neexistuje žádný server, žádné nahrávání, žádný protokol. Generátor hesel používá váš prohlížeč crypto.getRandomValues, což je skutečně náhodné, ne Math.random, což je předvídatelné a nikdy nepřijatelné pro bezpečnost. Jakmile se stránka načte, vše funguje offline. Můžete to potvrdit sami uzavřením připojení k internetu a vygenerováním nového hesla.
Silné heslo začíná skutečnou náhodností, dostatečnou délkou pro skutečnou entropii a disciplínou používat všude jiné. Nechte prohlížeč dělat těžkou práci.