Jak wygenerować silne hasło (i co czyni je słabym)
Silne hasło to takie, które trudno odgadnąć i złamać. Ale „trudny” nie oznacza mnóstwa pomieszanych ze sobą symboli i liczb — oznacza entropię: wystarczającą losową długość, że nawet szybki komputer sprawdzający miliardy kombinacji zajmowałby wieki. Najprostszym sposobem, aby to osiągnąć, jest użycie lokalnego generatora haseł, który gwarantuje, że losowość pochodzi z kryptografii, a nie z przewidywalnego algorytmu.
Co sprawia, że hasło jest słabe
Większość haseł jest słaba, ponieważ opiera się na czymś zapadającym w pamięć: nazwisku, dacie, słowie z dużą literą i liczbą na końcu. Jeśli hasło opiera się na wzorcu — prawdziwym słowie, urodzinach, frazie — pierwszym narzędziem współczesnego atakującego jest słownik tych wzorców, a nie brutalna siła. Nawet MyDog2024! dla człowieka wygląda losowo, ale pęka natychmiast, ponieważ jest zgodny z najpopularniejszym przepisem na hasło.
Drugi zabójca: ponowne wykorzystanie. Jeśli użyjesz tego samego hasła w dziesięciu witrynach i jedna z nich zostanie naruszona, wszystkie dziesięć kont zostanie uszkodzonych. Wiele osób nie ma pojęcia, ile baz danych „zrzutów haseł” jest publicznych i można je przeszukiwać online.
Długość ma większe znaczenie niż znaki specjalne
Powszechny mit: aby hasła były bezpieczne, muszą zawierać różne wielkości liter, cyfr i symboli. Tak naprawdę liczy się długość. 16-znakowe hasło składające się z małych liter ma tylko znacznie większą entropię – i jest znacznie trudniejsze do złamania – niż 8-znakowe hasło z każdym znakiem specjalnym. Oto dlaczego: każdy dodany znak zwielokrotnia przestrzeń poszukiwań. 8-znakowe hasło składające się wyłącznie z małych liter ma 26^8 możliwości (około 200 milionów). Hasło składające się z 16 znaków i małych liter ma wartość 26^16 (około 43 biliardów).
Dlatego obecnie zaleca go wielu ekspertów ds. bezpieczeństwa hasła — sekwencje losowych słów — zamiast tradycyjnych „złożonych” haseł. Są łatwiejsze do zapamiętania i znacznie silniejsze.
Hasła: podejście Diceware
Hasło to po prostu sekwencja losowych słów. Klasycznym przykładem jest „poprawny zszywka-baterii”: cztery losowe słowa, ponad 20 znaków, absurdalnie mocne i niezbyt trudne do zapamiętania. Możesz generować losowe hasła za pomocą Generator haseł, który tworzy je na podstawie listy popularnych angielskich słów. Pięć słów z listy 1000 daje większą entropię niż 20-znakowy losowy ciąg składający się z różnych wielkości liter i symboli.
Jeśli potrzebujesz tradycyjnego hasła — symboli, różnych liter, cyfr — użyj Generator haseł Zamiast. Ale w przypadku większości kont fraza jest silniejsza i bardziej praktyczna.
Przestań ponownie używać haseł
Najlepszym nawykiem jest: jedno hasło na witrynę. Jeśli ponownie używasz haseł, żyjesz na pożyczonym czasie. Gdy jedna witryna wycieknie, inne konta zostaną ujawnione. Silne hasło jest tak dobre, jak najsłabsza witryna, która go używa. Aby sprawdzić, czy któreś z Twoich haseł zostało ujawnione w wyniku znanego naruszenia, użyj narzędzia Sprawdzanie siły hasła — wklej hasło (tylko Ty je widzisz; nic nie opuszcza Twojej przeglądarki), a otrzymasz informację, czy pojawia się w publicznych bazach danych o naruszeniach.
PIN-y i hasła numeryczne
Niektóre systemy wymagają tylko cyfr – bankomatów, kodów PIN telefonu, niektórych zamków. Obowiązuje ta sama zasada entropii: dłuższy jest silniejszy. 4-cyfrowy PIN ma tylko 10 000 możliwości i można go złamać w ciągu milisekund. Lepszy jest 6-cyfrowy PIN (1 milion możliwości); 8-cyfrowy PIN jest stały (100 milionów). Jeśli potrzebujesz losowego kodu numerycznego, Generator PIN-u tworzy je natychmiast.
Po co generować lokalnie
Nigdy nie ufaj generatorowi haseł na serwerze innej osoby. Nawet jeśli ma dobre intencje, nie można sprawdzić, czy wykorzystuje prawdziwą losowość lub czy nie rejestruje tego, co generuje. Narzędzia TextArray działają całkowicie w przeglądarce — nie ma serwera, nie ma przesyłania, nie ma dziennika. Generator haseł wykorzystuje ustawienia Twojej przeglądarki crypto.getRandomValues, co jest naprawdę losowe, a nie Math.random, co jest przewidywalne i nigdy nie jest akceptowalne ze względów bezpieczeństwa. Po załadowaniu strony wszystko działa w trybie offline. Możesz to potwierdzić samodzielnie, zamykając połączenie internetowe i generując kolejne hasło.
Silne hasło zaczyna się od prawdziwej losowości, długości wystarczającej do uzyskania prawdziwej entropii i dyscypliny, aby wszędzie używać innego. Pozwól przeglądarce wykonać ciężką pracę.