Ako vygenerovať silné heslo (a čo ho robí slabým)
Silné heslo je také, ktoré je ťažké uhádnuť alebo prelomiť. Ale „tvrdé“ neznamená veľa symbolov a čísel pomiešaných dohromady - znamená to entropiu: dostatočnú náhodnú dĺžku, že aj rýchly počítač, ktorý kontroluje miliardy kombinácií, by trval stáročia. Najjednoduchší spôsob, ako sa tam dostať, je použiť lokálny generátor hesiel, ktorý zaisťuje, že náhodnosť pochádza z kryptografie, nie z predvídateľného algoritmu.
Čo robí heslo slabým
Väčšina hesiel je slabá, pretože sú založené na niečom zapamätateľnom: mene, dátume, slove s veľkým a číslom na konci. Ak je heslo založené na vzore - skutočné slovo, narodeniny, fráza - prvým nástrojom moderného útočníka je slovník týchto vzorov, nie hrubá sila. Dokonca MyDog2024! vyzerá náhodne pre človeka, ale okamžite praskne, pretože sa riadi najbežnejším receptom na heslo.
Druhý zabijak: opätovné použitie. Ak použijete rovnaké heslo na desiatich stránkach a jedna z týchto stránok bude narušená, všetkých desať účtov padne. Mnoho ľudí ani netuší, koľko databáz s výpisom hesiel je verejných a možno v nich vyhľadávať online.
Na dĺžke záleží viac ako na špeciálnych znakoch
Bežný mýtus: heslá potrebujú zmiešané malé a veľké písmená, čísla a symboly, aby boli bezpečné. V skutočnosti je dôležitá dĺžka. 16-miestne heslo s malými písmenami má oveľa väčšiu entropiu - a je oveľa ťažšie ho prelomiť - ako 8-znakové heslo s každým špeciálnym znakom. Tu je dôvod: každý pridaný znak znásobuje vyhľadávací priestor. 8-znakové heslo iba s malými písmenami má 26^8 možností (asi 200 miliónov). 16-miestne heslo s malými písmenami má 26^16 (asi 43 kvadriliónov).
To je dôvod, prečo mnohí odborníci na bezpečnosť teraz odporúčajú prístupové frázy — sekvencie náhodných slov — cez tradičné „zložité“ heslá. Sú ľahšie zapamätateľné a oveľa silnejšie.
Prístupové frázy: prístup Diceware
Prístupová fráza je len postupnosť náhodných slov. Klasickým príkladom je „správna-kôň-batéria-staple“: štyri náhodné slová, viac ako 20 znakov, absurdne silné a nie je také ťažké si ich zapamätať. Môžete generovať náhodné prístupové frázy pomocou Generátor prístupových fráz, ktorý ich zostavuje zo zoznamu bežných anglických slov. Päť slov zo zoznamu 1 000 vám dáva väčšiu entropiu ako 20-znakový náhodný reťazec zmiešaných malých a veľkých písmen a symbolov.
Ak potrebujete tradičné heslo - symboly, malé a veľké písmená, čísla - použite Generátor hesiel namiesto toho. Ale pre väčšinu účtov je fráza silnejšia a praktickejšia.
Zastavte opätovné používanie hesiel
Jediným najlepším zvykom je: jedno heslo na stránku. Ak znova používate heslá, žijete na požičanom čase. Keď jeden web unikne, vaše ďalšie účty budú odhalené. Silné heslo je len také dobré ako najslabšia stránka, ktorá ho používa. Ak chcete skontrolovať, či niektoré z vašich hesiel nebolo odhalené pri známom porušení, použite Kontrola sily hesla — vložte heslo (vidíte ho iba vy; váš prehliadač nič neopustí) a on vám povie, či sa objaví vo verejných databázach narušenia bezpečnosti.
PINy a číselné heslá
Niektoré systémy vyžadujú iba číslice — bankomaty, kódy PIN telefónu, určité zámky. Platí rovnaký princíp entropie: dlhšie je silnejšie. 4-ciferný PIN má iba 10 000 možností, čo je prelomiteľné v priebehu milisekúnd. Lepší je 6-miestny PIN (1 milión možností); 8-miestny PIN je pevný (100 miliónov). Ak potrebujete náhodný číselný kód, Generátor PIN vytvára ich okamžite.
Prečo generovať lokálne
Nikdy neverte generátoru hesiel na serveri niekoho iného. Aj keď je to dobre mienené, nemôžete overiť, či používa skutočnú náhodnosť alebo či nezaznamenáva to, čo generuje. Nástroje TextArray bežia úplne vo vašom prehliadači - neexistuje žiadny server, žiadne nahrávanie, žiadny protokol. Generátor hesiel používa váš prehliadač crypto.getRandomValues, ktorá je skutočne náhodná, nie Math.random, čo je predvídateľné a nikdy nie je prijateľné pre bezpečnosť. Po načítaní stránky všetko funguje offline. Môžete to potvrdiť sami zrušením internetového pripojenia a vygenerovaním nového hesla.
Silné heslo začína skutočnou náhodnosťou, dostatočnou dĺžkou na to, aby mala skutočnú entropiu, a disciplínou používať všade inú. Nechajte prehliadač robiť tvrdú prácu.