Mitől erős egy jelszó, egyszerű számokkal

Az erős jelszó hosszú és véletlenszerű, a véletlenszerűséget pedig generátornak kell adnia, nem neked. Minden véletlen karakter vagy szó megsokszorozza azt a számot, ahányszor a támadónak találgatnia kell, ezért a hossz többet ér olyan trükköknél, mint a betűk szimbólumokra cserélése. Minden fiókhoz készíts egyedi jelszót, tárold jelszókezelőben, és soha ne használd újra.

JelszógenerátorErős jelszóra van szükségedPróbáld ki ingyen

Miért buknak el az okos trükkök

A támadók ritkán találgatnak egyesével, kézzel. Gyakori jelszavak és szótári szavak listáit futtatják át ismert mintákon, például @ a a helyett, 0 az o helyett, és egy szimbólum a végére. Ezeket a változatokat állítják elő először, mert sokan ugyanazokat a mintákat követik. Egy olyan jelszó, mint a P@ssw0rd!, embernek bonyolultnak tűnik, de a támadó listájának az egyik első változata. A látszólagos bonyolultság keveset árul el arról, mennyire nehéz kitalálni.

Az entrópia egyszerűen

Az entrópia azt méri, hány egyformán valószínű lehetőségből születhetett a jelszó, és bitben fejezzük ki. Minden extra bit megduplázza a szükséges találgatások számát. A lényeg, hogy az entrópia a jelszó létrehozásának folyamatát írja le, nem azt, hogyan néz ki a jelszó. Egy véletlen karaktersor és egy megjegyezhető kifejezés egyformán furcsának tűnhet, mégis nagyon eltérő az entrópiájuk. Az egyedi azonosító sem jelszó, mert arra készült, hogy egyedi legyen, nem hogy titkos legyen. A különbséget a UUID v4 vagy v7 cikk magyarázza el.

Véletlen karakterekből álló jelszó esetén a számítás:

bit = hossz × log2(karakterkészlet mérete)

Véletlen szavakból álló jelmondat esetén:

bit = szavak száma × log2(szólista mérete)

A táblázat kidolgozott értékeket mutat. Minden sor azt feltételezi, hogy minden választás véletlen és egyformán valószínű volt.

Így készült	Lehetőségek	Bit
8 véletlen kisbetű	26^8	37,6
12 véletlen betű és számjegy	62^12	71,5
20 véletlen karakter 94 nyomtatható szimbólumból	94^20	131,1
4 véletlen szó 7 776 szavas listából	7 776^4	51,7
5 véletlen szó 1 024 szavas listából	1 024^5	50,0
6 véletlen szó 7 776 szavas listából	7 776^6	77,5

Az első sor megmutatja, miért gyengék a rövid véletlen karaktersorok: 38 bit kevés tartalékot ad egy fontos fiókhoz. A harmadik sor azt mutatja, mit ad a hossz. Az olyan jelszónak, amit te találtál ki, például a Sunset!2026, sokkal kevesebb valós lehetősége van, mint amennyit a hossza sugall, mert ismerős minták kis halmazából válogattad.

Begépelhető jelmondatok

Ha mindenképp be kell gépelned a jelszót, például a laptopod bejelentkezéséhez vagy a jelszókezelő főjelszavához, a véletlen szavakból álló jelmondat a gyakorlatias választás. Hat véletlen szó egy 7 776 szavas listából nagyjából 77,5 bitet ad, és a szavakat sokkal könnyebb megjegyezni, mint szimbólumok véletlen sorát. A szavaknak tényleg véletlennek kell lenniük. Négy szó, amit te választottál, sokkal kevesebbet ér, mint amennyit a száma sugall, mert az emberek megszokott szavakat és megszokott párokat választanak. A kockadobáson alapuló szólisták ezért elterjedtek: a kocka dönt, nem a szokásaid. A jelszógenerátor így állít elő jelmondatot, egy általad választott elválasztóval és opcionális nagybetűvel és számjegyekkel.

Az újrahasználat a nagyobb kockázat

A hossz számít, de az újrahasználat az, ami általában egy szivárgásból sok fiókot tesz kiszolgáltatottá. Ha egy oldalt feltörnek, az e-mail- és jelszópárokat gyakran kipróbálják más népszerű oldalakon. Ezt hitelesítési adatok tömeges kipróbálásának (credential stuffing) hívják. Az a jelszó, amely papíron erős, teljesen használhatatlanná válik, ha máshol is használod.

A jelszókezelő megoldja ezt a problémát. Minden fiókhoz egyedi jelszót generál, eltárolja és kitölti, így elég egy erős főjelszót megjegyezned. A böngészők és a telefonok operációs rendszerei is tartalmaznak jelszókezelőt, és léteznek önálló alkalmazások is. Bármelyiket használod, először az e-mail- és banki fiókodnál kapcsold be a kétfaktoros hitelesítést, mert az e-mail-fiókod a kulcs a többi jelszó visszaállításához.

A NIST, az amerikai szabványügyi szervezet a hosszt részesíti előnyben a komplexitási szabályokkal szemben, például a kötelező szimbólumokkal szemben, és nem javasolja a kötelező rendszeres jelszócserét, hacsak nincs jel a feltörésre. Az az oldal, amely néhány havonta jelszócserét kér, vagy nem fogad el hosszú jelszavakat és beillesztést, régi szokásokat követ. Ez az oldal gyengesége, és nem ok arra, hogy gyengébb jelszót válassz.

Rövid ellenőrzőlista

• Generálj jelszavakat, ne találj ki őket.
• Ahol nehezen tudnád visszaállítani a fiókot, legalább 16 véletlen karaktert vagy hat véletlen szót célozz meg.
• Fiókonként egy egyedi jelszó legyen, és ezeket jelszókezelőben tartsd.
• Kapcsold be a kétfaktoros hitelesítést, ahol lehetséges.
• Azonnal cseréld le a jelszót, ha egy általad használt szolgáltatás adatlopásról számol be.

Ha a jelszó az útválasztódhoz tartozik, a Wi-Fi megosztása QR-kóddal cikkben megtalálod, hogyan add tovább úgy, hogy nem kell hangosan felolvasni.

Hogyan csináld meg a fixminttel

1. Nyisd meg a jelszógenerátort, és hagyd kiválasztva a Véletlen karakterek opciót.
2. Állítsd a Hossz értékét legalább 16-ra, egy fontos fióknál pedig 20-ra vagy többre. Az alapérték 20, mind a négy karakterkészlet bejelölve.
3. Olvasd el a Becsült erősség értéket. Az eszköz 50 bit alatt gyengének, 50 és 69 között elfogadhatónak, 70 és 99 között erősnek, 100 felett pedig nagyon erősnek minősíti.
4. Nyomd meg az Újragenerálás gombot egy új ötös készletért, és másold az egyiket a jelszókezelődbe. Ne használd máshol.
5. Ha gépelned kell a főjelszót, válaszd a Jelmondat opciót, állítsd a Szavak számát hatra, és tarts meg egy könnyen begépelhető elválasztót.

Gyors válaszok

Kell szimbólum egy erős jelszóhoz?

Nem. A véletlen szimbólumok adnak némi bitet, de a hossz többet ad, és a hosszú véletlen betű- és számjegysor erős.

Hány szó kell egy erős jelmondathoz?

Hat véletlen szó egy 7 776 szavas listából nagyjából 77,5 bitet ad, ami a legtöbb fióknál megfelelő cél.

Biztonságos, ha a böngésző menti a generált jelszavakat?

A legtöbb embernek ez ésszerű választás, feltéve, hogy az eszköz zárolható képernyővel rendelkezik, és a böngészőprofil védett. A fő kockázat az eszköz, nem a jelszó.