Co sprawia, że hasło jest mocne, w prostych liczbach

Mocne hasło jest długie i losowe, a losowość ma pochodzić z generatora, a nie od ciebie. Każdy losowy znak lub słowo mnoży liczbę prób, jakich potrzebuje atakujący, dlatego długość działa mocniej niż triki, na przykład zamiana liter na symbole. Wygeneruj unikalne hasło do każdego konta, przechowuj je w menedżerze haseł i nigdy go nie powtarzaj.

Generator hasełPotrzebuję silnego hasłaZrób to za darmo

Dlaczego sprytne triki nie działają

Atakujący rzadko zgadują hasła jedno konto po drugim, ręcznie. Puszczają listy popularnych haseł i słów ze słownika przez znane wzorce, na przykład @ zamiast a, 0 zamiast o i symbol dopisany na końcu. Te warianty sprawdzają najpierw, bo wiele osób układa hasła według tych samych wzorców. Hasło w rodzaju P@ssw0rd! wygląda dla człowieka skomplikowanie, ale jest jednym z pierwszych wariantów na liście atakującego. Jego widoczna złożoność niewiele mówi o tym, jak trudno je odgadnąć.

Entropia prostymi słowami

Entropia mierzy, z ilu równie prawdopodobnych możliwości mogło powstać hasło, i wyraża się ją w bitach. Każdy dodatkowy bit podwaja liczbę potrzebnych prób. Najważniejsze jest to, że entropia opisuje proces, który wytworzył hasło, a nie jego wygląd. Losowy ciąg znaków i łatwo zapamiętana fraza mogą wyglądać równie dziwnie, a mieć zupełnie inną entropię. Losowy identyfikator także nie jest hasłem, bo jest zaprojektowany jako niepowtarzalny, a nie jako tajny. Różnicę wyjaśnia artykuł UUID v4 czy v7.

Dla hasła złożonego z losowych znaków obliczenie wygląda tak:

bity = długość × log2(liczba znaków w zestawie)

Dla hasła złożonego z losowych słów:

bity = liczba słów × log2(liczba słów na liście)

Tabela pokazuje przykładowe wartości. W każdym wierszu zakładamy, że każdy wybór był losowy i równie prawdopodobny.

Jak powstało	Możliwości	Bity
8 losowych małych liter	26^8	37,6
12 losowych liter i cyfr	62^12	71,5
20 losowych znaków z 94 drukowalnych symboli	94^20	131,1
4 losowe słowa z listy 7 776 słów	7 776^4	51,7
5 losowych słów z listy 1024 słów	1024^5	50,0
6 losowych słów z listy 7 776 słów	7 776^6	77,5

Pierwszy wiersz pokazuje, dlaczego krótkie losowe ciągi są słabe: 38 bitów zostawia mały margines bezpieczeństwa przy ważnym koncie. Trzeci wiersz pokazuje, co daje długość. Hasło, które wymyślasz sam, na przykład Sunset!2026, ma znacznie mniej realnych możliwości, niż sugeruje jego długość, bo wybrałeś je z małego zestawu znanych schematów.

Hasła z fraz, które da się wpisać

Jeśli musisz je wpisywać, na przykład przy logowaniu do laptopa albo przy hasle głównym do menedżera haseł, praktycznym wyborem jest fraza z losowych słów. Sześć losowych słów z listy 7 776 słów daje około 77,5 bitu, a słowa są znacznie łatwiejsze do zapamiętania niż losowy ciąg symboli. Słowa muszą być losowe. Cztery słowa wybrane przez ciebie niosą znacznie mniej, niż sugeruje ich liczba, bo ludzie wybierają znane słowa w znanych parach. Dlatego popularne są listy słów oparte na rzucie kośćmi: kości decydują o wyborze, a nie twoje nawyki. Generator haseł tworzy frazę w ten sposób, z separatorem, który wybierasz, oraz opcjonalną wielką literą i cyfrą.

Powtarzanie hasła to większe ryzyko

Długość ma znaczenie, ale to powtarzanie hasła najczęściej sprawia, że jeden wyciek staje się wieloma. Kiedy strona zostaje zhakowana, pary e-mail i hasło często są testowane na innych popularnych serwisach. Nazywa się to credential stuffing, czyli wypychaniem danych logowania. Hasło, które na papierze jest mocne, zupełnie zawodzi, jeśli używasz go także gdzie indziej.

Menedżer haseł rozwiązuje ten problem. Generuje unikalne hasło do każdego konta, zapisuje je i wpisuje za ciebie, a ty pamiętasz tylko jedno mocne hasło główne. Przeglądarki i systemy telefonów mają wbudowane menedżery, istnieją też samodzielne aplikacje. Niezależnie od wyboru, najpierw włącz uwierzytelnianie dwuskładnikowe na koncie e-mail i bankowym, bo konto e-mail jest kluczem do resetowania pozostałych.

NIST, amerykańska jednostka normalizacyjna, stawia na długość zamiast reguł złożoności, na przykład wymuszania symboli, i rezygnuje z wymuszania okresowych zmian, chyba że pojawi się sygnał o przejęciu konta. Strona, która zmusza do zmiany hasła co kilka miesięcy albo nie przyjmuje długich haseł lub wklejania, trzyma się starszych nawyków. To wada tej strony, a nie powód, by wybierać słabsze hasło.

Krótka lista kontrolna

• Generuj hasła zamiast je wymyślać.
• Do kont, których nie łatwo odzyskać, dąż do co najmniej 16 losowych znaków albo sześciu losowych słów.
• Używaj jednego unikalnego hasła na konto i przechowuj je w menedżerze.
• Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne.
• Od razu zmień hasło, jeśli usługa, z której korzystasz, zgłosi wyciek danych.

Jeśli hasło dotyczy routera, udostępnianie Wi-Fi kodem QR pokazuje, jak przekazać je bez czytania na głos.

Jak to zrobić w fixmint

1. Otwórz generator haseł i zostaw zaznaczone Losowe znaki.
2. Ustaw Długość na co najmniej 16, a dla ważnego konta na 20 lub więcej. Domyślnie jest 20, z zaznaczonymi wszystkimi czterema zestawami znaków.
3. Sprawdź Szacowana siła. Narzędzie uznaje wynik poniżej 50 bitów za słaby, 50–69 za przeciętny, 70–99 za mocny, a 100 lub więcej za bardzo mocny.
4. Naciśnij Wygeneruj ponownie, aby dostać nowy zestaw pięciu haseł, i skopiuj jedno do menedżera haseł. Nie używaj go nigdzie indziej.
5. W przypadku hasła głównego, które musisz wpisywać, wybierz Fraza hasłowa, ustaw Słowa na sześć i zostaw separator, który potrafisz wpisać.

Szybkie odpowiedzi

Czy mocne hasło musi zawierać symbole?

Nie. Losowe symbole dodają trochę bitów, ale długość dodaje ich więcej, a długi losowy ciąg liter i cyfr jest mocny.

Ile słów tworzy mocną frazę hasłową?

Sześć losowych słów z listy 7 776 słów daje około 77,5 bitu, co jest dobrym celem dla większości kont.

Czy bezpiecznie jest pozwolić przeglądarce zapisywać wygenerowane hasła?

Dla większości osób to rozsądny wybór, pod warunkiem że urządzenie ma blokadę ekranu, a profil przeglądarki jest chroniony. Główne ryzyko dotyczy urządzenia, a nie samego hasła.