Hasła chronią dostępu do naszych kont. Z jakiegoś powodu wierzymy, że hasło „123456” albo „hasło” zrobi to skutecznie.
Czy hasła to dla nas wciąż czarna magia?
Czy praca zdalna i hybrydowa przyczyniła się do świadomości użytkowników odnośnie do zagrożeń czyhających w sieci? Może tak, ale faktem jest, że wciąż popełniamy błędy w podstawowej kwestii, jaką są mocne hasła. Nawet jeśli znamy zasady, to nie zawsze się ich trzymamy – jak pokazuje kolejna edycja badania przeprowadzonego przez NordPass.
Miliony osób ustawiają haseł, które da się złamać w mniej niż sekundę
Eksperci z NordPass przeanalizowali „ważące” 3 terabajty bazy haseł, które udało się złamać. Na tej podstawie udało się ustalić, które powtarzają się najczęściej. Słowem – jakie są najgorsze hasła: często używane i bez większych problemów przechwytywane przez osoby trzecie.
Absolutnym numerem jeden okazało się „password” – to (nomen omen) hasło tylko w opisywanej bazie znalazło się prawie 5 milionów razy. Tymczasem jego złamanie zajmuje aktualnie mniej niż jedną sekundę. Tyle samo cyberprzestępca potrzebuje, by złamać kolejne hasło z rankingu: „123456”. Nie myśl też, że dopisanie kolejnych trzech cyfr coś zmienia – stające na najniższym stopniu podium „123456789” również da się odkryć w niespełna sekundę. Co było dalej…?
Najgorsze hasła 2022 roku:
- password (do złamania w <1 s)
- 123456 (do złamania w <1 s)
- 123456789 (do złamania w <1 s)
- guest (do złamania w 10 s)
- qwerty (do złamania w <1 s)
- 12345678 (do złamania w <1 s)
- 111111 (do złamania w <1 s)
- 12345 (do złamania w <1 s)
- col123456 (do złamania w 11 s)
- 123123 (do złamania w <1 s)
- 1234567 (do złamania w <1 s)
- 1234 (do złamania w <1 s)
- 1234567890 (do złamania w <1 s)
- 000000 (do złamania w <1 s)
- 555555 (do złamania w <1 s)
- 666666 (do złamania w <1 s)
- 123321 (do złamania w <1 s)
- 654321 (do złamania w <1 s)
- 7777777 (do złamania w <1 s)
- 123 (do złamania w <1 s)
- D1lakiss (do złamania w 3 h)
- 777777 (do złamania w <1 s)
- 110110jp (do złamania w 3 s)
- 1111 (do złamania w <1 s)
- 987654321 (do złamania w <1 s)
Jeżeli myślisz, że „1q2w3e4r” jest bardziej pomysłowe, to… nie – nie jest (znajduje się na 32. miejscu). Z kolei „iloveyou” na 43., a „1qaz2wsx” na 55. Wymagającym najdłuższego łamania hasłem w zestawieniu TOP 200 jest natomiast „marseille” z miejsca 168. – to wciąż jednak tylko 1 dzień.
Co robimy źle?
Co jest złego z tymi wszystkimi hasłami? Cóż, łamią one podstawowe zasady. Po pierwsze: są strasznie krótkie – tak naprawdę długość hasła odgrywa bowiem kluczową rolę. Dobre hasło powinno mieć kilkanaście, a najlepiej jeszcze więcej znaków.
ilustracja: XKCD (CC BY 2.5)
Po drugie: są łatwe do odgadnięcia, bo zawierają albo naturalne ciągi znaków na klawiaturze, albo też są prawdziwymi, istniejącymi wyrazami. To też poważny błąd. Dobre hasło powinno być – owszem – łatwe do zapamiętania, ale trudne do odgadnięcia.
Oczywiście to wszystko zależy…
Czym innym jest oczywiście hasło do konta bankowego, a czym innym – do serwisu, do którego chcemy się zalogować raz i więcej do niego nie wracać. Wiara, że podane w tym raporcie hasła dotyczą tylko tej drugiej sytuacji, byłaby chyba jednak oznaką naiwności.
Źródło: NordPass, Softpedia
Komentarze
28Patrząc na siebie:
- 9 maili (oficjalny do spraw urzędowych, dwa dla znajomych, jeden do zakupów i reklamacji, przynajmniej dwa do gier, jeszcze ze dwa do portali społecznościowych, a i jeden do googla do komórki)
- kilka haseł do serwisów z grami
- kolejne do banku, do wifi
jeszcze parę by się znalazło
Z ciekawości - na którym miejscu jest hasło "hasło"?
Znacznie bezpieczniej jest zainstalować sobie jakiś manager haseł, zabezpieczyć go porządnym hasłem, najlepiej z włączonym MFA, a całą resztę usług zabezpieczać hasłami generowanymi przez managera haseł. W ten sposób niedbalstwo jakiejś stronki nie daje atakującym dostępu do wszystkich naszych kont wszędzie. Druga ważna rada, to używanie konta mailowego, które da się dobrze zabezpieczyć - MFA, wielokanałowe procedury odzyskiwania hasła. Silne hasło jest silne jedynie wtedy, gdy jest dobrze zabezpieczone po stronie usługi. Trzeba też uważać na miejsca, w których hasła z założenia można "testować" wiele razy, np. archiwa, szyfrowane wolumeny itd. Chociaż te narzędzia robią akurat ludzie z głową (najczęściej) i wstawiają bezpieczne i kosztowne obliczeniowo/pamięciowo algorytmy generowania skrótów.
Hasło 12345678 jest niemal tak samo mocne jak #sdfiu)(K.
Po co powtarzać te brednie po innych. Nie lepiej się zająć tym że szablony stron z których korzystają wszyscy słabo lub wcale nie zabezpieczają użytkowników przed odgadnięciem hasła.
za to nie ma sensownego wyjaśnienia, jak zrobić łatwe dla nas dłuższe hasło które będzie jednocześnie dobre.
ale tu uwaga. trzeba sprawdzić, jak długie hasła efektywnie przetwarza system do którego je używamy. nadal są systemy, które z podanego hasła obcinają początek 20 znaków, lub w skrajnych przypadkach nawet 8 znaków, i z niego generują 'klucz' który później służy do weryfikacji hasła.
więc jak ustawimy hasło
abcdefghijklmnopq , to sprawdźmy czy działa hasło
abcdefgh , i to już jest sygnał jak słaby jest dany system. dla dłuższych haseł, sprawdziłbym też czy niewpisanie ostatniego znaku hasła umożliwia zalogowanie. to też zły objaw.