Dziś światowy dzień hasła. Jak je stworzyć, by było dobre?

Wojtek95 albo benchmark2022? Nie, to tak samo złe hasła jak „hasło”

Spora część nazego życia toczy się dziś w Internecie. W różnych częściach sieci przechowujemy od groma informacji i raczej nie chcielibyśmy, by trafiły one w niepowołane ręce. Nie chcielibyśmy też, żeby ktoś uzyskał dostęp do naszego konta w banku, do komunikatorów internetowych czy też w ogóle do komputera. Ochronę zapewnia nam w tym kontekście dobre hasło – no właśnie: sprawdza się tylko wtedy, gdy jest dobre. Jakie powinno być i jak je stworzyć, by zrobić to jak należy?

Zacznijmy od… końca. Jako hasło NIE jest dobrym hasłem?

Zanim przejdziemy do konkretów, pozwól, że przedstawię ci Billa Burra. Nie, nie tego komika, lecz byłego menedżera Narodowego Instytutu Standaryzacji i Technologii w USA. Niecałe dwie dekady temu pracodawca poprosił go o opracowanie wskazówek dotyczących tworzenia mocnego i bezpiecznego hasła. Właśnie wtedy powstał poradnik sugerujący, że dobre hasło musi mieć co najmniej 8 znaków, w tym minimum 1 małą literę, 1 dużą literę, 1 cyfrę i 1 znak specjalny. 

Rady Burra szybko zostały podchwycone i jeszcze do niedawna sądzono, że trudne do złamania hasło to właśnie takie. Dziś wiemy jednak, że… wcale tak nie jest. Amerykanin nie był specjalistą od cyberbezpieczeństwa i pewnie miał dobre chęci (tak jak autor wyskakujących okienek, które wcale nie miały prowadzić do plagi irytujących reklam czy autor „łapki w górę”, która nie miała być powodem depresji wśród nastolatków). Sam w 2017 roku przyznał, że się mylił i przeprosił za to. A zatem… 

Jakie jest dobre hasło? Pamiętaj o tych zasadach

Choć wielu pracodawców i właścicieli serwisów nadal stosuje się do wytycznych wskazanych przez Billa Burra, to specjaliści od cyberbezpieczeństwa są raczej zgodni, co do tego, że czas na zmiany. Należy zapomnieć o tamtych zasadach tworzenia dobrego hasła i nauczyć się nowych. I nie jest to trudne zadanie, bo na dobrą sprawę wszystko ogranicza się do zaledwie kilku elementów:

Dobre hasło jest długie i proste

Oczywiście może zdarzyć się, że ktoś będzie próbować po prostu odgadnąć twoje hasło. Znacznie bardziej prawdopodobna jest jednak sytuacja, w której maszynie zostanie zlecone sprawdzenie wszystkich możliwych kombinacji liter, cyfr i znaków specjalnych, wstawianych na kolejne miejsca (to tak zwany atak typu brute-force). W związku z tym siła hasła jest tak duża, jak liczba wykorzystanych znaków (innymi słowy: długość ma znaczenie). Doskonale tłumaczy to ta starusieńka już grafika:

ilustracja: XKCD (CC BY 2.5)

Przykładowo tohasloniemazadnychznakowspecjalnychanicyfr, a i tak zapewni ci większe bezpieczeństwo niż m0j3H@sŁ0 (choć znaki specjalne i cyfry są jak najbardziej wskazane). To wyjaśnia, dlaczego hasło powinno być możliwie najdłuższe, a dlaczego ważne jest, by było proste? Tu dochodzimy do drugiej zasady: 

Twórz hasła, które łatwo zapamiętać, ale trudno odgadnąć

Tworząc hasło, zadbaj o to, by z czymś ci się kojarzyło. Równocześnie jednak postaraj o to, by trudno je było odgadnąć – zawierało coś, o czym wiesz tylko ty i co tylko ty zrozumiesz. Wtedy nikt inny się go nie domyśli, dla ciebie zaś będzie zupełnie oczywiste. 

Nie masz pomysłu na hasło? Możesz na przykład wykorzystać fragment swojej twórczości (np. wiersza lub piosenki). Możesz też mieć zapisane hasło w pokoju, ...choć nikt o tym nie będzie wiedzieć. Rzecz w tym, by nie zapisywać go na karteczce i nie przywieszać na tablicy korkowej, lecz wykorzystać to, co już masz, na przykład układ przedmiotów na biurku czy mebli w pomieszczeniu. Dobre hasła są zapisane wokół ciebie. Tylko nie rób tego w oczywisty sposób: nie przepisuj numeru rejestracyjnego samochodu czy nazw własnych.

Prawda jest taka, że nietrudno jest wymyślić hasło długie na przeszło 20 znaków, ale z zapamiętaniem go możesz już mieć niemały problem – dlatego dobrze przemyśl temat. Szczególnie, że będziesz potrzebować ich więcej. Zasada trzecia brzmi bowiem: 

Dobre hasło wykorzystujesz tylko raz

Krótko mówiąc: w miarę możliwości nie używaj tego samego hasła do logowania w różnych serwisach czy usługach – wtedy wyciek hasła w jednym miejscu nie stwarza aż tak dużego zagrożenia. A jeśli już musisz powtarzać hasła, to zadbaj przynajmniej o to, by w niepowtarzalny sposób chroniony był dostęp do kont bankowych, profili w serwisach społecznościowych, skrzynek mailowych oraz samego komputera. 

Generator haseł, czyli daj się wyręczyć – czy to dobry pomysł?

Jeśli nie masz pomysłu na hasło, możesz pozwolić się wyręczyć. W sieci znajdziesz wiele generatorów haseł, które wymyślą je za ciebie. Nie będziemy promować tutaj żadnego konkretnego rozwiązania – wspomnimy jedynie, że w takie narzędzia są wyposażone najpopularniejsze przeglądarki internetowe i programy antywirusowe. Wybierz, to, któremu ufasz. Wszystkie one działają na tej samej zasadzie: po prostu samodzielnie tworzą hasło.

Generowanie hasła na przykładzie Google Chrome.

Hasło stworzone przez generator nie będzie jednak proste do zapamiętania. I tutaj dochodzimy do kolejnego narzędzia, mianowicie menedżera haseł. Są zewnętrze programy tego typu, ale rozwiązania takie znajdziesz także w przeglądarkach WWW i pakietach bezpieczeństwa. To sejf, w którym możesz przechowywać wszystkie swoje hasła, do których dostęp zabezpieczany jest szyfrem. Takie aplikacje najczęściej oferują także automatyczne uzupełnianie, więc o nic nie musisz się martwić – wystarczy, że stworzysz i zapamiętasz jedno główne hasło (hasło dostępu do sejfu). 

Światowy dzień haseł powinien być codziennie – garść porad na co dzień

Bezpieczne hasło to podstawa, ale warto też zdecydować się na aktywację logowania dwuetapowego. Oznacza to, że po wpisaniu hasła należy się uwierzytelnić jeszcze w inny sposób: na przykład w aplikacji mobilnej lub podając kod SMS. Dowiedz się więcej na ten temat z naszego poradnika: Niewygodna, ale skuteczna - dlaczego warto używać weryfikacji dwuetapowej.

A czy hasło trzeba zmieniać regularnie? To kolejna zasada z gatunku tych, które nie są już uznawane. Zmiana hasła co 30, 90 czy 360 dni na niewiele tak naprawdę się zdaje, a jedynie utrudnia spamiętanie wszystkich haseł. Jeśli więc będziesz stosować się do obowiązujących zasad, nie musisz wymyślać nowego ciągu znaków co trzy miesiące. 

Kiedy więc jest właściwa pora na zmianę hasła? Koniecznie trzeba je zmienić, gdy otrzymasz informację o wycieku haseł – potwierdzonym lub potencjalnym. Wtedy zmień swoje hasła na wszystkich stronach, we wszystkich aplikacjach i we wszystkich usługach, do których logowałeś się, używając tego, które mogło trafić w niepowołane ręce. 

Pamiętaj również o zasadzie, że z zabezpieczeniem jest jak z łańcuchem – jest tak mocne, jak jego najsłabsze ogniwo. Dlatego nigdy nie zapisuj swoich haseł w zeszytach czy na luźnych kartkach ani w plikach na komputerze. 

A jeśli system oferuje ci „pytanie pomocnicze” do przypominania lub resetowania hasła – nigdy nie mów prawdy (w końcu nietrudno znaleźć nazwisko panieńskie twoje matki czy imię pierwszego psa). Najlepiej zaś zrobisz, jeśli w ogóle nie będziesz korzystać z tego typu podpowiedzi. 

W przyszłości pewnie zrezygnujemy z haseł. Czy będzie to dobra zmiana?

Cóż, prawda jest taka, że nawet najlepsze hasła nie zapewniają pełnej ochrony, ponieważ co do zasady da się je złamać. A że często nie stosujemy się do zasad tworzenia ich we właściwy sposób, to z tym naszym bezpieczeństwem bywa różnie. 

Rozwiązaniem tych problemów będą zabezpieczenia biometryczne: za pomocą skanu twarzy czy też odcisku palca. To formy wykorzystujące nasze unikalne cechy, przez co nie da się tego ominąć (a przynajmniej nie da się, gdy system jest pozbawiony błędów). Ale to nie tylko poprawa bezpieczeństwa – takie zabezpieczenia zwiększają także wygodę (bo raz, że nie musisz pamiętać haseł, a dwa – ich wprowadzanie trwa ułamek sekundy). 

I choć ponad 150 milionów użytkowników Windows już korzysta z bezhasłowych form zabezpieczeń, to nadal mówimy o nich jak o rozwiązaniu przyszłościowym – szczególnie, że wciąż jest wiele niekompatybilnych serwisów i usług. Z czasem jednak pewnie wejdziemy na ten wyższy poziom bezpieczeństwa. 

Oczywiście nie ma róży bez kolców i tak też bezhasłowe zabezpieczenia mają swoje wady. Te objawiają się jednak raczej w ekstremalnych sytuacjach. Wszak można bowiem siłą zmusić kogoś do odblokowania urządzenia.