Bezpieczne hasło — poradnik długości i ochrony konta

Co sprawia, że hasło jest trudniejsze do odgadnięcia?

Długie, unikalne hasło ogranicza ryzyko zgadywania i wykorzystania wycieku z innego serwisu. Nie istnieje uniwersalny czas jego złamania: znaczenie mają sposób wyboru, wcześniejsze ujawnienie, ograniczenia prób oraz sposób przechowywania po stronie usługi.

Aktualne wytyczne NIST dla systemów uwierzytelniania wymagają co najmniej 15 znaków przy haśle jako jedynym czynniku; dopuszczają minimum 8 przy uwierzytelnianiu wieloskładnikowym. Nie zalecają obowiązkowych mieszanek klas znaków ani cyklicznej zmiany bez przesłanki kompromitacji. To wymagania dla weryfikatorów, a nie obietnica bezpieczeństwa każdego 15-znakowego ciągu. NIST SP 800-63B-4.

Generator i menedżer haseł

Generator haseł pomaga utworzyć ciąg, którego nie trzeba wymyślać z imienia, daty urodzenia czy popularnego wzorca. Użyj długiego wyniku zgodnego z wymaganiami serwisu i zapisz go w wybranym menedżerze haseł. Nie korzystaj z przykładów haseł opublikowanych w poradnikach.

Losowa fraza z kilku niezależnie wybranych słów może być użyteczna. Cytat, przysłowie lub przewidywalny ciąg słów nie daje tej samej ochrony. Oceny siły i szacunki entropii są modelami, nie testem odporności konta.

Przy wyborze menedżera sprawdź aktualny model szyfrowania, odzyskiwania dostępu, synchronizacji i aktualizacji. Nie zakładaj, że każdy produkt stosuje identyczną architekturę. Zabezpiecz hasło główne i zachowaj kody odzyskiwania w odpowiednim miejscu.

Dodatkowe zabezpieczenia konta

Włącz MFA, a jeśli usługa oferuje odpowiednie klucze dostępu lub klucze bezpieczeństwa, rozważ metodę odporną na phishing. Sam kod SMS lub kod jednorazowy nie eliminuje phishingu. Powiadomienie o nieoczekiwanym logowaniu wymaga sprawdzenia, nie automatycznego zatwierdzenia.

Po potwierdzonym wycieku zmień hasło w dotkniętym serwisie i wszędzie, gdzie było powtórzone; sprawdź aktywne sesje oraz dane odzyskiwania. Nie wklejaj aktualnych sekretów do przypadkowych formularzy sprawdzających wycieki.

Jeśli tworzysz aplikację

Nie przechowuj haseł jawnie ani jako zwykły SHA-256. Użyj dojrzałej biblioteki przechowywania haseł z solą i właściwym kosztem obliczeń; OWASP rekomenduje m.in. Argon2id, a bcrypt opisuje przede wszystkim dla systemów starszych. OWASP: przechowywanie haseł.

Wygenerowanie hasła to jeden krok. Unikalność, aktualizacje urządzenia, bezpieczne odzyskiwanie konta i ostrożność przy logowaniu pozostają równie praktycznymi elementami ochrony.