Jak vytvořit heslo, které skutečně obstojí
Většina z nás se naučila o heslech špatnou lekci. Říkalo se nám, ať nahradíme „a" znakem „@", přidáme vykřičník a první písmeno napíšeme velké, a hotovo, heslo je bezpečné. Jenže tyhle triky znají i útočníci. Heslo jako „P@ssw0rd!" vypadá pro člověka složitě, ale pro program na lámání hesel je triviální. Účet skutečně chrání jiná věc než vynalézavost. Je to délka, náhodnost a jednoduchá disciplína nikdy nepoužívat stejné heslo dvakrát.
Tato stránka generuje hesla přímo ve vašem prohlížeči. Vyberete si délku a typy znaků, které se mají použít, a nástroj okamžitě sestaví nový náhodný řetězec. Nic, co vygenerujete, se nikam neodesílá, nezaznamenává ani neukládá. Níže najdete vysvětlení, proč jsou výchozí hodnoty nastavené právě takto, a jak z nich vytěžit maximum.
Délka a entropie porazí pravidla o složitosti
Každé heslo má měřitelnou míru nepředvídatelnosti, kterou bezpečnostní experti nazývají entropie. Čím vyšší entropie, tím víc pokusů musí útočník udělat, než na to vaše narazí náhodou. Entropii zvyšují dvě věci: kolik možných znaků máte k dispozici a kolik jich za sebou seřadíte. Hlavní práci odvádí délka. Přidání dalšího znaku znásobí počet možných kombinací, zatímco přidání dalšího typu symbolu ho posune jen mírně.
Proto je náhodné 16znakové heslo z malých písmen a číslic mnohem odolnější než 8znakové heslo nacpané symboly. Moderní doporučení organizací jako CISA nebo National Cybersecurity Alliance se opakovaně shodují na stejném čísle: mířte alespoň na 16 znaků. Delší je lepší. Pokud vám nějaký web u důležitých účtů dovolí jít na 20 a více znaků, udělejte to. Pár vteřin navíc při psaní vám koupí roky odolnosti proti hrubé síle.
Pravidla o složitosti, ta co vyžadují „jedno velké písmeno, jednu číslici, jeden symbol", existují hlavně proto, aby zabránila lidem volit „heslo123". Skutečně náhodný řetězec smysluplně nezesilují. Opravdu náhodné heslo tato pravidla porazí bez snahy. Zapněte si tu proto pár typů znaků kvůli kompatibilitě s přísnými přihlašovacími formuláři a nechte hlavní práci na délce.
Heslové fráze: dlouhé, náhodné a zapamatovatelné
Existuje jeden případ, kdy si heslo skutečně musíte pamatovat sami: hlavní heslo do správce hesel nebo přihlášení do počítače. Pro tyto případy skvěle funguje heslová fráze. Vyberte náhodně čtyři až šest nesouvisejících slov, čím nesmyslnější kombinace, tím lépe, a spojte je: třeba „měděná-lucerna-mrholení-vlašák". Je dlouhá, má dost entropie a mozek si ji dokáže skutečně udržet.
Klíčové slovo je náhodnost. Fráze „correct horse battery staple" je slavná právě proto, že mezi slovy není žádná logická souvislost. Fráze vytažená z textu písně nebo citátu není náhodná vůbec, protože přesně takové zdroje útočníci krmí do svých hádacích nástrojů. U všeho ostatního, u účtů, do kterých se přihlašujete párkrát do roka, byste si neměli pamatovat vůbec nic. To je práce pro software.
Proč je opakované používání hesel skutečné nebezpečí
Tady je statistika, která by měla změnit váš pohled: velká část úniků dat se dá vystopovat k opakovaně použitým nebo slabým přihlašovacím údajům. Mechanismus je krutě jednoduchý. Nějaký web, kde jste se zaregistrovali před lety, uniká a zveřejní databázi hesel. Útočníci vezmou dvojice e-mail a heslo a automaticky je zkoušejí na bankách, e-mailových službách a e-shopech, po milionech. Říká se tomu credential stuffing a funguje to proto, že spousta lidí používá jedno heslo všude.
Řešením je unikátní heslo pro každý jednotlivý účet. Uděláte-li to, únik u jedné služby zůstane omezený jen na tuto službu. Háček je samozřejmě v tom, že si nikdo nezapamatuje sto různých náhodných řetězců. A přesně to řeší správci hesel.
Správci hesel a druhý zámek
Správce hesel generuje a ukládá unikátní náhodné heslo pro každý váš účet, za vás ho vyplní a stačí si zapamatovat jen jedno hlavní heslo. Nástroje jako Bitwarden, 1Password, Proton Pass a další šifrují váš trezor tak, že vaše přihlašovací údaje nedokáže přečíst ani společnost, která je provozuje. Získáte bezpečnost dlouhých náhodných hesel bez zátěže na paměť. Pro většinu lidí je zavedení správce hesel tím největším jednotlivým vylepšením, jaké mohou pro svou online bezpečnost udělat.
Doplňte ho o dvoufaktorové ověření, často zkracované jako 2FA, u každého účtu, který ho podporuje. Se zapnutým 2FA nestačí ukradené heslo samo o sobě k přihlášení, protože útočník potřebuje ještě kód z vašeho telefonu nebo hardwarový klíč. Kódy z aplikace a fyzické bezpečnostní klíče jsou silnější než kódy přes SMS, ale jakýkoli druhý faktor je lepší než žádný. Kombinace hesla a 2FA je opravdu těžko prolomitelná.
Proč generování v prohlížeči zajišťuje soukromí
Když tento nástroj vytváří heslo, běží celý proces na vašem zařízení pomocí generátoru kryptograficky bezpečných náhodných čísel zabudovaného v prohlížeči, stejného typu bezpečného zdroje, jaký operační systémy používají pro klíče. Výsledek nikdy neopustí váš počítač. Neprobíhá žádné volání serveru, žádný analytický ping s přenášenou hodnotou, nic se nezapisuje do žádného logu. Můžete si to ověřit sami: otevřete stránku, vypněte síť a klidně generujte dál. Bude to fungovat, protože se vše odehrává lokálně.
Na tom záleží, protože heslo, jehož vytvoření musíte svěřit vzdálenému serveru, je heslo, které na chvíli existovalo někde mimo vaši kontrolu. Lokální generování tento krok úplně odstraňuje. Zkopírujte si nové heslo rovnou do svého správce hesel a je hotovo. Když už jste tady, podívejte se na naši kolekci všech generátorů, nebo si vezměte náhodný identifikátor z generátoru UUID, pokud ho potřebujete pro vývoj.
Často kladené otázky
Jak dlouhé by mělo být moje heslo?
Mířte alespoň na 16 znaků a u důležitých účtů, jako je e-mail nebo bankovnictví, jděte ještě výš. Délka přidává víc bezpečnosti než jakákoli kombinace symbolů, takže v případě pochybností volte raději delší heslo než složitější.
Jsou hesla, která tento nástroj vytváří, skutečně náhodná?
Ano. Jsou vytvořena pomocí kryptograficky bezpečného generátoru náhodných čísel vašeho prohlížeče, stejného zdroje, na který se spoléhají operační systémy při vytváření klíčů. Každé kliknutí vytvoří nový, nezávislý výsledek bez předvídatelného vzoru.
Je bezpečné generovat hesla ve webovém prohlížeči?
Je, pokud generování probíhá lokálně. Tento nástroj běží celý na vašem zařízení a heslo nikdy neodesílá na server. Můžete se odpojit od internetu a stále bude fungovat, což dokazuje, že se nic nepřenáší.
Mám použít heslovou frázi, nebo náhodné heslo?
Pro účty uložené ve správci hesel používejte dlouhé náhodné heslo, protože si ho nemusíte pamatovat. Pro pár přihlášení, která musíte psát zpaměti, jako je vaše hlavní heslo, použijte zapamatovatelnou heslovou frázi z několika náhodných nesouvisejících slov.
Proč je opakované používání stejného hesla tak riskantní?
Pokud unikne jeden web, útočníci vezmou uniklé heslo a automaticky ho zkoušejí na vašich dalších účtech. Unikátní heslo pro každý účet zabrání tomu, aby se jeden únik rozšířil dál. To je hlavní důvod, proč správci hesel vůbec existují.
Potřebuji stále dvoufaktorové ověření?
Ano. Silné unikátní heslo chrání proti hádání a credential stuffingu, ale 2FA přidává druhý zámek, takže samotné ukradené heslo účet neotevře. Zapněte ho všude, kde je nabízeno, ideálně přes aplikaci nebo hardwarový klíč místo SMS.