Cum construiești o parolă care chiar rezistă
Majoritatea dintre noi am învățat lecția greșită despre parole. Ni s-a spus să înlocuim un "a" cu un "@", să adăugăm un semn de exclamare și să scriem prima literă cu majusculă, apoi să numim asta "sigur". Problema e că și atacatorii au învățat aceste trucuri. O parolă precum "P@rola1!" pare complicată pentru un om și banală pentru un program de spart parole. Ce protejează cu adevărat un cont nu este ingeniozitatea. Este lungimea, aleatoriul și disciplina simplă de a nu folosi niciodată aceeași parolă de două ori.
Această pagină generează parole direct în browserul tău. Alegi lungimea și ce tipuri de caractere să includă, iar instrumentul construiește pe loc un șir aleatoriu nou. Nimic din ce generezi nu este trimis nicăieri, înregistrat sau stocat. Mai jos găsești motivul pentru care setările implicite sunt așa cum sunt și cum să obții maximul din ele.
Lungimea și entropia bat regulile de complexitate
Fiecare parolă are o cantitate măsurabilă de imprevizibilitate, pe care specialiștii în securitate o numesc entropie. Cu cât entropia e mai mare, cu atât mai multe încercări trebuie să facă un atacator înainte să nimerească parola ta. Doi factori cresc entropia: câte caractere posibile ai la dispoziție și câte dintre ele înșiri împreună. Lungimea face treaba grea. Adăugarea unui caracter în plus multiplică numărul de combinații posibile, în timp ce adăugarea unui tip suplimentar de simbol îl crește doar puțin.
De aceea o parolă aleatorie de 16 caractere formată din litere mici și cifre este mult mai greu de spart decât una de 8 caractere plină de simboluri. Recomandările moderne de la organizații precum CISA și National Cybersecurity Alliance ajung mereu la același număr: vizează cel puțin 16 caractere. Cu cât mai lungă, cu atât mai bine. Dacă un site îți permite să mergi la 20 sau mai multe caractere pentru conturile importante, fă-o. Câteva secunde în plus la tastare îți cumpără ani de rezistență la atacurile prin forță brută.
Regulile de complexitate, cele care cer "o majusculă, o cifră, un simbol", există mai ales pentru a-i opri pe oameni să aleagă "parola123". Ele nu fac un șir cu adevărat aleatoriu semnificativ mai puternic. O parolă cu adevărat aleatorie deja depășește aceste reguli fără efort. Așa că activează câteva tipuri de caractere aici, pentru compatibilitate cu formularele de login pretențioase, apoi lasă lungimea să facă treaba grea.
Fraze-parolă: lungi, aleatorii și memorabile
Există un caz în care chiar trebuie să reții singur o parolă: parola master pentru managerul tău de parole, sau autentificarea pe calculator. Pentru acestea, o frază-parolă funcționează excelent. Alege patru până la șase cuvinte fără legătură între ele, la întâmplare, cu cât mai fără sens cu atât mai bine, și înșiră-le împreună: ceva de genul "cupru-felinar-burniță-nucă". Este lungă, are multă entropie, iar creierul tău chiar o poate reține.
Cuvântul-cheie este aleatoriu. "Cal corect baterie capsă" (în engleză, "correct horse battery staple") este celebră tocmai pentru că acele cuvinte nu au nicio legătură logică. O frază preluată dintr-un vers de cântec sau un citat nu este deloc aleatorie, pentru că atacatorii alimentează exact aceste surse în programele lor de ghicit. Pentru restul, conturile în care te loghezi de câteva ori pe an, nu ar trebui să memorezi nimic. Asta e treaba software-ului.
De ce reutilizarea parolelor este pericolul real
Iată statistica ce ar trebui să-ți schimbe modul de gândire: o mare parte din breșele de date se trag din credențiale reutilizate sau slabe. Mecanismul este brutal de simplu. Un site pe care te-ai înregistrat acum ani de zile este spart și își scurge baza de date cu parole. Atacatorii iau acele perechi email-parolă și le încearcă pe bănci, furnizori de email și magazine online, automat, cu milioanele. Se numește credential stuffing și funcționează pentru că atât de mulți oameni folosesc o singură parolă peste tot.
Soluția este o parolă unică pentru fiecare cont în parte. Fă asta, și o breșă la un serviciu rămâne izolată la acel serviciu. Problema, desigur, este că nimeni nu poate ține minte o sută de șiruri aleatorii diferite. Exact asta rezolvă managerii de parole.
Managerii de parole și un al doilea lacăt
Un manager de parole generează și stochează o parolă aleatorie unică pentru fiecare dintre conturile tale, le completează automat și îți cere să reții doar o singură parolă master. Instrumente precum Bitwarden, 1Password, Proton Pass și altele îți criptează seiful astfel încât nici măcar compania care îl operează nu-ți poate citi autentificările. Obții securitatea parolelor lungi și aleatorii fără povara memorării. Pentru majoritatea oamenilor, adoptarea unuia este cel mai mare upgrade pe care îl pot face siguranței lor online.
Combină-l cu autentificarea în doi factori, adesea numită 2FA, la fiecare cont care o suportă. Cu 2FA activat, o parolă furată singură nu e suficientă pentru a intra, pentru că atacatorul are nevoie și de un cod de pe telefonul tău sau de o cheie hardware. Codurile din aplicații și cheile de securitate fizice sunt mai puternice decât codurile prin SMS, dar orice al doilea factor e mai bun decât niciunul. Parolă plus 2FA este o combinație cu adevărat greu de învins.
De ce generarea în browser păstrează confidențialitatea
Când acest instrument construiește o parolă, rulează în întregime pe dispozitivul tău, folosind generatorul criptografic de numere aleatorii integrat în browser, aceeași sursă sigură pe care sistemele de operare o folosesc pentru chei. Rezultatul nu părăsește niciodată calculatorul tău. Nu există niciun apel către server, niciun ping de analytics care să care valoarea, nimic scris într-un jurnal. Poți confirma asta deschizând pagina, oprind rețeaua și generând în continuare. Tot funcționează, pentru că totul se întâmplă local.
Asta contează pentru că o parolă pe care trebuie să ai încredere că un server la distanță o creează este o parolă care a existat, fie și pentru scurt timp, undeva ce nu controlezi. Generarea locală elimină complet acest pas. Copiază noua ta parolă direct în managerul de parole și ai terminat. Cât timp ești aici, aruncă o privire peste colecția noastră toți generatorii, sau ia un identificator aleatoriu din generatorul de UUID dacă ai nevoie de unul pentru dezvoltare.
Întrebări frecvente
Cât de lungă ar trebui să fie parola mea?
Vizează cel puțin 16 caractere și mergi mai lung pentru conturile importante, precum email-ul și banking-ul. Lungimea adaugă mai multă securitate decât orice combinație de simboluri, așa că atunci când ai dubii, fă-o mai lungă, nu mai complicată.
Parolele generate de acest instrument sunt cu adevărat aleatorii?
Da. Sunt construite folosind generatorul criptografic sigur de numere aleatorii al browserului tău, aceeași sursă pe care sistemele de operare se bazează pentru chei. Fiecare click produce un rezultat nou, independent, fără niciun tipar previzibil.
Este sigur să generezi parole într-un browser web?
Este, atâta timp cât generarea are loc local. Acest instrument rulează în întregime pe dispozitivul tău și nu trimite niciodată parola către un server. Poți să te deconectezi de la internet și tot funcționează, ceea ce dovedește că nimic nu este transmis.
Ar trebui să folosesc o frază-parolă sau o parolă aleatorie?
Folosește o parolă lungă și aleatorie pentru conturile pe care le păstrezi într-un manager de parole, pentru că nu trebuie să le memorezi. Folosește o frază-parolă memorabilă din câteva cuvinte aleatorii fără legătură pentru puținele autentificări pe care trebuie să le tastezi din memorie, cum ar fi parola ta master.
De ce este atât de riscantă reutilizarea aceleiași parole?
Dacă un site este spart, atacatorii iau parola scursă și o încearcă automat pe celelalte conturi ale tale. O parolă unică pentru fiecare cont împiedică o singură breșă să se răspândească. Acesta e principalul motiv pentru care există managerii de parole.
Mai am nevoie de autentificare în doi factori?
Da. O parolă puternică și unică protejează împotriva ghicirii și a credential stuffing, dar 2FA adaugă un al doilea lacăt, astfel încât o parolă furată singură nu îți poate debloca contul. Activeaz-o peste tot unde este oferită, ideal cu o aplicație sau o cheie hardware, nu prin SMS.