Jak stworzyć silne hasło
Siła hasła wynika z bycia długim i nieprzewidywalnym. Każdy dodatkowy znak mnoży liczbę kombinacji, które musi wypróbować atakujący, więc długość jest najskuteczniejszą dźwignią, jaką masz. Używaj co najmniej 12 znaków do codziennych kont i 16 lub więcej do e-maila, bankowości i Twojego menedżera haseł.
Mieszanie wielkich i małych liter, cyfr i symboli powiększa zestaw możliwych znaków i zwiększa entropię każdej pozycji. Losowość liczy się tak samo: hasła wybierane przez ludzi podążają za wzorcami — imię i rok, słowo z @ zamiast a, albo sekwencja klawiatury jak qwerty. Generator oparty na Web Crypto API nie ma tego zniekształcenia.
- Unikaj słów ze słownika, imion, dat urodzenia i sekwencyjnych znaków.
- Nie polegaj na przewidywalnych podstawieniach jak H@sło1.
- Nigdy nie używaj ponownie hasła na więcej niż jednej stronie.
Entropia hasła i czas złamania
Entropia, mierzona w bitach, wyraża, jak trudno odgadnąć hasło. To w przybliżeniu długość hasła pomnożona przez logarytm o podstawie 2 z rozmiaru zestawu znaków. Każdy dodatkowy bit podwaja wysiłek potrzebny do złamania hasła metodą siłową.
- Poniżej 40 bitów — słabe; może paść w kilka sekund lub godzin.
- Około 60 bitów — akceptowalne dla kont niskiej wartości.
- Od 75 do 100 bitów — silne; niepraktyczne do złamania przy obecnym sprzęcie.
- Powyżej 100 bitów — doskonałe; odpowiednie dla haseł głównych i kluczy szyfrujących.
Czas złamania pokazywany przez tester zakłada około 10 miliardów prób na sekundę, mniej więcej tyle, ile osiąga nowoczesna platforma GPU przeciwko szybkiemu hashowi. Rzeczywiste liczby zależą od algorytmu hashowania i zasobów atakującego, więc traktuj to jako względny wskaźnik, nie gwarancję.
Jak łamane są hasła
Silne, unikalne hasło pokonuje ataki oparte na zgadywaniu — ale nie wszystkie ataki działają w ten sposób:
- Ataki siłowe i maskowe próbują każdej kombinacji, lub każdej kombinacji pasującej do znanego wzorca.
- Ataki słownikowe przeszukują listy słów i bazy danych haseł ujawnionych w dawnych wyciekach.
- Credential stuffing bierze skradzione dane logowania z jednej strony i próbuje ich wszędzie — dlatego powtarzanie haseł jest tak niebezpieczne.
- Phishing nakłania Cię do wpisania hasła na fałszywej stronie logowania.
- Malware i keyloggery przechwytują to, co wpisujesz, niezależnie od siły hasła.
Długość i losowość radzą sobie z pierwszymi dwoma. Na resztę pomaga uwierzytelnianie dwuskładnikowe i zdrowa nieufność wobec nieoczekiwanych próśb o zalogowanie.
Dobre praktyki zarządzania hasłami
- Unikalne hasło dla każdego konta. Dzięki temu wyciek w jednej usłudze nie otwiera pozostałych.
- Używaj menedżera haseł, takiego jak Bitwarden, KeePassXC czy 1Password. Zapamiętujesz tylko jedno silne hasło główne, a on przechowuje resztę.
- Włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne, wybierając aplikację uwierzytelniającą lub sprzętowy klucz bezpieczeństwa zamiast kodów SMS.
- Zmieniaj hasło, gdy jest ku temu powód — po powiadomieniu o wycieku lub podejrzeniu przejęcia konta. Obecne wytyczne (NIST) odradzają wymuszaną okresową zmianę hasła, która skłania do wybierania słabszych, wzorcowych haseł.
- Nigdy nie udostępniaj hasła przez e-mail lub czat i nigdy nie trzymaj go w pliku tekstowym ani arkuszu kalkulacyjnym.
Frazy hasłowe i losowe ciągi znaków
Fraza hasłowa składa się z kilku niepowiązanych słów wybranych losowo, na przykład skrzypce port nikiel dryf. Przy czterech do sześciu naprawdę losowych słowach jest bardzo silna i o wiele łatwiejsza do wpisania i zapamiętania niż losowy ciąg znaków. Hasło z losowych znaków mieści więcej entropii w każdym znaku i jest lepszym wyborem, gdy menedżer wpisuje je za Ciebie i nigdy nie wpisujesz go ręcznie.
Praktyczny podział: użyj długiej frazy hasłowej dla jedynego hasła głównego, które musisz pamiętać, a resztę zdaj na ten generator, tworząc losowe ciągi dla każdego pojedynczego konta.
Czy ten generator jest prywatny i bezpieczny?
Wszystko dzieje się w Twojej przeglądarce. Ta strona nie ma zaplecza serwerowego: hasła są tworzone lokalnie w JavaScript i nigdy nie są wysyłane przez sieć. Losowość pochodzi z crypto.getRandomValues(), kryptograficznie bezpiecznego generatora przeglądarki, a nie z przewidywalnego Math.random().
Nie ma tu ciasteczek, analityki ani logów. Możesz otworzyć stronę, odłączyć internet, a nadal będzie działać — i możesz sprawdzić, że nic nie jest przesyłane, obserwując zakładkę Sieć w narzędziach deweloperskich przeglądarki.
Dalsza lektura
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — sprawdź przejęte konta
Wygenerowałeś silne hasło? Potrzebujesz bezpiecznego miejsca, by je przechować →
Powiązane pojęcia: Entropia · Atak siłowy · Fraza hasłowa · Menedżer haseł · CSPRNG