Strona główna / Słownik bezpieczeństwa haseł

Słownik bezpieczeństwa haseł

Proste definicje terminów związanych z hasłami, hashowaniem i bezpieczeństwem kont.

Ataki

Atak siłowy: Próbowanie każdej możliwej wartości, aż któraś zadziała. Jego jedynym ograniczeniem jest tempo prób i liczba możliwości — dlatego długość pokonuje złożoność.
Atak słownikowy: Atak siłowy zawężony do prawdopodobnych kandydatów — prawdziwych słów, imion, wyciekłych haseł, wzorów klawiatury. Bardzo skuteczny przeciwko hasłom wymyślonym samodzielnie przez ludzi.
Credential stuffing: Automatyczne wypróbowywanie na wielu innych stronach loginu i hasła wyciekłych z jednej strony. Działa tylko dlatego, że hasła są powtórnie używane.
Phishing: Nakłonienie Cię do wpisania hasła na fałszywej stronie lub w wiadomości. Siła hasła nie ma tu znaczenia; pomaga 2FA i ostrożność.
Keylogger: Złośliwe oprogramowanie lub sprzęt rejestrujący wszystko, co wpisujesz, przechwytując hasła w chwili ich wpisywania, niezależnie od ich siły.

Entropia: Miara nieprzewidywalności sekretu, wyrażona w bitach — w przybliżeniu liczba prób potrzebnych średnio do odgadnięcia, jako potęga dwójki. Każdy dodatkowy bit podwaja pracę potrzebną do złamania.
Hash: Jednokierunkowa funkcja zamieniająca dowolne dane wejściowe w odcisk o stałej długości. Strony przechowują hash Twojego hasła, a nie samo hasło.
Sól (salting): Unikalna losowa wartość mieszana z każdym hasłem przed hashowaniem. Sprawia, że identyczne hasła dają różne hashe i unieważnia wcześniej obliczone tablice (rainbow).
Key stretching: Celowo powolne hashowanie (bcrypt, scrypt, Argon2, PBKDF2), które dodaje wysoki koszt do każdej próby, spowalniając łamanie offline o rzędy wielkości.
CSPRNG: Kryptograficznie bezpieczny generator losowy, taki jak crypto.getRandomValues() w przeglądarce. Jego wynik nie może zostać przewidziany ani odtworzony, w przeciwieństwie do Math.random().

Uwierzytelnianie dwuskładnikowe (2FA): Drugi dowód tożsamości poza hasłem — kod z aplikacji, potwierdzenie lub klucz sprzętowy. Blokuje atakującego, który zna tylko hasło.
Klucz dostępu (Passkey, FIDO2): Bezhasłowe poświadczenie powiązane z Twoim urządzeniem za pomocą kryptografii klucza publicznego. Do strony nie jest wysyłane nic tajnego, więc nie można go wyłudzić ani wykraść w wycieku.
Hasło główne: Jedyne hasło, które odblokowuje menedżera haseł. To jedyne, które zapamiętujesz, więc zrób z niego długą frazę i nigdy go nie powtarzaj.

Fraza hasłowa: Hasło zbudowane z kilku losowych słów. Łatwe do wpisania i zapamiętania, a silne, gdy słowa wybiera oprogramowanie, a nie Ty.
Menedżer haseł: Aplikacja, która tworzy, przechowuje i wypełnia unikalne hasło dla każdego konta za jednym hasłem głównym — najskuteczniejszy pojedynczy nawyk dla bezpieczeństwa kont.
Wyciek danych: Incydent, w którym dane użytkowników usługi, często wraz z hashami haseł, zostają skradzione i zwykle upublicznione. Sprawdź swoje narażenie za pomocą testera wycieków na tej stronie.