Nie ma potrzeby zmieniać haseł co 30, 60 ani 90 dni, jeśli nie doszło do ich ujawnienia lub przejęcia. Współczesne zalecenia NIST, CERT Polska i OWASP skupiają się na długości oraz unikalności hasła, a nie na jego regularnej rotacji. Wymuszanie częstych zmian często prowadzi do przewidywalnych schematów, takich jak „Warszawa1!” i „Warszawa2!”.
Jak zmieniło się podejście do haseł?
Dawniej zakładano, że częsta zmiana hasła ograniczy czas, w którym osoba nieuprawniona może korzystać ze skradzionych danych. Z czasem okazało się jednak, że użytkownicy rzadko tworzą przy każdej zmianie zupełnie nową, silną frazę. Zamiast tego modyfikują poprzednią według łatwego do przewidzenia wzoru.
NIST 800-63-B odradza arbitralne, okresowe wymuszanie zmiany zapamiętywanych haseł. Podobne stanowisko prezentują CERT Polska i OWASP ASVS 4.0. Hasło należy zmienić wtedy, gdy istnieją przesłanki, że zostało ujawnione, skradzione lub wykorzystane przez inną osobę.
| Cecha | Stara praktyka | Nowa praktyka |
|---|---|---|
| Częstotliwość zmiany | Wymiana co 30, 60 lub 90 dni | Zmiana po podejrzeniu kompromitacji |
| Złożoność | Obowiązkowa wielka litera, cyfra i znak specjalny | Swobodne znaki, bez schematów i popularnych haseł |
| Długość | Często minimum 8 znaków | Co najmniej 12 znaków, najlepiej dłuższa fraza |
| Powtarzalność | Modyfikowanie poprzedniego hasła | Inne hasło dla każdego serwisu |
Dlaczego częsta zmiana haseł może obniżać bezpieczeństwo?
Hasło zmieniane pod presją czasu musi być łatwe do zapamiętania. Użytkownik często zachowuje jego główny człon, a zmienia tylko końcówkę. Przykładowy schemat może wyglądać tak: „Warszawa1!”, „Warszawa2!” albo „Styczeń2024”, „Luty2024”. Podobny mechanizm obejmuje zamianę liter na znaki, na przykład „a” na „@” lub „o” na „0”.
Taka zmiana daje pozorne poczucie odświeżenia zabezpieczenia. Osoba, która poznała poprzednie hasło, może jednak łatwiej przewidzieć następne. Zmienia się nie tylko hasło, ale także utrwalony sposób jego tworzenia. Dodatkowym problemem jest zapisywanie nowych haseł na kartkach, w plikach tekstowych albo używanie tej samej frazy w wielu usługach.
O sile hasła decyduje przede wszystkim jego długość i oryginalność. Minimum 12 znaków to rozsądny punkt wyjścia, a pełne zdanie lub dłuższa fraza może być łatwiejsza do zapamiętania niż krótki ciąg przypadkowych symboli. Nie należy używać popularnych słów, prostych kombinacji klawiszy, danych osobowych ani tego samego hasła w kilku serwisach.
Kiedy faktycznie zmienić hasło?
Zmiana jest potrzebna wtedy, gdy pojawia się konkretna przesłanka, że dotychczasowe hasło nie jest już poufne. Dotyczy to zwłaszcza następujących sytuacji:
- Otrzymasz informację o wycieku danych z serwisu, w którym używasz tego hasła.
- Podejrzewasz, że ktoś zobaczył hasło, gdy wpisywałeś je w miejscu publicznym lub przy innych osobach.
- Zalogowałeś się na stronie podsuniętej w wiadomości phishingowej albo podałeś na niej dane logowania.
- Na koncie pojawiły się nieznane logowania, wiadomości, zmiany ustawień lub inne działania, których nie wykonywałeś.
- Urządzenie mogło zostać zainfekowane złośliwym oprogramowaniem wykradającym dane.
Po podejrzeniu przejęcia hasła najpierw usuń prawdopodobną przyczynę problemu, na przykład przeskanuj urządzenie lub skorzystaj z bezpiecznego komputera. Przy koncie bankowym skontaktuj się także z bankiem i sprawdź historię operacji.
Co stosować zamiast częstej zmiany?
Lepszą ochronę daje połączenie kilku prostych zasad. Każda z nich ogranicza inne ryzyko, dlatego nie warto zastępować jednej ochrony drugą.
- Długie hasło – używaj frazy mającej co najmniej 12 znaków, a tam, gdzie usługa na to pozwala, także dłuższej.
- Unikalność – twórz osobne hasło do poczty, banku, mediów społecznościowych i innych ważnych usług.
- Uwierzytelnianie dwuetapowe 2FA – włącz dodatkowe potwierdzenie kodem, aplikacją lub fizycznym kluczem, jeśli serwis je oferuje.
- Menedżer haseł – przechowuj w nim unikalne, długie hasła, których nie trzeba zapamiętywać ręcznie.
- Alerty bezpieczeństwa – reaguj na powiadomienia o logowaniu z nowego urządzenia lub nietypowej lokalizacji.
2FA zmniejsza ryzyko przejęcia konta po ujawnieniu samego hasła, choć nie zastępuje ostrożności wobec phishingu ani unikalnych danych logowania. Menedżer haseł pomaga z kolei rozwiązać problem wielu długich haseł, bez upraszczania ich do przewidywalnych wariantów.
Dobre hasło może pozostać niezmienione przez lata, jeśli nie ma oznak jego kompromitacji. Zmieniaj je nie według kalendarza, lecz w reakcji na realne zagrożenie, a na co dzień stawiaj na długość, unikalność i 2FA.
Artykuł nie stanowi porady inwestycyjnej lub finansowej
