Bezpieczne hasło powinno być długie, unikalne dla każdego serwisu i trudne do przewidzenia. Najlepiej użyć co najmniej 12–16 znaków, a do ważnych kont wygenerować losowy ciąg w menedżerze haseł. Znaki specjalne mogą pomóc, ale sama ich obecność nie zastąpi długości i losowości.
Dlaczego długość hasła jest ważniejsza niż jego „skomplikowanie”?
Ataki automatyczne, takie jak brute force i ataki słownikowe, sprawdzają ogromną liczbę możliwych kombinacji. Każdy dodatkowy znak zwiększa liczbę wariantów, które atakujący musi przeanalizować. Dlatego długa, nieoczywista fraza zwykle zapewnia lepszą ochronę niż krótkie hasło z wykrzyknikiem i cyfrą dopisaną na końcu.
Wytyczne NIST oraz rekomendacje CERT Polska odchodzą od traktowania wymuszonych znaków specjalnych jako najważniejszej zasady. Hasło w rodzaju „Pa55word!” wygląda na złożone, ale jest przewidywalną modyfikacją popularnego słowa. Nie ma też potrzeby zmieniać hasła co miesiąc lub co kilka miesięcy, jeśli nie ma podejrzenia jego ujawnienia. Cykliczne zmiany często prowadzą do schematów typu „haslo1”, „haslo2” i podobnych.
Jak stworzyć silne i zapamiętywalne hasło?
Do pojedynczego hasła, które musisz zapamiętać, możesz wykorzystać metodę kilku losowych słów albo długiej frazy. Powinny być ze sobą niezwiązane i nie mogą nawiązywać do twojego życia, zainteresowań ani informacji publikowanych w mediach społecznościowych.
Silna fraza powinna mieć następujące cechy:
- Długość – celuj w co najmniej 12–16 znaków, a jeśli serwis pozwala, wybierz jeszcze dłuższą formę.
- Losowość – połącz słowa, których nie da się łatwo skojarzyć z tobą ani ze sobą nawzajem.
- Unikalność – każde konto powinno mieć osobne hasło, nawet jeśli dotyczy mało ważnego serwisu.
- Brak danych osobowych – pomiń imiona, daty, adresy, numery telefonów i nazwy zwierząt.
- Odporność na przewidywalne wzorce – nie ograniczaj się do zamiany „a” na „@” albo dopisania „123”.
Możesz utworzyć hasło krok po kroku, korzystając z poniższej metody:
- Wybierz kilka niezwiązanych ze sobą słów, których nie używasz publicznie i które nie opisują twojego otoczenia.
- Połącz je w długą frazę, zmieniając wielkość liter tylko wtedy, gdy poprawia to czytelność lub spełnia wymagania serwisu.
- Dodaj separator albo znak specjalny w miejscu, którego nie da się łatwo przewidzieć, zamiast zawsze umieszczać go na końcu.
- Sprawdź, czy hasło nie przypomina popularnego cytatu, tytułu, sekwencji klawiszy ani informacji z twojego profilu.
- Dla pozostałych kont wygeneruj osobne losowe hasła w menedżerze haseł i nie próbuj ich zapamiętywać.
Przykładowych haseł z poradników nie należy kopiować. Gdy hasło zostanie opublikowane, przestaje być tajne, nawet jeśli wcześniej wyglądało na mocne.
[picture_1]
Czego nie używać podczas tworzenia hasła?
Najczęstsze błędy wynikają z wygody. Atakujący korzystają z list popularnych haseł, słowników, danych znalezionych w sieci oraz schematów używanych przez wiele osób. Zrezygnuj przede wszystkim z takich rozwiązań:
- „123456”, „qwerty”, „password”, „admin” i podobnych popularnych ciągów.
- Imion, nazwisk, dat urodzenia, nazw ulic, numerów telefonów i imion zwierząt.
- Jednego hasła używanego w poczcie, bankowości, sklepach i mediach społecznościowych.
- Prostych zamian, takich jak „o” na „0”, „a” na „@” lub „s” na „$”, bez zwiększenia długości i losowości.
- Hasła będącego loginem, adresem e-mail, pojedynczym słowem ze słownika albo jego odwróceniem.
Unikalność chroni przed efektem domina po wycieku danych. Jeśli hasło z jednego serwisu trafi do przestępców, mogą oni sprawdzić, czy ten sam login i ciąg znaków działa także w innych usługach.
Jak zarządzać hasłami?
Zapamiętanie kilkudziesięciu długich i unikalnych haseł jest niewygodne, dlatego menedżer haseł powinien być podstawowym narzędziem. Generuje losowe ciągi, przechowuje je w zabezpieczonej bazie i może automatycznie uzupełniać dane tylko na właściwej stronie. Ty zapamiętujesz jedno hasło główne, które powinno być długie i nieużywane nigdzie indziej.
Drugą warstwę ochrony zapewnia 2FA, czyli uwierzytelnianie dwuetapowe. W zależności od serwisu może wykorzystywać aplikację generującą kody, powiadomienie na telefonie, klucz sprzętowy albo SMS. Gdy dostępna jest aplikacja autoryzująca lub klucz U2F/FIDO2, zwykle warto wybrać je zamiast samego SMS-a.
Poniższe zestawienie pokazuje, jak te metody uzupełniają się w codziennym użyciu:
| Metoda | Bezpieczeństwo | Wygoda |
|---|---|---|
| Menedżer haseł | Wysokie, jeśli baza i hasło główne są dobrze chronione | Wysoka po początkowej konfiguracji |
| 2FA | Wysokie, bo wymaga drugiego składnika poza hasłem | Średnia, zależnie od użytej metody |
| Passkeys | Bardzo wysokie w serwisach obsługujących standard FIDO2 | Wysoka, logowanie potwierdza się urządzeniem lub biometrią |
Czym są Passkeys?
Passkeys, czyli klucze dostępu, pozwalają logować się bez wpisywania hasła. To rozwiązanie oparte na standardzie FIDO2. Potwierdzasz dostęp odciskiem palca, rozpoznawaniem twarzy albo kodem urządzenia, a klucz kryptograficzny pozostaje na telefonie lub komputerze.
Passkey jest powiązany z konkretną stroną, więc nie można wpisać go na fałszywej witrynie podszywającej się pod prawdziwy serwis. Z tego powodu ogranicza ryzyko phishingu. Jeśli dana usługa obsługuje klucze dostępu, możesz je skonfigurować obok silnego hasła lub użyć ich jako podstawowej metody logowania.
Czy moje hasło jest bezpieczne?
Sprawdź własne konta według krótkiej listy kontrolnej:
- Hasło ma co najmniej 12–16 znaków.
- Jest inne w każdym serwisie.
- Nie zawiera danych osobowych ani informacji widocznych w mediach społecznościowych.
- Nie opiera się na sekwencji, popularnym słowie ani przewidywalnej podmianie znaków.
- Jest zapisane w menedżerze haseł albo zapamiętane bez przechowywania w łatwo dostępnym pliku.
- Na koncie jest włączone 2FA lub skonfigurowany Passkey, jeśli usługa je oferuje.
Hasło zmień od razu po informacji o wycieku, podejrzanym logowaniu albo wpisaniu go na stronie, której autentyczności nie masz pewności.
