Jak stworzyć bezpieczne hasło

Co decyduje o sile hasła?

Długość i losowość - nie "złożoność"

Przez lata powtarzano, że dobre hasło musi mieć wielką literę, cyfrę i znak specjalny. To mit. Siła hasła zależy od dwóch rzeczy:

• Długość - każdy dodatkowy znak mnoży liczbę kombinacji do sprawdzenia
• Losowość - hasło nie może być przewidywalne dla atakującego

Znaki specjalne pomagają tylko wtedy, gdy hasło jest naprawdę losowe. Jeśli stosujesz przewidywalne wzorce, żadna ilość znaków specjalnych nie pomoże.

Dlaczego Piesek123! jest słabe?

Na pierwszy rzut oka to hasło spełnia typowe wymagania: wielka litera, cyfry, znak specjalny, 10 znaków. Problem w tym, że:

• Piesek to popularne słowo - znajduje się w każdym słowniku ataków
• 123 na końcu - najpopularniejsza modyfikacja na świecie
• ! na końcu - drugi najpopularniejszy znak specjalny (po @)
• Wielka litera na początku - tak robi 90% użytkowników

Hakerzy znają te wzorce. Narzędzia do łamania haseł automatycznie testują słowa ze słowników z typowymi modyfikacjami. Hasło Piesek123! zostanie złamane w ciągu sekund.

Dlaczego atak na Twoje hasło wcale nie jest trudny?

Dla porównania:

Trzy podejścia do tworzenia haseł

1. Passphrase - hasło z losowych słów

Passphrase to hasło składające się z kilku losowo wybranych słów, np. krowa-lampa-ocean-zegar. Jest łatwe do zapamiętania, a przy 5+ słowach oferuje bardzo wysokie bezpieczeństwo.

Kiedy używać:

• Hasło główne do managera haseł
• Szyfrowanie dysku lub kopii zapasowych
• Logowanie na urządzeniach bez klawiatury (telewizor, konsola)
• Wszędzie, gdzie musisz wpisywać hasło ręcznie

Ważne: słowa muszą być wybrane losowo przez generator, nie przez Ciebie. Ludzki mózg jest fatalny w generowaniu losowości - wybieramy słowa, które "jakoś pasują" lub coś dla nas znaczą.

Czym jest passphrase i kiedy warto ich używać?

2. Losowe hasło + manager haseł

Długi ciąg losowych znaków, np. xK9#mL2$vQ7@nP4. Niemożliwe do zapamiętania, ale oferuje maksymalne bezpieczeństwo przy minimalnej długości.

Kiedy używać:

• Wszystkie konta internetowe (email, bankowość, social media)
• Wszędzie, gdzie hasło jest przechowywane w managerze i autouzupełniane

Wymaga managera haseł - nie ma sensu próbować zapamiętywać takich haseł. Manager przechowuje je bezpiecznie i wpisuje za Ciebie.

Passphrase vs klasyczne hasło — co jest bezpieczniejsze?

3. Własne "systemy" - dlaczego nie działają

Wiele osób tworzy własne systemy generowania haseł:

• "Biorę pierwsze litery ulubionej piosenki"
• "Używam nazwy serwisu + mojego hasła bazowego"
• "Zamieniam niektóre litery na cyfry"

Problem: te systemy są przewidywalne. Jeśli Ty wpadłeś na taki pomysł, wpadły na niego też tysiące innych osób - i hakerzy o tym wiedzą. Narzędzia do łamania haseł zawierają reguły testujące dokładnie takie wzorce.

Co gorsza, jeśli atakujący złamie jedno Twoje hasło i zorientuje się w Twoim "systemie", może łatwo odgadnąć pozostałe.

Jedyne bezpieczne podejście to prawdziwa losowość - generator, nie ludzki umysł.

Najczęstsze błędy

Używanie tego samego hasła w wielu miejscach

To najgroźniejszy błąd. Wycieki danych zdarzają się regularnie - w publicznych wyciekach jest już ponad 17 miliardów kont - haveibeenpwned. Jeśli używasz tego samego hasła w wielu serwisach, wyciek w jednym miejscu oznacza utratę wszystkich kont.

Hakerzy automatycznie testują skradzione pary login/hasło w popularnych serwisach (tzw. credential stuffing). Jedno hasło = jedno konto.

Popularne frazy i cytaty

Teksty piosenek, cytaty z filmów, przysłowia - wszystko to znajduje się w słownikach ataków. MayTheForceBeWithYou czy ToBeOrNotToBe zostanie złamane w sekundy, mimo że wygląda na długie i skomplikowane.

Przewidywalne modyfikacje

Zamiany typu a→@, e→3, o→0 są znane hakerom od lat 90. Dodawanie 123 lub roku na końcu to najpopularniejsze modyfikacje na świecie. Hasło P@ssw0rd2024! jest równie słabe jak password.

Zbyt krótkie hasła

Nawet losowe hasło jest słabe, jeśli jest za krótkie. Minimum to:

• 12-14 znaków dla haseł losowych
• 4-5 słów dla passphrase (5+ zalecane)

Zapisywanie haseł w przeglądarce bez hasła głównego

Przeglądarki oferują zapisywanie haseł, ale często nie wymagają dodatkowego uwierzytelnienia. Każdy, kto uzyska dostęp do Twojego komputera (fizyczny lub zdalny), może wyświetlić wszystkie zapisane hasła.

Jak hakerzy łamią hasła?

Praktyczny przepis w 4 krokach

Krok 1: Wybierz managera haseł

Manager haseł to aplikacja, która bezpiecznie przechowuje wszystkie Twoje hasła i wpisuje je automatycznie. Musisz zapamiętać tylko jedno hasło - hasło główne do managera.

Jak wybrać odpowiedni dla siebie manager haseł?

Każda z tych opcji jest lepsza niż zapisywanie haseł w przeglądarce lub używanie tego samego hasła wszędzie.

Krok 2: Stwórz silne hasło główne

Hasło główne chroni dostęp do wszystkich pozostałych haseł. Musi być jednocześnie bardzo silne i możliwe do zapamiętania. Passphrase idealnie spełnia oba warunki.

Jak to zrobić:

1. Użyj naszego generatora haseł
2. Wybierz co najmniej 5 słów
3. Zapamiętaj frazę (możesz na początku zapisać ją w bezpiecznym miejscu)
4. Nigdy nie używaj tego hasła nigdzie indziej

Przykład: krowa-lampa-ocean-zegar-piasek - łatwe do zapamiętania, praktycznie niemożliwe do złamania.

Krok 3: Wygeneruj unikalne hasła do każdego serwisu

Dla każdego konta użyj generatora w managerze haseł. Ustawienia:

• Długość: 16-20 znaków (lub więcej, jeśli serwis pozwala)
• Zawartość: litery, cyfry, symbole
• Całkowicie losowe

Nie musisz zapamiętywać tych haseł - manager zrobi to za Ciebie. Ważne jest, żeby każde konto miało inne hasło.

Zacznij od najważniejszych kont:

1. Email (kto ma dostęp do emaila, może zresetować hasła do wszystkiego)
2. Bankowość i finanse
3. Social media
4. Sklepy internetowe (mają zapisane karty płatnicze)

Krok 4: Włącz weryfikację dwuetapową (2FA)

Nawet najsilniejsze hasło może wyciec. Weryfikacja dwuetapowa dodaje drugą warstwę ochrony - oprócz hasła potrzebujesz czegoś, co masz (telefon, klucz sprzętowy).

Typy 2FA (od najsłabszego do najsilniejszego):

• SMS - lepsze niż nic, ale podatne na ataki SIM swap
• Aplikacja (Google Authenticator, Authy, Aegis) - generuje kody offline, znacznie bezpieczniejsza
• Klucz sprzętowy (YubiKey) - fizyczne urządzenie, najwyższy poziom bezpieczeństwa

Włącz 2FA przynajmniej dla:

• Konta email
• Managera haseł
• Bankowości
• Social media

Ważne: zapisz kody zapasowe! Jeśli stracisz telefon i zostaniesz bez kodów zapasowych, możesz utracić dostęp do konta.

Podsumowanie

Tworzenie bezpiecznych haseł sprowadza się do trzech zasad:

1. Używaj generatora - ludzie są przewidywalni, komputery nie
2. Jedno hasło = jedno konto - manager haseł czyni to łatwym
3. Włącz 2FA - druga warstwa ochrony na wypadek wycieku

Zacznij od managera haseł i silnego hasła głównego. Potem stopniowo zmieniaj hasła do najważniejszych kont. Nie musisz robić wszystkiego od razu - każdy krok zwiększa Twoje bezpieczeństwo.