Bezpieczeństwo haseł

Wokół haseł krąży więcej przestarzałej wiedzy niż wokół niemal każdego innego tematu informatycznego. Reguła ze znakiem specjalnym, wielką literą i cyfrą pochodzi z czasów, gdy atakujący zgadywali jeszcze ręcznie. Dziś uchodzi za nieaktualną — zdaniem tej samej instytucji, która ją kiedyś ustaliła: długość bije złożoność, bo każdy dodatkowy znak zwielokrotnia wysiłek, a doklejony wykrzyknik prawie go nie podnosi.

Powód tkwi w sposobie zgadywania. Zautomatyzowane ataki nie próbują znak po znaku, tylko korzystają z list słów prawdziwych języków, imion i wyciekłych haseł — razem z podstawieniami, które przychodzą do głowy każdemu. „H@sło123!" jest trudne do zapamiętania dla człowieka i banalne dla programu; cztery losowe słowa są przeciwieństwem obu tych rzeczy.

Praktyczny wymiar zaczyna się przy drugim pytaniu: gdzie to trzymać? Jedno dobre hasło używane wszędzie przestaje być dobre w chwili, gdy jeden serwis zostanie naruszony. Menedżer haseł rozwiązuje to, znosząc zapamiętywanie — i przenosi pytanie na jedno hasło główne, które wtedy naprawdę musi być długie.

Zostaje najskuteczniejsze pojedyncze zabezpieczenie: drugi składnik. Działa dokładnie wtedy, gdy hasło już przepadło — czyli w sytuacji, w której nic innego już nie pomaga. Artykuły w tej rubryce tłumaczą też, co dzieje się po drugiej stronie: dlaczego serwis nigdy nie powinien przechowywać Twojego hasła otwartym tekstem i po czym poznasz, że tego nie robi.