Żeby nie było, często popełniałem klasyczne błędy – używałem tego samego hasła w kilkunastu serwisach. Na moje szczęście w zależności od wagi serwisu hasła były prostsze, a w tych np. bankowych były już bardzo mocne.
To, co mnie skłoniło do podzielenia się wiedzą na temat tworzenia silnych haseł, to krótkie szkolenie, jakie odbyłem w ostatnim czasie. Niby wiem, jak to robić, jednak dobrze jest odświeżyć podstawy. To było impulsem, by przekazać wam te porady.
10 zasad o tworzeniu silnych i bezpiecznych haseł
O tych zasadach przypomniano mi podczas szkolenia. W razie problemów z ich zrozumieniem postarałem się przygotować po dwa różne przykłady. Myślę, że dzięki nim wszystko będzie znacznie prostsze. Miłej lektury!
- Zasada nr 1: Zachowaj hasła tylko dla siebie
- Zasada nr 2: Unikaj oczywistych haseł
- Zasada nr 3: Wybieraj długie hasła
- Zasada nr 4: Stosuj tekst szyfrujący
- Zasada nr 5: Unikaj schematów
- Zasada nr 6: Regularnie zmieniaj hasła
- Zasada nr 7: Reaguj na zagrożenia
- Zasada nr 8: Twórz trudne pytania do odzyskiwania hasła
- Zasada nr 9: Korzystaj z dodatkowych zabezpieczeń
- Zasada nr 10: Stosuj politykę haseł
Zasada 1: Zachowaj hasła tylko dla siebie
Nie ujawniaj nikomu swoich haseł, nawet jeśli ktoś, kogo znasz, prosi Cię o nie w celu „pomocy”. Nikt nie powinien prosić o podanie hasła, nawet pracownicy wsparcia technicznego. Jeśli ktoś próbuje je od Ciebie zdobyć, może to być próba oszustwa.
Przykład 1: Otrzymujesz e-mail od rzekomego pracownika banku, który prosi o podanie Twojego hasła do konta bankowego, aby rozwiązać problem techniczny. Nigdy nie odpowiadaj na takie wiadomości i skontaktuj się bezpośrednio z bankiem.
Przykład 2: Kolega z pracy pyta Cię o hasło do firmowej sieci Wi-Fi, bo „szybko potrzebuje dostępu”. Odmów i zaproponuj, aby zgłosił się do działu IT po własne dane logowania.
Zasada 2: Unikaj oczywistych haseł
Proste hasła, takie jak imiona, daty urodzin czy popularne słowa, są łatwe do odgadnięcia. Nawet osoby, które Cię znają, mogą je odgadnąć.
Przykład 1: Zamiast używać hasła „Ania123”, które zawiera Twoje imię i prostą sekwencję cyfr, wybierz coś trudniejszego, np. „R!werFlow2024”.
Przykład 2: Unikaj haseł takich jak „Kotek2021”, które odnoszą się do imienia Twojego zwierzaka. Zamiast tego wybierz coś bardziej złożonego, jak „#MoOnLight$2021”.
Czy Twoje hasło jest przewidywalne i ile zajęłoby jego złamanie, sprawdzisz w narzędziu Jak silne jest moje hasło? (wpisz podobne hasło, nie to, którego naprawdę używasz).
Zasada 3: Wybieraj długie hasła
Im dłuższe hasło, tym trudniej je złamać. Hasła powinny mieć co najmniej osiem znaków, ale lepiej, gdy składają się z dwudziestu znaków.
Przykład 1: Zamiast używać krótkiego hasła „Haslo12”, wybierz coś dłuższego, np. „DużyCz3rw0nyL1s3kWL3si3!” (duży czerwony lisek w lesie).
Przykład 2: Zamiast hasła „Burek123!@#” użyj dłuższego, takiego jak „W!nter$N0wIsB3autiful&Cold”.
Takiego hasła trudno nauczyć się na pamięć, dlatego wylosuj je w generatorze haseł online i zapisz w menedżerze haseł.
Zasada 4: Stosuj frazę hasłową zamiast hasła
Tworzenie fraz, które są łatwe do zapamiętania, ale trudne do odgadnięcia, może być bardziej bezpieczne niż używanie pojedynczych słów.
Przykład 1: Zamiast hasła „Domek” możesz użyć tekstu szyfrującego jak „Mój*Nowy&dom$mały!”.
Przykład 2: Zamiast hasła „Lato2023”, wybierz frazę „M0j_ulub!0ny_kolor%_to_zielony”.
Zasada 5: Unikaj schematów
Korzystanie z tego samego hasła na wielu stronach jest ryzykowne. Jeśli jedno hasło wycieknie, wszystkie nasze konta mogą być zagrożone.
Przykład 1: Nie używaj tego samego hasła „MójBank123” zarówno do konta bankowego, jak i e-maila. Stwórz unikalne hasło dla każdego konta, np. „MójBank123!” dla banku i „E-mailAcc!4567” dla e-maila.
Przykład 2: Unikaj wzorców haseł, takich jak „Haslo1”, „Haslo2”, „Haslo3” dla różnych kont. Zamiast tego użyj różnych haseł, np. „Red$Appl3!23” dla jednego konta i „Blu3Sky#789” dla innego.
Zasada 6: Zmieniaj hasła po wycieku, nie według kalendarza
Zmiana hasła „dla porządku” zwykle kończy się wzorcem w rodzaju „Hasło1”, „Hasło2”, „Hasło3”, który atakujący zgaduje szybciej niż zupełnie nowe hasło. Zmień hasło, gdy podejrzewasz włamanie, gdy serwis poinformuje o wycieku albo gdy ktoś je pozna. Wyjątek to konta, na których regulamin wymusza zmianę.
Przykład 1: Serwis, w którym masz konto, ogłasza wyciek bazy: zmień hasło tam i wszędzie, gdzie użyłeś tego samego, a potem ustaw w każdym serwisie inne hasło.
Przykład 2: Widzisz w banku logowanie z nieznanego urządzenia: zmień hasło od razu, wyloguj pozostałe sesje i włącz logowanie dwuskładnikowe.
Zalecenia amerykańskiego NIST (SP 800-63B) odradzają wymuszanie okresowej zmiany haseł bez powodu, bo użytkownicy odpowiadają na nią słabszymi, przewidywalnymi hasłami.
Zasada 7: Reaguj na zagrożenia
Jeśli podejrzewasz, że Twoje hasło mogło wyciec, natychmiast je zmień i sprawdź swoje inne konta pod kątem podejrzanej aktywności.
Przykład 1: Jeśli zauważysz, że ktoś zalogował się na Twoje konto na portalu społecznościowym bez Twojej wiedzy, natychmiast zmień hasło i sprawdź swoje inne konta.
Przykład 2: Jeśli otrzymasz e-mail z informacją, że ktoś próbował zresetować Twoje hasło do konta e-mail, zmień je natychmiast i zabezpiecz inne konta.
Zasada 8: Trudne pytania do przypominania hasła
Odpowiedzi na pytania zabezpieczające powinny być trudne do odgadnięcia i różne dla różnych stron.
Przykład 1: Zamiast odpowiedzi na pytanie „Jakie jest imię Twojej matki?” jako „Anna”, użyj czegoś nietypowego, np. „GreeN@pple!” lub, jeśli musisz mieć prawdziwą odpowiedź, podmień niektóre znaki. Dla „Anna” może to być „Ann4”, a nawet „A|\|n4”
Przykład 2: Na pytanie „Jakie jest Twoje ulubione zwierzę?” nie odpowiadaj „Pies”, ale np. „Tygrys_2024”.
Zasada 9: Korzystaj z dodatkowych zabezpieczeń
Tam, gdzie to możliwe, włącz funkcje uwierzytelniania dwuskładnikowego, które wymagają podania dodatkowego kodu, np. z aplikacji lub SMS-a.
Przykład 1: Włącz weryfikację dwuetapową na swoim koncie e-mail, aby logować się nie tylko za pomocą hasła, ale także kodu z aplikacji, np. Google Authenticator albo Okta.
Przykład 2: Popularną opcją jest potwierdzanie różnego rodzaju zmian poprzez aplikacje. Szczególnie w bankowości elektronicznej.
Zasada 10: Stosuj politykę haseł
Kieruj się polityką swojej organizacji dotyczącą haseł i rozważ używanie menedżera haseł, który pomoże Ci zarządzać silnymi i unikalnymi hasłami.
Przykład 1: Jeśli Twoja firma wymaga zmiany hasła co 30 dni, upewnij się, że robisz to regularnie i zgodnie z zasadami, używając np. menedżera haseł do generowania nowych, mocnych haseł. W większych firmach będziemy dostawali powiadomienia. W skrajnych przypadkach, jeżeli nie zmienimy hasła, stracimy dostęp do niektórych zasobów.
Przykład 2: W domu korzystaj z menedżera haseł, który generuje i zapamiętuje skomplikowane hasła dla różnych kont, np. „LastPass” lub „1Password”.
