Jak tworzyć bezpieczne hasła?

Słabe hasła jako zagrożenie bezpieczeństwa

Które hasła są w Polsce szczególnie popularne – i niebezpieczne? Coroczna lista TOP przygotowywana przez Hasso-Plattner-Institut (HPI) od lat pokazuje, że proste ciągi cyfr, takie jak „123456”, czy wyrazy typu „password” lub „Passwort” są nadal często używane i można je bardzo szybko złamać. Takie hasła szeroko otwierają drzwi atakującym.

Oprócz ogólnej słabości wiele osób używa tego samego hasła w wielu usługach. Ponowne użycie hasła sprawia, że pojedynczy wyciek naraża od razu kilka kont.

Czy moje hasło jest bezpieczne?

Słabe hasła to zaproszenie do kradzieży tożsamości. W przypadku ataków typu Brute-Force i słownikowych z dużą prędkością testowane są popularne kombinacje (w tym typowe wzorce, takie jak „abcde”, „qwertz”, „Passwort1”). Password Depot wspiera Państwa dzięki funkcji analizy jakości dla każdego wpisu i ostrzega przed łatwymi do odgadnięcia schematami lub zbyt krótkimi hasłami.

Regularnie sprawdzajcie swoje wpisy w Password Depot: Inteligentne kontrole pomagają wykrywać zbyt słabe hasła i zastępować je bezpieczniejszymi.

Generowanie bezpiecznych haseł – z Password Depot

Zwłaszcza w firmach hasła powinny spełniać określone wymagania jakościowe. Generator haseł Password Depot tworzy silne, losowe hasła i zapisuje je w postaci zaszyfrowanej – z użyciem AES-256 (Rijndael), metody znormalizowanej na poziomie międzynarodowym i uznawanej za bardzo niezawodną.

Podczas logowania – np. do skrzynek e-mail, kont bankowych lub formularzy internetowych – Password Depot może dane logowania automatycznie i bezpiecznie wprowadzać. Jeśli chcą Państwo sprawdzić hasło w postaci jawnej, znajdą je Państwo wyłącznie w swoim dostępnym dla Państwa sejfie.

Jak często należy zmieniać hasła?

Password Depot może w razie potrzeby przypominać o odnowieniu określonych wpisów: w tym celu wypełnij pole „Ważne do” i zdefiniuj indywidualne terminy dla każdego wpisu.

Wskazówki dotyczące tworzenia bezpiecznych haseł

Jeśli wyjątkowo bez generatora tworzysz hasło, pomocne będą te wskazówki:

• Duża długość: Używaj tylu znaków, ile jest dozwolone – w praktyce zaleca się co najmniej 12–16. Każdy dodatkowy znak wyraźnie zwiększa bezpieczeństwo.
• Losowość zamiast schematów: Bez powtórzeń ani wzorców („aaaaa”, „ababab”, „20242025”).
• Różnorodność znaków: Używaj wielkich i małych liter, cyfr, znaków interpunkcyjnych oraz znaków specjalnych. Jeśli nie używasz wszystkich typów znaków, odpowiednio wydłuż hasło.
• Bez sekwencji: Unikaj ciągów i układów klawiaturowych, takich jak „12345”, „abcde”, „qwertz”.
• Bez „Leetspeak”: Przewidywalne zamiany, takie jak „P@ssw0rd”, są znane atakującym i niewiele pomagają. Zamiast tego polegaj na Długość i losowość.
• Żadnych danych osobowych: Żadnych imion, dat urodzenia, numerów telefonów, numerów rejestracyjnych itp.
• Żadnych upodobań: Żadnych ulubionych potraw/klubów/miejsc („PizzaSalami”, „BayernMünchen”, „Bodensee”).
• Żadnych słów słownikowych „w czystej postaci”: Pojedyncze znane słowo – nawet jeśli jest długie – jest podatne na ataki słownikowe. Lepiej: frazy hasłowe złożone z kilku losowych słów oraz separatorów/liczb.
• Unikalne dla każdego konta: Dla każdego konta inne hasło – nigdy nie używaj tego samego ponownie.

Wskazówki dotyczące hasła głównego w Password Depot

Muszą Państwo pamiętać już tylko jedno hasło: hasło główne. Sprawdzają się indywidualne frazy hasłowe, np. od trzech do pięciu losowych słów z separatorami oraz opcjonalnie cyframi/znakami specjalnymi. Proszę unikać przysłów i znanych powiedzeń.

Przykład indywidualnej frazy hasłowej (tylko jako wzór, proszę go nie przejmować): „Od 10 lat używam bezpiecznych fraz hasłowych w Password Depot” ⇒

Przykład frazy hasłowej

Od#10#lat#używam#bezpiecznych#fraz#hasłowych

(w razie potrzeby dalej modyfikować).

Możliwe jest także mieszanie słów i liczb – liczby nie powinny jednakżadnych łatwych do odgadnięcia danych . Zasadniczo obowiązuje zasada: Długość + losowość są skuteczniejsze niż sztuczki.

Podsumowanie

• Zmiana hasła w przypadku incydentów bezpieczeństwa, podejrzenia naruszenia lub współdzielonych/niebezpiecznych haseł – bez regularnego wymuszania bez wyraźnej przyczyny.
• Maksymalna długość stosować i najlepiej używać generatora.
• Wszystkie dozwolone typy znaków stosować lub – jeśli to niemożliwe – znacząco zwiększyć długość.
• Nie używać samych słów słownikowych, żadnych imion/liczb, żadnych wzorców klawiaturowych.
• Bez ponownego używania identycznych lub podobnych haseł w różnych usługach (zob. poradnik).
• Menedżer haseł taki jak Password Depot warto wdrożyć – wtedy trzeba zapamiętać już tylko jedno hasło główne.
• Włączyć MFA (i używać passkeys, jeśli są dostępne).

Źródła (wybór)

• NIST SP 800–63B – Digital Identity Guidelines – Memorized Secrets (m.in. minimalna długość, brak wymuszonej okresowej zmiany, sprawdzanie względem czarnych list).
• NCSC (UK) – Dlaczego regularna zmiana haseł szkodzi.
• BSI – Tworzenie bezpiecznych haseł, Komunikat prasowy: zmiana hasła, Uwierzytelnianie dwuskładnikowe.
• Hasso-Plattner-Institut – Najpopularniejsze hasła 2023 / Statystyki ILC.
• NIST FIPS 197 – Advanced Encryption Standard (AES).
• CISA – Używaj silnych haseł, Uwierzytelnianie wieloskładnikowe.