Jak stworzyć bezpieczne hasło? Długość, entropia i menedżer haseł
Dlaczego „Kasia1990!” to słabe hasło, a cztery przypadkowe słowa mogą być mocne. Wyjaśniamy, od czego zależy siła hasła i jak bezpiecznie zarządzać dziesiątkami kont.
Siła hasła zależy od tego, ile prób potrzebowałby atakujący, żeby je odgadnąć. Najważniejsza jest długość i losowość, a nie to, czy hasło zawiera wykrzyknik.
Entropia — miara nieprzewidywalności
Dla hasła wylosowanego z alfabetu o N znakach i długości L:
entropia [bity] = L × log₂(N)
| Hasło losowe | Entropia |
|---|---|
| 8 znaków: małe litery (26) | ≈ 38 bitów |
| 8 znaków: litery, cyfry, symbole (~94) | ≈ 52 bity |
| 12 znaków: litery i cyfry (62) | ≈ 71 bitów |
| 16 znaków: litery, cyfry, symbole | ≈ 105 bitów |
| 5 losowych słów z listy 7776 słów | ≈ 65 bitów |
Każdy dodatkowy bit podwaja liczbę możliwości. Hasło 12-znakowe jest więc nieporównanie mocniejsze od 8-znakowego, nawet bez symboli.
Wzór działa tylko dla haseł losowych
„Kasia1990!” ma 10 znaków, ale nie jest losowe: imię, rok urodzenia i wykrzyknik na końcu to schemat, który programy łamiące hasła sprawdzają w pierwszej kolejności. Tak samo słabe są zamiany liter na cyfry (P@ssw0rd), kolejne klawisze (qwerty123) i słowa ze słownika z cyfrą na końcu.
Najważniejsze zasady
- Minimum 12 znaków, a do ważnych kont — 16 lub więcej.
- Jedno hasło = jedno konto. Wycieki baz danych zdarzają się regularnie, a atakujący sprawdzają wykradzione pary e-mail + hasło w innych serwisach.
- Włącz weryfikację dwuetapową (2FA) — najlepiej aplikacją lub kluczem sprzętowym, a nie SMS-em. Nawet wykradzione hasło nie wystarczy do zalogowania.
- Nie zmieniaj haseł bez powodu. Obecne zalecenia (m.in. NIST SP 800-63B) mówią o zmianie po podejrzeniu wycieku, a nie co 30 dni — wymuszane zmiany prowadzą do przewidywalnych schematów.
Hasło z kilku słów
Hasło do zapamiętania — np. do komputera albo menedżera haseł — warto zbudować z 4–6 przypadkowych, niezwiązanych ze sobą słów: „kalosz-orbita-pierogi-latarnik”. Jest długie, łatwe do wpisania i trudne do złamania, pod warunkiem że słowa są naprawdę wylosowane, a nie wybrane przez nas.
Menedżer haseł
Nikt nie zapamięta kilkudziesięciu różnych losowych haseł. Menedżer haseł (wbudowany w przeglądarkę lub osobny program) przechowuje je w zaszyfrowanym sejfie chronionym jednym, mocnym hasłem głównym. Dodatkowo wypełnia formularze tylko na właściwej stronie, co chroni przed fałszywymi stronami logowania.
Jak serwisy przechowują hasła
Poprawnie zbudowany serwis nie zna Twojego hasła — zapisuje jedynie jego skrót obliczony powolną funkcją (bcrypt, scrypt, Argon2) z losową solą. Zwykłe skróty, takie jak MD5 czy SHA-256, są do tego za szybkie. Różnicę między nimi zobaczysz w generatorze skrótów.
Losowe hasło o wybranej długości i zestawie znaków, z oceną entropii, wygenerujesz w generatorze haseł. Hasła powstają w Twojej przeglądarce i nie są nigdzie wysyłane.
Narzędzia do tego poradnika
hasłobezpieczeństwoentropiamenedżer haseł2FA