Bezpečnostní průvodce

Jak dlouhé by mělo být heslo?

Zjistěte, kdy zvolit 12, 16, 20 nebo 32 znaků a proč na délce, jedinečnosti a uložení hesla záleží více než na vizuální složitosti.

Shrnutí

Pro většinu moderních účtů je 16 náhodných znaků silným praktickým základem. Použijte 20 nebo více znaků pro důležité osobní účty, e-mail, bankovnictví, práci nebo administraci. Použijte 32 znaků, pokud bude heslo uloženo ve správci hesel a chrání přístup k vysoce hodnotným datům.

Vyzkoušejte generátory pro 16 znaků, 20 znaků nebo 32 znaků.

Délkové kategorie

Krátká hesla se snáze uhodnou, protože existuje méně možných kombinací. Šest až devět znaků je obvykle příliš málo pro bezpečnost účtu. Deset až čtrnáct znaků může být akceptováno mnoha službami, ale nemělo by být považováno za ideální volbu pro důležité účty.

Šestnáct náhodných znaků je dobrý výchozí bod, pokud heslo ukládá správce hesel. Dvacet znaků přidává rezervu a zůstává kompatibilní s mnoha weby. Třicet dva znaků je užitečné pro administrátorské panely, šifrované soubory, databázové přihlašovací údaje a místní tajemství.

Náhodná délka versus lidská délka

Náhodné 16znakové heslo se velmi liší od lidsky vytvořené 16znakové fráze. Lidské volby často zahrnují slova, data, jména a předvídatelné koncovky. Útočníci testují tyto vzory dříve, než se pokusí o slepý brute force.

Praktická doporučení

• Používejte 16 znaků jako běžný základ.
• Používejte 20–32 znaků pro vysoce hodnotné účty.
• Použijte přístupovou frázi, pokud záleží na zapamatovatelnosti.
• Používejte předvolby bez symbolů nebo bez nejednoznačných znaků pouze tehdy, když to vyžaduje kompatibilita.
• Nikdy nepoužívejte stejné heslo jen proto, že je dlouhé.

Podrobný návod

Tento průvodce se zaměřuje na volbu délky hesla podle rizika pro různé účty. Je určen pro čtenáře, kteří porovnávají možnosti 12, 16, 20, 24 a 32 znaků, takže praktickým cílem není vytvořit dramatické bezpečnostní tvrzení. Cílem je zvolit návyk ohledně hesel, který přežije každodenní používání: přihlašovací formuláře, správci hesel, mobilní klávesnice, obnova účtu, sdílená zařízení a občasná služba s podivnými validačními pravidly. Bezpečné doporučení je užitečné pouze tehdy, pokud ho skutečný člověk může důsledně dodržovat.

Nejbezpečnějším výchozím bodem je náhodnost plus jedinečnost. Náhodnost znamená, že hodnota je vybrána z velkého prostoru kryptograficky vhodným náhodným zdrojem, nikoli vymyšlena z narozenin, jména domácího mazlíčka, vzoru na klávesnici nebo oblíbeného citátu. Jedinečnost znamená, že stejné heslo není použito nikde jinde. Dlouhé, ale opakovaně používané heslo může selhat rychle po jedné nesouvisející krádeži dat, zatímco jedinečné náhodné heslo omezí škody na jediný účet, kde bylo použito.

Pro toto téma je praktickou předvolbou 16 znaků pro běžné účty, 20 nebo více pro důležité účty a 32 pro tajemství, která jsou spíše ukládána než zadávána. Tuto předvolbu můžete použít s generátorem hesel o 32 znacích a výslednou hodnotu uložit do důvěryhodného správce hesel. PwdGen generuje hodnoty lokálně v prohlížeči pomocí Web Crypto; vygenerované heslo není odesláno na server PwdGen. Tento lokální design snižuje expozici na straně serveru, ale nechrání před všemi hrozbami. Škodlivé rozšíření prohlížeče, kompromitované zařízení, phishingová stránka nebo nebezpečná manipulace se schránkou mohou tajemství odhalit i po jeho vygenerování.

Nejčastějšími problémy, kterým je třeba se vyhnout, jsou krátké náhodné hodnoty, maximální délkové limity, staré formuláře a předpoklad, že pevná délka je bezpečná pro každý systém. Tyto problémy jsou důležité, protože útočníci jen zřídka potřebují brute-force všechna možná hesla, když jim lidské návyky poskytnou zkratku. Credential stuffing, phishing, uniklé seznamy hesel a zneužití obnovy účtu jsou často reálnější než čistě matematické hledání. Proto nejlepší rada kombinuje kvalitu hesla s ochranou na úrovni účtu, jako je MFA, passkeys, ukládání obnovovacích kódů a pravidelná kontrola e-mailu nebo telefonu pro obnovu.

Při aplikaci doporučení použijte tento kontrolní seznam:

• Použijte větší délku, pokud nejsou povoleny symboly.
• Před uložením zkontrolujte maximální délku cílového místa.
• Vyhněte se zkracování hesel kvůli pohodlí.
• Použijte přístupové fráze, pokud záleží na zapamatování.

Pokud webová stránka odmítne ideální nastavení, nenuťte heslo ručně do slabšího vzoru. Upravujte jednu proměnnou najednou. Pokud jsou symboly odmítnuty, ponechte velká písmena, malá písmena a číslice a zvyšte délku. Pokud je maximální délka nízká, použijte největší akceptovanou délku a ujistěte se, že hodnota je jedinečná. Pokud musí být heslo čteno nahlas, vytištěno nebo zadáno na televizní či routerové obrazovce, zvažte vyloučení matoucích znaků a zvýšení délky, abyste kompenzovali menší abecedu.

Nakonec si pamatujte hranice rad ohledně hesel. Silné heslo je jedna vrstva obrany, nikoli záruka. Nemůže učinit phishingovou stránku bezpečnou, opravit malware nebo kompenzovat službu, která ukládá přihlašovací údaje špatně. Užitečný návyk je nudný, ale trvanlivý: vygenerujte jedinečnou hodnotu, bezpečně ji uložte, chraňte cestu obnovy a rychle ji vyměňte, pokud máte podezření na prozrazení.

Často kladené otázky

Stačí 12 znaků?

Náhodné 12znakové heslo může být užitečné pro kompatibilitu, ale 16 nebo více je lepší výchozí volba, pokud to služba akceptuje.

Kdy mám použít 20 nebo 32 znaků?

Použijte 20 nebo více pro důležité účty a 32 pro administrátorské, šifrované soubory nebo workflow s vývojářskými tajemstvími uloženými ve správci hesel.

Může být heslo příliš dlouhé?

Některé služby stanovují maximální délky nebo odmítají symboly. Použijte nejdelší jedinečnou náhodnou hodnotu, kterou cíl akceptuje.