Bezpečnostní průvodce

Měli byste v heslech používat symboly?

Zjistěte, kdy symboly pomáhají, kdy způsobují problémy s kompatibilitou a proč jsou délka a náhodnost důležitější než vizuální složitost.

Shrnutí

Symboly mohou pomoci, protože zvyšují počet možných znaků. Nejsou však kouzelné. Krátké heslo s předvídatelným symbolem je stále slabé, zatímco delší náhodné heslo bez symbolů může být silné.

Vyzkoušejte předvolby se symboly a bez symbolů.

Kdy symboly pomáhají

Symboly pomáhají, když je generátor vybírá náhodně a služba je akceptuje. Mohou splnit pravidla politiky hesel a zvýšit teoretický vyhledávací prostor.

Kdy symboly škodí použitelnosti

Symboly mohou způsobovat problémy ve starých formulářích, na mobilních klávesnicích, v připojovacích řetězcích, shellech, konfiguračních souborech a při ručním přepisu. Pokud je třeba symbol escapovat nebo je snadno zaměnitelný, může to vytvářet provozní riziko.

Praktická doporučení

• Zahrnujte symboly, pokud jsou akceptovány.
• Používejte předvolby bez symbolů kvůli kompatibilitě.
• Zvyšte délku, když je abeceda omezena.
• Vyhněte se ručním úpravám vygenerovaného hesla.
• Používejte předvolby bez nejednoznačných znaků pro tištěná nebo diktovaná hesla.

Podrobný návod

Tento návod se zaměřuje na rozhodování, zda symboly pomáhají nebo škodí politice hesel. Je určen lidem pracujícím se službami, které vyžadují nebo odmítají speciální znaky, takže praktickým cílem není vytvořit dramatické bezpečnostní tvrzení. Cílem je zvolit návyk pro hesla, který přežije každodenní použití: přihlašovací formuláře, správce hesel, mobilní klávesnice, obnovu účtu, sdílená zařízení a občasnou službu s podivnými validačními pravidly. Bezpečné doporučení je užitečné jen tehdy, pokud ho skutečný člověk může důsledně dodržovat.

Nejbezpečnějším výchozím bodem je náhodnost plus jedinečnost. Náhodnost znamená, že hodnota je vybrána z velkého prostoru kryptograficky vhodným náhodným zdrojem, nikoli vymyšlena z narozenin, jména domácího mazlíčka, vzoru na klávesnici nebo oblíbeného citátu. Jedinečnost znamená, že stejné heslo není použito nikde jinde. Dlouhé, ale znovu použité heslo může rychle selhat po jedné nesouvisející krádeži dat, zatímco jedinečné náhodné heslo omezí škody na jediný účet, kde bylo použito.

Pro toto téma je praktickou předvolbou povolení symbolů, pokud je cílová služba akceptuje, s delší délkou, když jsou odmítnuty. Tuto předvolbu můžete použít s generátorem hesel se symboly a poté uložit výslednou hodnotu do důvěryhodného správce hesel. PwdGen generuje hodnoty lokálně v prohlížeči pomocí Web Crypto; vygenerované heslo není odesláno na server PwdGen. Tento lokální design snižuje expozici na straně serveru, ale nechrání před každou hrozbou. Škodlivé rozšíření prohlížeče, kompromitované zařízení, phishingová stránka nebo nebezpečná manipulace se schránkou mohou tajemství odhalit i po jeho vygenerování.

Nejčastější problémy, kterým je třeba se vyhnout, jsou přeceňování jednoho symbolu v krátkém hesle, problémy s escapováním v shellu, chyby ve validaci formulářů a chyby při ručním psaní. Tyto problémy jsou důležité, protože útočníci jen zřídka potřebují brute-force prohledávat všechna možná hesla, když jim lidské návyky poskytnou zkratku. Credential stuffing, phishing, uniklé seznamy hesel a zneužití obnovy účtu jsou často realističtější než čistě matematické hledání. Proto nejlepší rada kombinuje kvalitu hesla s kontrolami na úrovni účtu, jako je MFA, passkeys, ukládání kódů pro obnovu a pravidelná kontrola e-mailu nebo telefonu pro obnovu.

Při aplikaci doporučení použijte tento kontrolní seznam:

• Používejte symboly, pokud jsou akceptovány.
• Nespoléhejte na jediný symbol, který by opravil slabé heslo.
• Používejte předvolby bez symbolů pro striktní systémy.
• Zvyšte délku, když jsou symboly vypnuty.

Pokud webová stránka odmítne ideální nastavení, nenuťte heslo ručně do slabšího vzoru. Upravte jednu proměnnou najednou. Pokud jsou symboly odmítnuty, ponechte velká písmena, malá písmena a číslice povoleny a zvyšte délku. Pokud je maximální délka nízká, použijte největší akceptovanou délku a ujistěte se, že hodnota je jedinečná. Pokud musí být heslo čteno nahlas, tištěno nebo zadáváno na obrazovce televize nebo routeru, zvažte vyloučení matoucích znaků a zvýšení délky, abyste kompenzovali menší abecedu.

Nakonec si pamatujte hranice rad o heslech. Silné heslo je jedna vrstva obrany, nikoli záruka. Nemůže učinit phishingovou stránku bezpečnou, opravit malware nebo kompenzovat službu, která ukládá přihlašovací údaje špatně. Užitečný návyk je nudný, ale trvanlivý: vygenerujte jedinečnou hodnotu, bezpečně ji uložte, chraňte cestu obnovy a rychle ji vyměňte, pokud máte podezření na prozrazení.

Bezpečný další krok

Po přečtení tohoto návodu proveďte jeden malý audit účtu místo snahy opravit vše najednou. Vyberte účet, který by způsobil nejvíce problémů, kdyby byl převzat, potvrďte, že jeho heslo je jedinečné, a zkontrolujte e-mail pro obnovu, telefon pro obnovu, metodu MFA a uložení záložních kódů. Pokud je některá část tohoto řetězce slabá, zlepšete ji, než přejdete k méně rizikovým účtům. Toto pořadí udržuje práci zvládnutelnou a chrání účty, které útočníci s největší pravděpodobností použijí jako odrazový můstek. Pro otázku “Měli byste v heslech používat symboly?” je nejlepším výsledkem opakovatelný návyk: generovat lokálně, ukládat opatrně a vyhýbat se opakovanému použití.

Často kladené otázky

Dělají symboly hesla silnější?

Symboly mohou zvýšit velikost abecedy, pokud jsou vybrány náhodně, ale délka a jedinečnost jsou stále důležitější než vizuální složitost.

Co když webová stránka symboly odmítá?

Použijte delší heslo bez symbolů a ponechte velká písmena, malá písmena a číslice povoleny, pokud jsou akceptovány.

Jsou nejednoznačné symboly problém?

Mohou být, zejména u tištěných, diktovaných nebo ručně zadávaných hesel. Jejich vyloučení zlepšuje použitelnost, ale snižuje velikost abecedy.