Nástroj hesiel Späť na generátor

Bezpečnostná príručka

Ako vytvoriť silné heslo

Praktický sprievodca vytváraním silných, jedinečných hesiel pomocou lokálneho generovania, správcov hesiel, MFA a bezpečných postupov obnovy.

Zhrnutie

Silné heslo nie je len reťazec, ktorý „vyzerá komplikovane“. Je dostatočne dlhé pre daný účel, náhodne vygenerované, jedinečné pre jeden účet a bezpečne uložené. Najspoľahlivejší každodenný postup je jednoduchý: vygenerujte jedinečnú náhodnú hodnotu, uložte ju do správcu hesiel a zapnite MFA alebo passkey, ak to služba podporuje.

Použite bezplatný generátor náhodných hesiel alebo generátor 16-znakových hesiel, keď potrebujete nové heslo k účtu.

Čo robí heslo silným

Najsilnejšie praktické heslá sú vybrané náhodným procesom, nie vymyslené človekom. Ľudské heslá často obsahujú mená, dátumy, klávesnicové vzory, značky, texty piesní alebo známe substitúcie. Útočníci tieto vzory poznajú a skúšajú ich ako prvé.

Náhodné generovanie situáciu mení. Vygenerované heslo, napríklad 16, 20 alebo 32-znaková hodnota, nemá žiadny osobný príbeh, žiadny kalendárny dátum a žiadnu pohodlnú slovníkovú štruktúru. Je však užitočné len vtedy, ak zostane jedinečné a súkromné.

Praktické odporúčania

  1. Pre každý účet vygenerujte nové heslo.
  2. Pre bežné účty uprednostnite aspoň 15–16 náhodných znakov.
  3. Pre e-mail, bankovníctvo, prácu a administrátorský prístup použite 20 alebo viac znakov, ak je to akceptované.
  4. Zahrňte symboly, ak ich cieľová služba akceptuje.
  5. Heslá ukladajte do dôveryhodného správcu hesiel.
  6. Povoľte MFA alebo passkey.
  7. Skontrolujte nastavenia obnovy účtu, pretože útočníci často cielia na cesty obnovy.

Čo lokálne generovanie rieši a čo nie

PwdGen generuje hodnoty lokálne pomocou Web Crypto a neodosiela vygenerované heslá. To chráni pred tým, aby webová stránka úmyselne zbierala vygenerovanú hodnotu. Nechráni však pred kompromitovaným rozšírením prehliadača, nebezpečným správcom schránky, malvérom, phishingovou stránkou alebo službou, ktorá nesprávne zaobchádza s ukladaním hesiel.

Podrobný návod

Tento návod sa zameriava na vytvorenie silného hesla od nuly. Je určený pre ľudí, ktorí nahrádzajú slabé alebo znovu použité heslá k účtom, takže praktickým cieľom nie je vytvoriť dramatické bezpečnostné tvrdenie. Cieľom je zvoliť si návyk na heslo, ktorý prežije každodenné používanie: prihlasovacie formuláre, správcovia hesiel, mobilné klávesnice, obnova účtu, zdieľané zariadenia a občasná služba s podivnými validačnými pravidlami. Bezpečné odporúčanie je užitočné len vtedy, ak ho skutočný človek dokáže dôsledne dodržiavať.

Najbezpečnejším východiskovým bodom je náhodnosť plus jedinečnosť. Náhodnosť znamená, že hodnota je vybraná z veľkého priestoru kryptograficky vhodným náhodným zdrojom, nie vymyslená z narodenín, mena domáceho maznáčika, klávesnicového vzoru alebo obľúbeného citátu. Jedinečnosť znamená, že rovnaké heslo nie je použité nikde inde. Heslo, ktoré je dlhé, ale znovu použité, môže rýchlo zlyhať po jednom nesúvisiacom úniku, zatiaľ čo jedinečné náhodné heslo obmedzí škodu na jediný účet, kde bolo použité.

Pre túto tému je praktickým prednastavením 20 znakov, veľké písmená, malé písmená, číslice a symboly, ak sú akceptované. Toto prednastavenie môžete použiť s generátorom 20-znakových hesiel a potom uložiť výslednú hodnotu do dôveryhodného správcu hesiel. PwdGen generuje hodnoty lokálne v prehliadači pomocou Web Crypto; vygenerované heslo nie je odoslané na server PwdGen. Tento lokálny dizajn znižuje expozíciu na strane servera, ale nechráni pred každou hrozbou. Škodlivé rozšírenie prehliadača, kompromitované zariadenie, phishingová stránka alebo nebezpečná manipulácia so schránkou môžu tajomstvo odhaliť aj po jeho vygenerovaní.

Najčastejšie problémy, ktorým sa treba vyhnúť, sú osobné mená, narodeniny, klávesnicové ťahy, znovu použité koncovky a predvídateľné substitúcie, ako je nahradenie a za @. Tieto problémy sú dôležité, pretože útočníci len zriedka potrebujú brute-force všetky možné heslá, keď im ľudské návyky poskytnú skratku. Credential stuffing, phishing, uniknuté zoznamy hesiel a zneužitie obnovy účtu sú často realistickejšie ako čisté matematické vyhľadávanie. Preto najlepšia rada kombinuje kvalitu hesla s kontrolami na úrovni účtu, ako sú MFA, passkey, ukladanie obnovovacích kódov a pravidelná kontrola nastavení obnovovacieho e-mailu alebo telefónu.

Pri aplikácii odporúčania použite tento kontrolný zoznam:

Ak webová stránka zamietne ideálne nastavenie, nenuťte heslo ručne do slabšieho vzoru. Upravte jednu premennú naraz. Ak sú symboly zamietnuté, ponechajte veľké písmená, malé písmená a číslice a zvýšte dĺžku. Ak je maximálna dĺžka nízka, použite najväčšiu akceptovanú dĺžku a uistite sa, že hodnota je jedinečná. Ak sa musí heslo čítať nahlas, tlačiť alebo písať na televíznej či routerovej obrazovke, zvážte vylúčenie mätúcich znakov a zvýšenie dĺžky na kompenzáciu menšej abecedy.

Nakoniec nezabudnite na hranice rád o heslách. Silné heslo je jedna vrstva obrany, nie záruka. Nedokáže urobiť phishingovú stránku bezpečnou, opraviť malvér ani kompenzovať službu, ktorá uchováva prihlasovacie údaje zle. Užitočný návyk je nudný, ale trvácny: vygenerujte jedinečnú hodnotu, bezpečne ju uložte, chráňte cestu obnovy a rýchlo ju vymeňte, ak máte podozrenie na odhalenie.

Často kladené otázky

Aké je najjednoduchšie pravidlo pre silné heslo?

Používajte dlhé, náhodné, jedinečné heslo pre každý účet a ukladajte ho do dôveryhodného správcu hesiel.

Je krátke zložité heslo lepšie ako dlhšie náhodné?

Zvyčajne nie. Dĺžka a nepredvídateľnosť sú dôležitejšie ako známe substitúcie, napríklad nahrádzanie písmen symbolmi.

Mal by som používať MFA so silným heslom?

Áno. MFA alebo passkey poskytujú ochranu, keď je heslo phishnuté, znovu použité inde alebo odhalené únikom služby.

Zdroje