Bezpečnostná príručka
Heslo vs prístupová fráza
Porovnanie náhodných znakových hesiel a náhodných slovných prístupových fráz vrátane zapamätateľnosti, entropie, ukladania a bezpečných prípadov použitia.
Zhrnutie
Heslo je zvyčajne reťazec náhodných znakov. Prístupová fráza je zvyčajne postupnosť slov. Obe môžu byť silné, ak sú vygenerované náhodne, jedinečné a bezpečne uložené alebo zapamätané. Správna voľba závisí od toho, či potrebujete maximálnu kompaktnosť, jednoduché písanie alebo zapamätateľnosť.
Použite generátor prístupových fráz, keď chcete náhodné slová, alebo generátor hesiel, keď stránka očakáva kompaktné znakové heslo.
Náhodné znakové heslá
Náhodné znakové heslá sú efektívne: každý znak môže zväčšiť vyhľadávací priestor. Sú ideálne pre správcov hesiel, administrátorské panely, Wi-Fi, bankovníctvo, e-mail a vývojárske tajomstvá. Nevýhodou je, že sú ťažko zapamätateľné a nepríjemné na písanie na malých klávesniciach.
Náhodné slovné prístupové frázy
Prístupové frázy sa ľahšie čítajú a píšu. Dôležité slovo je „náhodný“. Veta, ktorú si vymyslíte, citát, text piesne alebo známa fráza môžu byť uhádnuté nástrojmi založenými na vzorcoch. Prístupová fráza by mala byť vytvorená z nezávisle vybraných slov z dostatočne veľkého zoznamu.
Praktické odporúčania
- Používajte náhodné znakové heslá pre väčšinu účtov uložených v správcovi.
- Používajte prístupové frázy pre prihlasovacie údaje, ktoré si možno budete musieť zapamätať.
- Nepoužívajte opakovane žiadny formát.
- Vyhýbajte sa osobným frázam, citátom, menám a dátumom.
- Skontrolujte, či cieľová stránka akceptuje medzery alebo oddeľovače.
Podrobné usmernenie
Táto príručka sa zameriava na rozhodovanie medzi náhodnými znakovými heslami a náhodnými prístupovými frázami. Je určená pre ľudí, ktorí potrebujú bezpečné uložené heslá aj zapamätateľné prihlasovacie tajomstvá, takže praktickým cieľom nie je vytvoriť dramatické bezpečnostné tvrdenie. Cieľom je vybrať si návyk na heslá, ktorý prežije každodenné používanie: prihlasovacie formuláre, správcovia hesiel, mobilné klávesnice, obnova účtu, zdieľané zariadenia a občasná služba s podivnými validačnými pravidlami. Bezpečné odporúčanie je užitočné len vtedy, ak ho skutočný človek dokáže dôsledne dodržiavať.
Najbezpečnejším východiskovým bodom je náhodnosť plus jedinečnosť. Náhodnosť znamená, že hodnota je vybraná z veľkého priestoru kryptograficky vhodným náhodným zdrojom, nie vymyslená z narodenín, mena domáceho maznáčika, vzoru na klávesnici alebo obľúbeného citátu. Jedinečnosť znamená, že rovnaké heslo sa nepoužíva nikde inde. Heslo, ktoré je dlhé, ale opakovane používané, môže rýchlo zlyhať po jednom nesúvisiacom úniku, zatiaľ čo jedinečné náhodné heslo obmedzí škodu na jediný účet, kde bolo použité.
Pre túto tému je praktickým prednastavením štyri až šesť náhodných slov pre zapamätateľnosť alebo náhodné znaky pre uloženie v správcovi hesiel. Toto prednastavenie môžete použiť s generátorom prístupových fráz a potom uložiť výslednú hodnotu do dôveryhodného správcu hesiel. PwdGen generuje hodnoty lokálne v prehliadači pomocou Web Crypto; vygenerované heslo nie je odoslané na server PwdGen. Tento lokálny dizajn znižuje vystavenie na strane servera, ale nechráni pred každou hrozbou. Škodlivé rozšírenie prehliadača, kompromitované zariadenie, phishingová stránka alebo nebezpečná manipulácia so schránkou môžu tajomstvo odhaliť aj po jeho vygenerovaní.
Najčastejšie problémy, ktorým sa treba vyhnúť, sú ručne písané frázy, slávne citáty, texty piesní, osobné slogany a slovníkové frázy vybrané človekom. Tieto problémy sú dôležité, pretože útočníci len zriedka potrebujú brute-force všetky možné heslá, keď im ľudské návyky poskytnú skratku. Credential stuffing, phishing, uniknuté zoznamy hesiel a zneužitie obnovy účtu sú často realistickejšie ako čisto matematické vyhľadávanie. Preto najlepšia rada kombinuje kvalitu hesla s kontrolami na úrovni účtu, ako sú MFA, prístupové kľúče, ukladanie kódov na obnovu a pravidelná kontrola e-mailu na obnovu alebo nastavení telefónu.
Pri aplikácii odporúčania použite tento kontrolný zoznam:
- Používajte náhodne vybrané slová, nie vetu, ktorú si vymyslíte.
- Udržujte oddeľovače konzistentné s cieľovým formulárom.
- Nepoužívajte prístupovú frázu opakovane na viacerých účtoch.
- Používajte správcu pre dlhé náhodné heslá.
Ak webová stránka odmietne ideálne nastavenie, nenuťte heslo ručne do slabšieho vzoru. Upravte jednu premennú naraz. Ak sú symboly odmietnuté, ponechajte veľké písmená, malé písmená a čísla povolené a zvýšte dĺžku. Ak je maximálna dĺžka nízka, použite najväčšiu akceptovanú dĺžku a uistite sa, že hodnota je jedinečná. Ak sa musí heslo čítať nahlas, tlačiť alebo písať na televíznej či routerovej obrazovke, zvážte vylúčenie mätúcich znakov a zvýšenie dĺžky na kompenzáciu menšej abecedy.
Nakoniec si pamätajte hranice rád o heslách. Silné heslo je jedna vrstva obrany, nie záruka. Nedokáže urobiť phishingovú stránku bezpečnou, opraviť malvér alebo kompenzovať službu, ktorá uchováva prihlasovacie údaje zle. Užitočný návyk je nudný, ale trvácny: vygenerujte jedinečnú hodnotu, bezpečne ju uložte, chráňte cestu obnovy a rýchlo ju vymeňte, ak máte podozrenie na odhalenie.
Často kladené otázky
Je prístupová fráza vždy silnejšia ako heslo?
Nie. Náhodná prístupová fráza môže byť silná, ale známy citát alebo veta nie je ekvivalentná náhodne vybraným slovám.
Kedy by som mal zvoliť prístupovú frázu?
Zvoľte prístupovú frázu, keď si ju možno budete musieť zapamätať alebo ručne napísať, najmä pre hlavné prihlasovacie údaje do správcu hesiel.
Koľko slov by mala mať prístupová fráza?
Štyri náhodné slová sú praktickým východiskovým bodom; pridajte viac slov pre hodnotnejšie použitie alebo menšie zoznamy slov.