Często słyszymy zalecenie: „używaj silnych haseł”. W praktyce jednak wiele osób kojarzy silne hasło z krótką, losową kombinacją liter, cyfr i znaków specjalnych, która jest trudna do zapamiętania.
Aktualne rekomendacje ekspertów ds. cyberbezpieczeństwa wskazują, że najskuteczniejsze hasła to hasła długie, oparte na nietypowych, unikalnych zdaniach (tzw. passphrase), które są jednocześnie łatwe do zapamiętania przez użytkownika.
Zamiast haseł takich jak:
- „qwerty123”
- nazwa hobby połączona z rokiem urodzenia
- imię lub miasto z prostym dodatkiem „123!”
lepiej stosować dłuższe, wymyślone zdania, np.:
- „KotNaKredensiePatrzyNaKwiatki”
- „ZielonaLampaŚwieciłaWJasnyDzień”
- „SamochódWBiałejCzapceZatrzymałSięNaPodjeździe”
Takie hasła są znacznie dłuższe, łatwiejsze do zapamiętania i dużo trudniejsze do złamania przy użyciu automatycznych narzędzi, które opierają się głównie na słownikach popularnych słów i schematów.
Czy hasło musi zawierać znaki specjalne?
W wielu nowoczesnych systemach kluczowe znaczenie ma długość i unikalność hasła, a nie konieczność stosowania skomplikowanych kombinacji znaków. Jeżeli jednak dany system tego wymaga lub użytkownik chce dodatkowo wzmocnić hasło, można dodać cyfry lub znaki specjalne, np.:
„ SamochódWBiałejCzapceZatrzymałSięNaPodjeździe!2025”
Dobre praktyki dotyczące haseł
- Nie używaj tego samego hasła w wielu serwisach, wyciek jednego hasła nie powinien narażać innych kont.
- Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie tam, gdzie jest dostępne.
- Rozważ korzystanie z menedżera haseł, który pozwala bezpiecznie przechowywać unikalne hasła bez konieczności ich zapamiętywania.
Przykłady słabych haseł
Hasła takie jak „hasło123!”, „miasto123!” czy „imię123!” były wielokrotnie ujawniane w wyciekach danych i mogą zostać złamane przez automatyczne narzędzia w bardzo krótkim czasie. Nie zapewniają one realnej ochrony danych.
Sprawdzenie, czy hasło pojawiło się w wyciekach
Aby sprawdzić, czy dane hasło pojawiło się w znanych wyciekach danych, można skorzystać z serwisu Have I Been Pwned (https://haveibeenpwned.com/Passwords).
Serwis ten porównuje zaszyfrowane skróty haseł z bazą znanych wycieków. Jeżeli hasło zostało ujawnione w wyniku wycieku, należy je jak najszybciej zmienić.
