Czym naprawdę jest silne hasło

Moduł 2: Hasła i logowanie · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, dlaczego długość i unikalność są ważniejsze niż nietypowe znaki, oraz co mówi aktualna wytyczna NIST dotycząca haseł.

Kluczowe pojęcia: długość, entropia, fraza hasłowa, atak słownikowy, brute force, ponowne użycie, wymuszona zmiana

Jak łamane jest hasło

Mówiąc o "łamaniu hasła", wiele osób myśli o kimś, kto zgaduje hasło na Państwa stronie logowania. To się zdarza, ale nie jest to największe zagrożenie. Dobra strona logowania spowalnia działanie po kilku błędnych próbach albo tymczasowo blokuje dostęp. Zgadywanie przez "frontowe drzwi" jest więc powolne.

Groźniejsze jest łamanie offline. Strona internetowa nie przechowuje (jeśli jest dobrze zbudowana) samego hasła, lecz jego hash: rodzaj odcisku palca, z którego nie da się bezpośrednio odtworzyć hasła. Jeśli wycieknie baza danych sklepu internetowego, atakujący ma te odciski palców na własnych komputerach. Tam nie ma żadnego ograniczenia. Próbuje tylu haseł, ile jego sprzęt jest w stanie obsłużyć, i porównuje każdy wynik z wyciekłym odciskiem palca.

Korzysta przy tym z dwóch metod:

• Atak słownikowy: najpierw sprawdza wszystko, co ludzie często wybierają. Listy z milionami prawdziwych haseł z wcześniejszych wycieków, słowa ze słowników, imiona, nazwy miejscowości, roczniki. Do tego stałe reguły: wielka litera na początku, rocznik na końcu, wykrzyknik na samym końcu, a zamienia się na @, o na 0.
• Brute force: następnie wszystkie możliwe kombinacje znaków, od krótkich do długich.

Hasło takie jak Zomer2026! wygląda na silne: wielka litera, cyfry, znak przestankowy, dziesięć znaków. Jednak to dokładnie ten wzorzec, który znajduje się w tych regułach: słowo, rocznik, znak. Takie hasło zostaje złamane już w pierwszej rundzie, długo przed rozpoczęciem brute force.

Długość wygrywa z dziwnymi znakami

To, jak silne jest hasło, zależy od liczby możliwości, które musi sprawdzić atakujący. Tę liczbę oblicza się tak: liczba możliwych znaków podniesiona do potęgi równej długości hasła.

Na zwykłej klawiaturze jest 95 znaków, które można wpisać (wielkie i małe litery, cyfry, znaki przestankowe oraz spacja). Losowe hasło złożone z 8 znaków ma więc 95 do potęgi 8 możliwości: około 6,63 × 10^15. To wygląda na dużo, ale przy szybkim sprzęcie i słabym sposobie przechowywania hasła można to przeszukać w ciągu kilku dni.

Każdy dodatkowy znak mnoży liczbę możliwości przez 95. Dodatkowy rodzaj znaków (na przykład dodanie znaków przestankowych do samych liter) mnoży podstawę tylko nieznacznie. Dlatego długość daje znacznie więcej niż skomplikowanie.

Ta ostatnia kolumna to entropia: miara tego, jak nieprzewidywalne jest coś, wyrażona w bitach. Mówiąc prościej: każdy dodatkowy bit podwaja pracę atakującego. Hasło o entropii 65 bitów wymaga więc nie trochę, lecz około 4000 razy więcej pracy niż hasło o entropii 53 bitów.

Ważne: te liczby obowiązują tylko wtedy, gdy hasło zostało wybrane naprawdę losowo. Hasło, które Państwo sami wymyślą, prawie nigdy nie jest losowe. Bakkerij2026! ma trzynaście znaków, ale pod względem wzorca znajduje się na każdej liście do łamania haseł.

Fraza hasłowa

Fraza hasłowa to hasło złożone z kilku niezależnych słów, na przykład pięciu lub sześciu. Zaleta: jest długa, a mimo to łatwa do zapamiętania i wpisania. Holenderskie krajowe centrum cyberbezpieczeństwa (NCSC) zaleca wybranie od czterech do sześciu słów, które nie mają ze sobą żadnego związku, i twierdzi, że długa fraza złożona wyłącznie z małych liter jest bezpieczniejsza niż krótkie hasło zawierające wszystkie rodzaje znaków.

Fraza hasłowa jest silna tylko wtedy, gdy słowa zostały wybrane losowo:

• Dobrze: generator (w menedżerze haseł) albo kostki do gry z listą słów. Znana metoda z pięcioma kostkami wykorzystuje listę 7776 słów, ponieważ 6 do potęgi 5 to dokładnie 7776. Twórcy takiej listy zalecają w większości zastosowań sześć słów.
• Źle: znane zdanie, tekst piosenki, przysłowie albo coś o Państwu samych. ikhouvanmijnhondbobby jest długie, ale słowa są ze sobą powiązane i można je zgadnąć, jeśli ktoś Państwa zna albo czyta Państwa media społecznościowe.

Fraza hasłowa to nadal hasło. Używają jej Państwo w jednym miejscu i nie dzielą się nią z nikim.

Unikalność jest ważniejsza niż skomplikowanie

Najsilniejsze hasło nie pomoże, jeśli używają go Państwo w dwudziestu miejscach. W lekcji 1.4 poznali Państwo credential stuffing: wyciekły adres e-mail wraz z hasłem jest automatycznie wypróbowywany na poczcie, w księgowości, sklepach internetowych i mediach społecznościowych. Jeśli wycieknie u najsłabszej z tych dwudziestu usług, otwarte stają się wszystkie dwadzieścia.

Ponowne użycie jest w praktyce największą słabością. A "odrobina wariantów" nie liczy się jako unikalność. Example!Mail i Example!Shop atakujący z jednym wyciekłym hasłem odgadnie w kilku próbach.

Rozwiązaniem nie jest zapamiętywanie, lecz przechowywanie: menedżer haseł tworzy dla każdej usługi długie, losowe hasło i zapamiętuje je za Państwa. Tematowi temu poświęcona jest lekcja 2.2. Wtedy wystarczy zapamiętać tylko kilka rzeczy: hasło główne menedżera i ewentualnie hasło do komputera.

Co mówi wytyczna NIST

Amerykański NIST (National Institute of Standards and Technology) publikuje najbardziej znaną wytyczną dotyczącą logowania: SP 800-63B. Czwarta wersja stała się ostateczna 31 lipca 2025 r. Podąża za nią wiele organizacji na całym świecie. Najważniejsze punkty dotyczące haseł:

• Jeśli hasło jest jedynym sposobem logowania, powinno mieć co najmniej 15 znaków. Jeśli jest elementem uwierzytelniania dwuskładnikowego, wystarczy co najmniej 8.
• Usługa musi dopuszczać hasła o długości co najmniej 64 znaków.
• Brak reguł dotyczących składu znaków: usługa nie może wymagać "co najmniej jednej wielkiej litery, jednej cyfry i jednego znaku przestankowego".
• Brak okresowej wymuszonej zmiany. Zmiana hasła tylko wtedy, gdy istnieje wskazówka, że hasło wyciekło.
• Sprawdzanie nowych haseł względem listy często używanych i wyciekłych haseł.
• Dopuszczenie wklejania haseł i korzystania z menedżerów haseł.
• Brak pytań zabezpieczających ("imię pierwszego zwierzaka") i brak podpowiedzi do haseł.

Dlaczego wymuszona zmiana hasła nie jest już zalecana

Przez wiele lat w pracy trzeba było co trzy miesiące wybierać nowe hasło. Pomysł był taki, że skradzione hasło działałoby wtedy tylko krótko. W praktyce ludzie robią tak: Zomer2026! zmienia się w Herfst2026!, a potem w Winter2026!. Atakujący znający stare hasło odgadnie nowe w kilku próbach. A kto musi wciąż wymyślać nowe hasło, wybiera krótsze i zapisuje je na kartce.

Wymuszona zmiana sprawia więc, że hasła stają się bardziej przewidywalne. Hasło należy jednak zmienić od razu, gdy jest ku temu powód: informacja o wycieku, dziwne logowanie, odejście współpracownika, który znał hasło, albo gdy przypadkiem wpisali je Państwo w niewłaściwym miejscu.

W praktyce: polityka haseł na jedną kartkę A4

Dla małej firmy, takiej jak Piekarnia Example, wystarczy krótka polityka:

1. Każde konto ma własne, osobiste hasło. Brak wspólnego logowania do info@example.com, którego hasło zna pięć osób.
2. Hasła tworzy menedżer haseł: losowe, co najmniej 15 znaków, albo fraza hasłowa złożona z co najmniej pięciu losowych słów, które trzeba wpisać.
3. Nigdy to samo hasło w dwóch miejscach.
4. Uwierzytelnianie dwuskładnikowe (2FA) włączone na poczcie, w księgowości, banku, hostingu i rejestracji domeny (lekcja 2.3).
5. Zmiana hasła tylko wtedy, gdy jest ku temu powód, i wtedy od razu.
6. Hasła nigdy przez e-mail, czat ani na kartce przy ekranie.

Ta sama zasada dotyczy także panelu hostingowego. W środowisku WebOké można na przykład przy haśle do DirectAdmin oraz przy skrzynkach pocztowych wygenerować losowe hasło; w innych panelach ten przycisk nazywa się często "Genereer" albo "Generate". Taki generator powinien zawsze tworzyć co najmniej 15 znaków; często można samodzielnie wybrać długość.

Podsumowanie

• Atakujący łamią hasła głównie offline, po wycieku, przy użyciu list i reguł. Przewidywalne wzorce zostają złamane od razu.
• Długość i prawdziwa losowość dają znacznie więcej niż dziwne znaki. Każdy bit entropii podwaja pracę atakującego.
• Fraza hasłowa złożona z losowo wybranych słów jest długa, a mimo to łatwa do zapamiętania.
• Unikalność jest ważniejsza niż skomplikowanie: ponowne użycie zamienia jeden wyciek w dwadzieścia wycieków.
• NIST SP 800-63B-4: co najmniej 15 znaków jako jedyny czynnik, brak reguł dotyczących składu znaków, brak okresowej wymuszonej zmiany, ale sprawdzanie względem wyciekłych haseł.

Quiz

Zadanie

Zadanie A2.1: Liczenie i ocenianie. Nigdzie nie wpisują Państwo własnego hasła. Część 1: proszę obliczyć, ile możliwości ma fraza hasłowa, a ile losowe hasło (podane będą liczby słów i znaków), które z nich jest silniejsze i ile razy. Część 2: proszę ocenić sześć wymyślonych przykładowych haseł: przewidywalne, zbyt krótkie, używane ponownie czy silne. Program sprawdza odpowiedzi i do każdej z nich podaje wyjaśnienie.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Jak zmienić hasło lub limity adresu e-mail?
• Holenderskie NCSC, Wskazówki dotyczące wymyślania silnego hasła: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Holenderskie NCSC, Cztery kroki, aby Państwa hasła były bezpieczniejsze: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (w języku angielskim): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (w języku angielskim, lista słów do użycia z kostkami): https://www.eff.org/dice