Zmieniasz hasło co miesiąc? Nie powinieneś! CSIRT NASK przypomina aktualne zalecenia
Nie ma powodu, aby cyklicznie zmieniać hasło dostępu do poczty lub systemu firmowego – przypominają specjaliści z NASK. Podobnie nie ma uzasadnienia dodawanie do hasła cyfr i znaków specjalnych. Podstawową cechą silnego hasła jest liczba znaków – im dłuższe hasło, tym lepsze.
„Hasła dostępu wciąż są podstawowym narzędziem ochrony naszych danych i usług. Jednak zalecenia dotyczące ich stosowania zmieniają się w zależności od charakteru zagrożeń i analizy dotychczasowych doświadczeń. Dziś wiemy, że o sile hasła decyduje jego długość i oryginalność. I na te dwie cechy powinniśmy zwracać uwagę używając haseł i tworząc politykę haseł w naszej organizacji” – wskazuje opracowanie specjalistów z CERT Polska.
Do niedawna panowało przekonanie, że bezpieczne są hasła skomplikowane i z tego powodu wiele automatycznych systemów wymuszało na użytkowniku użycie w haśle małych i wielkich liter, znaków specjalnych i cyfr. Niektóre wciąż tego wymagają. Od pewnego czasu jednak specjaliści coraz wyraźniej obserwują, że taka polityka nie zwiększa bezpieczeństwa. Niewielu użytkowników jest w stanie spełnić te wymagania i jednocześnie wymyślać hasła silne i łatwe do zapamiętania. Stąd biorą się przewidywalne schematy w tworzeniu haseł, np. praca/styczeń2022 lub biuro!luty2022. Problem nasila się wtedy, kiedy dodatkowo system wymusza okresową profilaktyczną zmianę hasła.
Nie bardzo pomaga też wymienianie części liter na znaki specjalne lub cyfry, ponieważ… większość z nas podstawia te same znaki za te same litery.
Przykład:
Hasło_elektroniczne - > H@$ło_el3ktron!czne.
Dlatego specjaliści od pewnego czasu nie rekomendują już ani komplikowania hasła, ani jego okresowej zmiany, jeśli nie doszło do naruszenia bezpieczeństwa serwisu (np. wycieku danych).
Dwie istotne cechy decydują o tym, że hasło jest trudne do złamania:
- Długość – minimum 12 znaków, jednak lepiej użyć pełnego zdania.
- Oryginalność – unikanie schematów, popularnych słów i kombinacji klawiszy, powtórzeń i używania tego samego hasła do różnych serwisów.
Długość hasła ma podstawowe znaczenie. Każdy kolejny znak wielokrotnie zwiększa liczbę możliwych kombinacji i utrudnia złamanie hasła. Specjaliści zalecają, aby hasło miało co najmniej 12 znaków. To absolutne minimum. Administratorzy powinni dopuszczać używanie haseł nawet do 64 znaków – to jest minimalny zalecany górny limit możliwych do wprowadzenia haseł.
Jak zapamiętać takie długie hasło?
Właśnie dlatego hasło nie powinno być skomplikowane. Najlepiej, jeśli jest to całe zdanie, które odnosi się do naszego osobistego doświadczenia lub opisuje łatwą do wyobrażenia sobie i zapamiętania scenę. Można zainspirować się znanym cytatem, ale nie należy go przytaczać dosłownie. Np. fragment piosenki: „Wlazł kotek na płotek i mruga” można przerobić na łatwą do zapamiętania frazę: „Wlazł Kostek na mostek i stuka”.
Co to znaczy oryginalność?
Przede wszystkim oryginalne hasło to takie, które nie powiela popularnych schematów. Niestety wśród najczęściej używanych haseł przodują wciąż*:
- 123456
- qwerty
- 12345
- 123456789
- zaq12wsx
- 1234
- 12345678
- polska
- 111111
- misiek
*10 pierwszych pozycji z listy najpopularniejszych haseł używanych w polskim Internecie. Lista powstała w wyniku analiz ekspertów CERT Polska.
Poza tym, nie należy stosować tego samego hasła w kilku miejscach. Wyciek danych z jednego serwisu może zagrozić bezpieczeństwu naszego konta w innym serwisie.
Więcej na ten temat można przeczytać na stronie CERT Polska.
