Michał Rosiak 
Marzy mi się sytuacja, gdy musząc dostać się do jakiegoś serwisu będziemy wspominać stare czasy, gdy "trzeba było wpisać jakieś... hasło?". Choć logowanie w trybie "passwordless" spotykamy coraz częściej, dużo wody w Wiśle upłynie zanim hasła znikną na dobre. Co więc do tego czasu zrobić, by nie dawać złym ludziom okazji na zrobienie nam krzywdy?
Hasła są jak majtki. Nie nosisz ich na widoku, nie pożyczasz znajomym i regularnie zmieniasz!
Takie popularne powiedzonko kursowało przeszło półtorej dekady temu, gdy zaczynałem pracę w cyberbezpieczeństwie. Przez ten czas zmienił się - na szczęście - jego jeden aspekt. Dobre hasło to bowiem takie, którego zmieniać nie musisz.
Po pierwsze - długie
Kiedyś za warunek siły hasła uważano użycie w nim znaków ze wszystkich czterech kategorii:
- wielkich liter
- małych liter
- cyfr
- znaków specjalnych
Brzmi dobrze? Na pierwszy rzut oka tak. Szkoda tylko, że większość zwrotów które zabezpieczały nasze "cyfrowe włości" brzmiało w stylu:
Trudnehaslo1!
Stawiam dolary przeciwko orzechom, że w sporej bazie na palcach jednej - no może dwóch - rąk można by policzyć użytkowników, którzy łamią ten schemat wybierając np. wariant:
1trudne#Haslo
Czemu to istotne? Bo ten kto łamie hasła z wyciekniętej bazy bardzo dobrze zna schematy. I Twoje cyfra i znak specjalny na nic się nie zdadzą, jeśli pojawią się na końcu i będą wykrzyknikiem bądź pytajnikiem.
A co jeśli hasło będzie długie? Złamanie metodą bruteforce (próbowania kolejnych wariantów jeden po drugim) 15 znakowego hasła składającego się z wielkich i małych liter zajmie jakieś 15 bilionów lat. I to przy użyciu specjalistycznej maszynki złożonej z 12 RTX-ów 5090.
Po drugie - nieoczywiste
O 15 bilionach lat możesz jednak zapomnieć jeśli Twoje hasło będzie w oczywisty sposób słownikowe. Bruteforce to jedno, ale do łamania baz używa się również bardzo rozbudowanych słowników, zawierających najpopularniejsze zwroty z danego języka, a także - jakżeby inaczej - najczęściej znajdowane w wyciekach hasła!
Jak zatem stworzyć długie hasło, które będzie nieoczywiste, ale my będziemy potrafili je zapamiętać? Czytaliście Kubusia Puchatka? To dobry przykład, bo ciężko mi wyobrazić sobie kogoś począwszy od wieku nastoletniego, kto nigdy nie trafił wyobraźnią do Stumilowego Lasu. A zatem sprawdziłem, że hasło:
Sloniocysloniocystrachowypom
nigdzie jeszcze nie wyciekło (przynajmniej wg. serwisu HaveIBeenPwned). Dobra,
Litwo!Ojczyznomoja!
też nie, jednak ten zwrot jest na tyle popularny, że jego bym akurat na hasło nie wybierał.
Generalnie myślę, że każdy z nas, każda rodzina, ma jakieś zwroty, które dla każdego innego brzmią absurdalnie, ale Wam kojarzą się z jakąś sytuacją z przeszłości, czy rodzinną historią. Wywołują uśmiech na twarzy, przypomnielibyście je sobie nawet wyrwani ze snu w środku nocy. Brzmi jak idealny pomysł na hasło, co?
Po trzecie - niepowtarzalne
Po co nam jednak choćby najbardziej wyrafinowane hasło, jeśli używamy go w kilku miejscach? Nie będę hipokrytą, sam mam takie hasło, ale serwisy, w których go używam, łączy jedna istotna cecha. Otóż nie ma tam żadnych informacji, które można wykraść, czy powiązać ze mną (z wyjątkiem ew. adresu e-mail). Żadnych adresów pocztowych, personaliów, danych kart płatniczych. Co więcej - to hasło w wersji wcześniejszej już kilkukrotnie wyciekło, ale w nieco usprawnionej - póki co nie.
W przypadku serwisów, do których utrata dostępu mogłaby być dla Ciebie kosztowna - nie warto podejmować ryzyka. Gdy bowiem takie hasło wycieknie raz - przestępcy od razu sprawdzą parę login-hasło we wszystkich popularnych serwisach. Dasz się złapać na phishing i podasz gdzieś swoje hasło? A może właściciel serwisu nie zadba o bezpieczeństwo i baza haseł wycieknie? Kilka chwil i nie zalogujesz się już do maila, na media społecznościowe, być może też serwisy streamingowe. Mam tylko nadzieję, że do banku się zalogujesz. Bo do banku akurat na pewno masz niepowtarzalne hasło. Prawda?
Po czwarte - wzmocnione 2FA
Kiedyś uwierzytelnianie dwuskładnikowe (2 Factor Authentication, 2FA) było uważane za fanaberię takich świrów jak ja. Teraz to w mojej opinii element absolutnie obowiązkowy! Może przyjmować różne formy:
- konieczność potwierdzenia logowania przez kliknięcie komunikatu push w smartfonie (używane np. przez Google)
- wpisanie sześciocyfrowego, zmieniającego się co 30 sekund pseudolosowego kodu z aplikacji mobilnej (Google/Microsofr Authenticator)
- podanie kodu z SMS-a/lub e-maila
- włożenie w gniazdo USB/USB-C lub przytknięcie do strefy NFC klucza kryptograficznego
Co łączy te wszystkie formy? Konieczność użycia nie tylko czegoś co znamy (hasło) i co może wpaść w niepowołane ręce, ale również czegoś co mamy (telefonu/klucza kryptograficznego). Co więcej - gdy na naszym telefonie pojawia się monit, bądź mailem/SMS-em przychodzi kod a my się akurat do serwisu nie logujemy - wiemy, że ktoś usiłuje właśnie zalogować się naszym hasłem!
Jesteśmy tu, by Ci pomóc
A po więcej wiadomości - również dotyczących haseł - zapraszam przede wszystkim zapraszam do serwisu CERT Orange Polska. Na przebudowanej stronie poświęconej bezpiecznym hasłom znajdziecie skrócone porady dotyczące ich tworzenia oraz - to absolutna nowość - generator haseł bazujący na opisanej pod śródtytułem "Po drugie" zasadzie! Możecie wykorzystać stworzone przez niego hasło, bądź czerpać z niego inspiracją do własnego.
Warto też zajrzeć na stronę poświęconą usłudze Hasło Alert. To nasze autorskie rozwiązanie gromadzące informacje z wycieków specyficznie pod kątem polskich internautów. Jeśli w naszej bazie znajduje się wyciek powiązany z podanym przez Ciebie adresem e-mail - poinformujemy Cię o tym. Możesz też zapisać się na informacje dotyczące ew. późniejszych wycieków. Serwis dostępny jest dla wszystkich - nie tylko dla klientów usług Orange Polska.