Siła haseł i zasady ich tworzenia

Mimo rosnącej popularności MFA i uwierzytelniania bezhasłowego hasła pozostają najczęściej stosowanym czynnikiem uwierzytelniania. Słabe hasło jest najczęstszą drogą uzyskania początkowego dostępu w przypadku naruszeń bezpieczeństwa.

Silne hasła cechują się:

• długością — co najmniej 16 znaków znacząco zwiększa entropię
• złożonością — połączenie wielkich i małych liter, cyfr oraz symboli
• nieprzewidywalnością — brak słów ze słownika, wzorców klawiaturowych i danych osobowych
• unikatowością — inne hasło dla każdego konta

Entropia mierzy nieprzewidywalność w bitach. W przypadku hasła korzystającego z 94 drukowalnych znaków ASCII każdy znak dodaje około 6,5 bitu. Hasło 16-znakowe ma około 104 bitów entropii — w praktyce nie da się go złamać metodą brute force.

Długość jest ważniejsza od złożoności: "correcthorsebatterystaple" > "P@ss1".

Atakujący wiedzą, że użytkownicy wybierają:

• słowa ze słownika z prostymi zamianami (p@ssw0rd)
• dane osobowe (data urodzenia, imię zwierzęcia)
• wzorce klawiaturowe (qwerty, 123456)
• nazwę firmy + rok
• to samo hasło wszędzie

Skuteczne zasady dotyczące haseł (zgodnie z NIST SP 800-63B):

• co najmniej 8 znaków (preferowane 12 lub więcej)
• sprawdzanie względem list haseł znanych z wycieków
• NIE wymagać częstej obowiązkowej zmiany (zachęca to do stosowania słabych haseł)
• NIE wymagać arbitralnych reguł złożoności, które użytkownicy obchodzą
• zezwalać na wklejanie, aby umożliwić korzystanie z menedżerów haseł

Menedżer haseł generuje i przechowuje unikatowe, silne hasła do każdego konta, chroniąc je jednym hasłem głównym. Eliminuje to ponowne używanie haseł — główną przyczynę ataków typu credential stuffing.

Popularne rozwiązania: Bitwarden (open source), 1Password, KeePass, Dashlane.

Fraza hasłowa — co najmniej cztery losowe słowa — łączy łatwość zapamiętania z wysoką entropią. "TrafficLampFrogBridge" jest bezpieczniejsza niż "T!@#k7" i znacznie łatwiej ją zapamiętać oraz wpisać.

W środowiskach korporacyjnych:

• wymuszać minimalną długość za pomocą Group Policy / IdP
• blokować często używane hasła (z listy 100 000 najczęściej używanych)
• włączać MFA dla wszystkich kont
• monitorować w logach wzorce ataków password spray i brute force
• używać LAPS do rotacji haseł lokalnych administratorów

HaveIBeenPwned (HIBP) autorstwa Troya Hunta zawiera miliardy skradzionych danych uwierzytelniających. Organizacje mogą korzystać z interfejsu API HIBP, aby blokować hasła znalezione w znanych wyciekach.

Użytkownicy mogą sprawdzić swój adres e-mail w witrynie haveibeenpwned.com.

Biometria (odcisk palca, twarz) jest wygodna, ale ma ograniczenia: nie można jej zmienić w przypadku skompromitowania. Najlepiej używać jej jako drugiego składnika wraz z silnym hasłem, a nie zamiast niego.

Klucze dostępu (FIDO2/WebAuthn) zastępują hasła parami kluczy kryptograficznych. Klucz prywatny nigdy nie opuszcza urządzenia. Z założenia są odporne na phishing — nie ma hasła, które można ukraść. Stosują je Apple, Google i Microsoft.

Zgodnie z NIST SP 800-63B, która praktyka jest zalecana w celu poprawy bezpieczeństwa haseł?

Silne hasła opierają się bardziej na długości i unikatowości niż na złożonych regułach dotyczących znaków. Menedżery haseł rozwiązują problem ponownego używania haseł. Wytyczne NIST zalecają sprawdzanie haseł w bazach wycieków zamiast wymuszania częstej zmiany. Klucze dostępu (FIDO2) to odporna na phishing przyszłość uwierzytelniania.