Hasła i ich złożoność

Hasła i ich złożoność to zależność między wymaganiami dotyczącymi struktury hasła a poziomem bezpieczeństwa konta.

Długość hasła a liczba możliwych kombinacji

Hasło i jego złożoność opisują sposób, w jaki zabezpieczony jest dostęp do konta użytkownika. Znaczenie ma przede wszystkim długość hasła oraz to, czy jest ono przewidywalne. Jeżeli hasło składa się z przypadkowych znaków wybieranych z określonego zbioru, liczba możliwych kombinacji rośnie wraz z każdym kolejnym znakiem. Dla hasła o długości n, utworzonego ze zbioru R znaków, liczba kombinacji wynosi Rⁿ. Zależność tę opisuje się także za pomocą entropii, wyrażanej w bitach.

Wymuszenie użycia wielkiej litery, cyfry i znaku specjalnego zwiększa potencjalny zbiór znaków, ale nie gwarantuje wysokiego bezpieczeństwa. Hasło „Komputer1!” spełnia typowe wymagania dotyczące różnych rodzajów znaków, lecz zawiera przewidywalny wyraz, cyfrę oraz często stosowany znak na końcu. Program próbujący odgadnąć hasło może uwzględniać takie schematy. Dłuższe hasło utworzone z kilku niepowiązanych słów albo losowy ciąg wygenerowany przez menedżer haseł może być trudniejszy do odgadnięcia niż krótsze hasło złożone według sztywnego wzoru.

Przewidywalność, powtarzanie i unikalność

Ocena hasła nie ogranicza się do sprawdzenia jego długości. Ryzyko zwiększają imiona, nazwy miejsc, daty urodzenia, nazwy urządzeń, popularne słowa oraz proste zamiany liter na cyfry. Niebezpieczne są również sekwencje typu „123456”, powtarzanie jednego znaku i hasła wynikające z układu klawiatury. Takie wartości mogą znajdować się w słownikach używanych podczas automatycznych prób logowania. Sam fakt, że hasło zawiera znaki specjalne, nie usuwa problemu przewidywalnego wzorca.

Każde konto powinno mieć inne hasło. Ponowne użycie tej samej wartości powoduje, że wyciek danych z jednego serwisu może ułatwić próbę logowania do poczty, sklepu internetowego, systemu operacyjnego lub konta chmurowego. W praktyce bezpieczne przechowywanie wielu unikalnych haseł ułatwia menedżer haseł. Może on generować losowe ciągi o ustalonej długości, zapisywać je w zaszyfrowanym magazynie i wypełniać dane logowania bez konieczności zapamiętywania każdego hasła osobno. Hasło główne do takiego narzędzia powinno być długie, unikalne i chronione dodatkowym składnikiem uwierzytelniania.

Weryfikacja haseł w systemie i podczas logowania

System nie powinien przechowywać haseł w postaci jawnego tekstu. Prawidłowy mechanizm zapisuje wynik funkcji skrótu przeznaczonej do ochrony haseł, razem z losową solą oraz parametrami obliczeń. Sól sprawia, że identyczne hasła nie muszą prowadzić do identycznych zapisów, a gotowe tablice skrótów są mniej przydatne. Do tego celu stosuje się algorytmy zaprojektowane tak, aby obliczenia były celowo kosztowne, takie jak Argon2id, scrypt, bcrypt lub PBKDF2, zależnie od możliwości konkretnego systemu.

Siła hasła może być sprawdzana na kilka sposobów. Prosty test długości i obecności określonych znaków wykrywa tylko część problemów. Lepsza ocena uwzględnia listy haseł ujawnionych w wyciekach, popularne wzorce oraz przewidywalne modyfikacje. Hasło znalezione na takiej liście powinno zostać odrzucone nawet wtedy, gdy ma odpowiednią długość. Warto też włączyć uwierzytelnianie wieloskładnikowe, ponieważ oprócz hasła wymaga ono dodatkowego dowodu, na przykład kodu z aplikacji uwierzytelniającej, klucza bezpieczeństwa albo innego zatwierdzonego składnika. Nie zastępuje ono unikalnego hasła, ale ogranicza skutki jego ujawnienia.

Hasła w codziennej pracy na laptopie i komputerze

Problemy z hasłami na laptopie lub komputerze mogą wynikać zarówno z błędnej konfiguracji konta, jak i z ustawień systemu, przeglądarki albo aplikacji. Podczas sprawdzania należy ustalić, którego konta dotyczy problem, czy logowanie odbywa się lokalnie, czy przez usługę internetową, oraz czy komunikat wskazuje na błędne hasło, blokadę konta, wygasanie poświadczeń lub brak połączenia z usługą uwierzytelniającą. Nie należy wielokrotnie wpisywać przypadkowych wartości, ponieważ część systemów i usług czasowo ogranicza kolejne próby.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów, w tym diagnozowaniem problemów z logowaniem oraz ustawieniami kont w zakresie związanym z działaniem komputera. Przed zmianą hasła warto ustalić, czy potrzebne są zapisane dane dostępu, kody odzyskiwania lub drugi składnik uwierzytelniania. Jeżeli problem dotyczy konta internetowego, reset hasła wykonuje się przez oficjalną procedurę dostawcy. W przypadku lokalnego konta systemowego sposób odzyskania dostępu zależy od wersji systemu, rodzaju konta i dostępnych mechanizmów odzyskiwania.