Jak tvořit hesla a jak s nimi bezpečně zacházet

Na začátek by bylo dobré rozebrat jedno z nejdůležitějších témat týkajících se hesel:
Jak je psát tak, abychom měli větší jistotu bezpečí?

Hlavním pravidlem je, že bychom hesla neměli opakovat. Pakliže nějaké heslo používáme k přihlašování na určité stránce, neměli bychom ho využívat nikde jinde. Kdyby totiž náhodou útočník získal toto heslo, nebude ho moci využít nikde jinde.

Z dané služby může s ohledem na hackerské útoky heslo uniknout, stává se to zcela běžně. Můžete zkusit zadat svůj e-mail na webu HaveIBeenPwned.com – vypíše vám, v kolika databázích uniklých e-mailových adres se ta vaše nachází a které přesně to jsou. Jsou to celkem děsivá čísla. A v každém z těchto úniků mohli útočníci zjistit vaše heslo k dané službě nebo i jiné osobní údaje.

Dokonce i e-mail, který jsem používal od svých 12 let, jsem našel v databázi služeb, ze kterých heslo uniklo. V té době jsem byl běžný uživatel a o bezpečnosti jsem nic nevěděl, kdo ví, ke kolika dalším únikům došlo.

Jak správně psát hesla?

Heslo musí mít takové vlastnosti, aby pro potenciální útočníky nebylo možné ho uhodnout (jméno vašeho psa nebo jména dětí proto jako hesla nebudou fungovat).

Dále by heslo mělo být dostatečně dlouhé, tj. aspoň 8 znaků. Čím delší heslo, tím déle bude potenciálnímu útočníkovi trvat ho prolomit tzv. brute force (hrubá síla – zkoušení stále a stále nových hesel). Nejlepší je využívat velká a malá písmena, čísla a speciální znaky. Čím více tam těchto odlišností použijete, tím více možných kombinací to bude dělat -> složitější brute force.

Můžete se také při vytváření řídit některým z následujících pravidel:

• spojíme dvě či tři krátká slova (a většinou je zapíšeme malými písmeny nebo první písmeno každého slova napíšeme velkým písmenem),
• použijeme takzvaný leetspeak, nahrazování znaků jinými, podobně vypadajícími znaky (o → 0, i → 1, z → 2, e → 3, a → 4, a → @),
• heslo zapíšeme odzadu (otseM),
• slovo zdvojíme (MestoMesto).

Všechna hesla musí být dlouhá a náhodná, tedy nezapamatovatelná, přitom si je nesmíte napsat do žádného souboru v počítači… Značně složité požadavky, že? V této situaci nám pomůžou správci hesel.

Jak se tedy správně chovat k heslům a jak je spravovat?

• Hesla bychom za žádných okolností neměli nikomu sdělovat. Také bychom je neměli mít napsaná na viditelných místech (papírek v peněžence nebo nalepený na monitoru). Pro zapamatování hesla nám pomůžou již dříve zmínění správci hesel jako například:
  • 1Password – hodně doporučovaný správce hesel, placený, funguje jako online služba i off-line, s lokální úschovou hesel na klíčence (ale musíte si je pak sami zálohovat a synchronizovat).
  • LastPass – dnes již také placený správce hesel, který běží v cloudu, výborně integrovaný do prohlížeče v počítači a o trochu hůře i v telefonu, s určitými pochybnostmi o reputaci vlastnické firmy.
• Do správce hesel se poté přihlásíte jedním super heslem a máte je všechna pohromadě. V případě MacBooku můžete využít také přímo zabudovaný správce hesel v Nastavení -> Hesla.

Jaké jsou nejčastější způsoby, jak útočník zjistí naše heslo?

• Uhodne ho na základě informací, které o vás ví (narozeniny vaše či vašich blízkých) nebo si je zjistí třeba na sociálních sítích.
• Získá ho pomocí tzv. sociálního inženýrství, tj. pod nějakou záminkou z vás heslo vymámí (třeba vám zavolá a tváří se, že je pracovníkem dané služby).
• Brute force – útočník zkouší zadat heslo znovu a znovu pokaždé mírně upravené, využívají se na to programy. Dnes už je to méně používaný způsob. Některé aplikace vám totiž nepovolí zadat heslo vícekrát nebo je vaše heslo dostatečně náhodné na to, aby ho útočník měl šanci zjistit.
• Získá ho formou phishingu, tj. pomocí podvodné stránky, která se tváří jako originální přihlašovací formulář. Nevšimnete si toho, zadáte tam své přihlašovací jméno a heslo a v tu chvíli už je zná útočník.
• Odposlechne ho, třeba kamerou namířenou na váš stůl, programem snímajícím stisknuté klávesy apod. Pozor – tyto programy jsou pro běžného uživatele skryté a běží na pozadí počítače. Naštěstí si IT parťák dokáže poradit i s nimi, takže se nám klidně ozvěte.
• Odchytí internetovou komunikaci, pokud web stále ještě nepoužívá zabezpečený protokol HTTPS. K tomu často dochází na veřejných wi-fi sítích ve vlacích, kavárnách nebo hotelech. Pro útočníka je to proto velice snadné a rychlé.