Jak vytvořit silné heslo: délka, správce hesel a dvoufázové ověření

Silné heslo se pozná podle tří věcí: je dlouhé, náhodné a použité jen na jednom místě. Složitost, kterou po vás chtějí formuláře (velké písmeno, číslice, symbol), je až čtvrtá a nejméně důležitá. Níže je spočítáno, proč to tak je, a na konci stručný seznam, co udělat ještě dnes.

Jak dlouho trvá heslo uhodnout

Nejrychleji se hesla lámou po úniku databáze. Útočník pak nemusí nikoho přesvědčovat, jen zkouší možnosti jednu po druhé a porovnává je s uloženými otisky (hashi). Rychlost závisí na tom, jak služba hesla ukládá. U rychlého hashe (MD5) zvládne jedna grafická karta NVIDIA RTX 5090 podle zveřejněných testů nástroje hashcat 215,8 miliardy pokusů za sekundu, u pomalého bcryptu jen 255,3 tisíce.

Heslo	Síla	Pomalý hash (bcrypt)	Rychlý hash (MD5)
8 znaků, jen malá písmena	38 bitů	5 dnů	méně než sekunda
8 znaků, všechny druhy znaků	50 bitů	57 let	35 minut
12 znaků, všechny druhy znaků	76 bitů	1 miliarda let a více	4 300 let
16 znaků, všechny druhy znaků	101 bitů	1 miliarda let a více	1 miliarda let a více
20 znaků, všechny druhy znaků	127 bitů	1 miliarda let a více	1 miliarda let a více

Z tabulky jsou vidět tři věci:

• Osm znaků nestačí ani se všemi druhy znaků. Na rychlém hashi padne takové heslo za 35 minut, na pomalém za 57 let. Osm malých písmen na rychlém hashi vydrží: méně než sekunda.
• Dvanáct znaků je jiná liga. Heslo má 76 bitů a rychlý hash by ho lámal v průměru 4 300 let.
• Od šestnácti znaků je to mimo dosah. 101 bitů znamená u rychlého hashe 1 miliarda let a více. Každý další znak čas znásobí.

Čísla platí jen pro náhodné heslo. Heslo, které si vymyslíte, je mnohem slabší: lidé volí předvídatelná slova, jména, data a číslici na konci a útočníci zkoušejí právě tohle jako první.

Proč délka vítězí nad složitostí

Při 81 různých znacích (malá a velká písmena, číslice a symboly) vynásobí každý další znak počet možností 81krát. Proto přidání čtyř znaků k dvanáctiznakovému heslu přinese 26 bitů, kdežto zapnutí symbolů u dvanáctiznakového hesla z písmen a číslic jen 4,4 bitu.

Odborná doporučení to odrážejí. Americký NIST ve své aktuální verzi (SP 800-63B-4, oddíl o heslech) uvádí:

• heslo, které je jediným způsobem ověření, musí mít aspoň 15 znaků; je-li jen jednou částí vícefázového ověření, aspoň 8;
• služby by měly přijímat hesla dlouhá aspoň 64 znaků a umožnit vložení ze schránky, aby fungovali správci hesel;
• služby nemají vyžadovat míchání druhů znaků ani pravidelnou změnu hesla; změna se vynucuje jen při podezření na únik;
• nové heslo se porovnává se seznamem běžných a uniklých hesel.

Český NÚKIB ve svém vzdělávacím materiálu Základy kybernetické bezpečnosti doporučuje heslo o 12 a více znacích s kombinací velkých a malých písmen, číslice a speciálního znaku, jedinečné pro každý systém, spolu se správcem hesel a vícefázovým ověřením. Zdroje se liší v tom, zda složení znaků vynucovat. Shodují se, že záleží především na délce a že se hesla nemají opakovat.

Náhodné, ne vymyšlené

Člověk náhodu nevymyslí. Generátor ano: generátor hesel losuje každý znak z kryptografického zdroje náhody ve vašem prohlížeči a heslo nikam neodesílá ani neukládá. Výsledek nemá s vámi nic společného, takže ho nejde odvodit ze jména, data narození ani z toho, co o vás útočník ví.

Jedno heslo na jednu službu

Když unikne databáze jedné služby, útočníci zkoušejí uniklá hesla i jinde. Pokud máte všude stejné nebo podobné heslo, jeden únik otevře všechny účty. Jedinečné heslo pro každou službu škodu omezí na jednu.

Správce hesel

Nikdo si nezapamatuje desítky dlouhých náhodných hesel. Od toho je správce hesel: uloží je, vyplní je za vás a vy si pamatujete jediné, hlavní heslo. NÚKIB správce hesel doporučuje. Na hlavní heslo se hodí delší věta nebo několik slov, která si dokážete zapamatovat, ale nikdo je nehádá. Nejlépe se hodí slova vylosovaná náhodou, třeba generátorem heslové fráze. Hlavní heslo nikde jinde nepoužívejte a uschovejte si záložní kód pro obnovu přístupu.

Dvoufázové ověření a přístupové klíče

Dvoufázové ověření přidá k heslu druhý krok, třeba kód z aplikace nebo fyzický klíč, takže odcizené heslo samo k přihlášení nestačí. NÚKIB ho doporučuje jako doplněk k heslům. Zapněte ho aspoň u e-mailu a bankovnictví.

Přístupové klíče (passkeys) jdou ještě dál. Podle FIDO Alliance se přihlašujete stejným způsobem, jakým odemykáte zařízení (biometrie, PIN nebo gesto), a protože se používá kryptografie s veřejným klíčem, není co ukrást z databáze hesel a klíč nejde vyzvat k prozrazení na falešné stránce. Pokud je služba nabízí, použijte je.

Co dělat po úniku

Heslo, které uniklo, změňte hned a změňte ho všude, kde jste ho použili. Zapněte dvoufázové ověření. Jestli váš e-mail není v uniklých databázích, můžete zkontrolovat na Have I Been Pwned.

Co udělat dnes

1. Nainstalujte správce hesel (nebo zapněte ten, který máte v prohlížeči či telefonu) a nastavte mu dlouhé hlavní heslo.
2. Nejdřív vyměňte hesla k e-mailu, bankovnictví a správci hesel. Nechte si je vygenerovat o délce aspoň 16 znaků.
3. Zapněte dvoufázové ověření u e-mailu a banky.
4. Hesla, která používáte na více místech, postupně nahrazujte jedinečnými.
5. Uložte si záložní kódy pro obnovení účtu na bezpečné místo.

Nejde o bezpečnostní poradenství pro vaši konkrétní situaci. Heslo je jen jedna část ochrany účtu, před phishingem nebo škodlivým softwarem samo nechrání.