Hogyan készítsen erős jelszót: hossz, jelszókezelő és kétlépéses azonosítás

Az erős jelszó három dologról ismerhető fel: hosszú, véletlen, és csak egy helyen használják. A bonyolultság, amit az űrlapok kérnek (nagybetű, számjegy, speciális karakter), csak a negyedik, és a legkevésbé fontos. Az alábbiakban kiszámoljuk, miért, megnézzük, mit javasol a Nemzeti Kibervédelmi Intézet (NKI) és az amerikai NIST, és mit tehet még ma.

Mennyi idő kitalálni egy jelszót?

A jelszavakat adatszivárgás után törik fel a leggyorsabban. A támadónak nem kell senkit megtévesztenie: veszi a jelszavak tárolt ujjlenyomatait (hash), és egymás után próbálgatja a lehetőségeket. A sebesség attól függ, hogyan tárolja őket a szolgáltatás. Gyors hash (MD5) mellett egyetlen NVIDIA RTX 5090 videokártya a közzétett hashcat-mérések szerint másodpercenként 215,8 milliárd próbát bír, a lassú bcrypt mellett csak 255,3 ezret.

Jelszó	Erősség	Lassú hash (bcrypt)	Gyors hash (MD5)
8 karakter, csak kisbetűk	38 bit	5 nap	egy másodpercnél kevesebb
8 karakter, minden karaktertípus	50 bit	57 év	35 perc
12 karakter, minden karaktertípus	76 bit	több mint egymilliárd év	4300 év
16 karakter, minden karaktertípus	101 bit	több mint egymilliárd év	több mint egymilliárd év
20 karakter, minden karaktertípus	127 bit	több mint egymilliárd év	több mint egymilliárd év

A táblázatból három dolog látszik:

• Nyolc karakter még minden karaktertípussal sem elég. Gyors hash mellett az ilyen jelszó elesik: 35 perc alatt, lassú hash mellett 57 év alatt. Nyolc kisbetű gyors hash mellett: egy másodpercnél kevesebb.
• Tizenkét karakter már más liga. A jelszó 76 bites, a gyors hash-nek átlagosan 4300 év kellene.
• Tizenhat karaktertől kívül esik a támadó lehetőségein. 101 bit gyors hash mellett ezt jelenti: több mint egymilliárd év. Minden további karakter megszorozza az időt.

A számok csak véletlen jelszóra igazak. A kitalált jelszó sokkal gyengébb: az emberek kiszámítható szavakat, neveket, dátumokat és a végén egy számjegyet választanak, a támadók pedig éppen ezeket próbálják először.

Miért győz a hossz a bonyolultság felett

81 különböző karakterrel (kis- és nagybetűk, számjegyek és szimbólumok) minden további karakter 81-szorosára növeli a lehetőségek számát. Ezért négy karakter hozzáadása egy tizenkét karakteres jelszóhoz 26 bitet ad, a szimbólumok bekapcsolása egy betűkből és számjegyekből álló tizenkét karakteres jelszóban csak 4,4 bitet.

Az NKI azt javasolja, hogy legalább 12 karakter hosszú jelszavakat használjunk, és minél hosszabb, annál jobb, mert annál nagyobb számítási kapacitás kell a feltöréséhez. A legjobb megoldásnak a néhány szóból álló jelmondatot tartja, minden fiókhoz egyedi jelszót ajánl, és kétfaktoros azonosítást, ahol csak lehet. A jelszókezelőről szóló segédletében hangsúlyozza, hogy a mesterjelszó legyen erős, egyedi és a lehető leghosszabb, az egyszer használatos visszaállítási kódokat pedig gondosan kell őrizni. Külön óvatosságra int: a legkritikusabb jelszavakat (például a netbankit) nem javasolja jelszószéfben tárolni.

Az amerikai NIST jelenlegi változata (SP 800-63B-4, a jelszavakról szóló rész) a hosszt helyezi előtérbe:

• az a jelszó, amely az egyetlen belépési mód, legalább 15 karakteres legyen; ha csak egy része a többfaktoros azonosításnak, legalább 8;
• a szolgáltatásoknak el kell fogadniuk a legalább 64 karakteres jelszavakat, és engedniük kell a beillesztést, hogy a jelszókezelők működjenek;
• a szolgáltatások nem írhatnak elő összetételi szabályokat és rendszeres jelszócserét; a cserét csak a jelszó kompromittálódásának jele esetén kell kikényszeríteni;
• az új jelszót összevetik a gyakori és kiszivárgott jelszavak listájával.

A két forrás tehát abban egyezik, hogy a hossz és az egyediség számít. Az NKI a jelszókezelőt is javasolja, de a legkritikusabb belépéseknél óvatosabb.

Véletlen, nem kitalált

A véletlent az ember nem tudja kitalálni, a generátor igen. A jelszógenerátor minden karaktert a böngésző kriptográfiai véletlenforrásából húz, és a jelszót sehová sem küldi el, és nem menti. Az eredménynek semmi köze Önhöz, ezért nem következtethető ki a nevéből, a születési dátumából, sem abból, amit a támadó Önről tud.

Egy jelszó egy szolgáltatáshoz

Ha egy szolgáltatás adatbázisa kiszivárog, a támadók a megszerzett jelszavakat más szolgáltatásokon is kipróbálják. Ha mindenhol ugyanazt vagy hasonló jelszót használ, egyetlen szivárgás minden fiókot megnyit. A fiókonként eltérő jelszó a kárt egyetlen fiókra korlátozza.

Jelszókezelő

Senki sem tud megjegyezni több tucat hosszú, véletlen jelszót. Erre való a jelszókezelő: titkosítva tárolja őket, Ön helyett kitölti, Ön pedig egyetlen mesterjelszót jegyez meg. Mesterjelszónak jó egy hosszabb mondat vagy több szó, amit megjegyez, de senki sem talál ki. A legjobb a véletlenszerűen sorsolt szavak használata, például a jelszófrázis-generátorral. Máshol ne használja, és a helyreállító kódot őrizze biztos helyen.

Kétlépéses azonosítás és hozzáférési kulcsok

A kétlépéses azonosítás a jelszó mellé második lépést ad, például egy alkalmazásból kapott kódot vagy fizikai kulcsot, így az ellopott jelszó önmagában nem elég. Az NKI szerint ez az ajánlásokban folyamatosan visszatérő elem. Kapcsolja be legalább az e-mailnél és a banknál.

A hozzáférési kulcsok (passkey) még tovább mennek. A FIDO Alliance szerint ugyanúgy jelentkezik be velük, ahogyan feloldja az eszközét (biometria, PIN vagy minta), és mivel nyilvános kulcsú titkosítást használnak, az adatbázisban nincs ellopható jelszó, és nincs semmi, amit egy hamis oldal kicsalhatna Öntől. Használja, ahol a szolgáltatás kínálja.

Mit tegyen szivárgás után

A kiszivárgott jelszót azonnal cserélje le, és mindenhol, ahol újrahasznosította. Kapcsolja be a kétlépéses azonosítást. Hogy az e-mail-címe szerepel-e kiszivárgott adatbázisokban, megnézheti a Have I Been Pwned oldalon.

Mit tegyen ma

1. Telepítsen jelszókezelőt (vagy kapcsolja be a böngészőbeli vagy telefonos beépítettet), és adjon neki hosszú mesterjelszót.
2. Kezdje az e-mail, a bank és maga a jelszókezelő jelszavaival: generáltassa őket legalább 16 karakter hosszan.
3. Kapcsolja be a kétlépéses azonosítást az e-mailnél és a banknál.
4. Fokozatosan cserélje le a több helyen használt jelszavakat egyedi jelszavakra.
5. Őrizze biztos helyen a fiókjai helyreállító kódjait.

Ez nem biztonsági tanácsadás az Ön konkrét helyzetére. A jelszó a fiókvédelemnek csak egy része, és önmagában nem véd az adathalászat vagy a rosszindulatú szoftverek ellen.