Cum creați o parolă puternică: lungime, manager de parole și autentificare în doi pași

O parolă puternică se recunoaște după trei lucruri: este lungă, aleatorie și folosită într-un singur loc. Complexitatea pe care o cer formularele (o literă mare, o cifră, un simbol) vine abia pe locul patru. Mai jos explicăm de ce, ce spun standardele NIST din SUA și ce poți face chiar astăzi.

Cât durează să ghicești o parolă?

Parolele se sparg cel mai repede după o scurgere de date. Atacatorul nu trebuie să păcălească pe nimeni: ia amprentele (hash-urile) parolelor și încearcă posibilitățile una după alta. Viteza depinde de felul în care serviciul le stochează. Cu un hash rapid (MD5), o placă video NVIDIA RTX 5090 atinge, conform testelor hashcat publicate, 215,8 miliarde de încercări pe secundă; cu bcrypt, mai lent, doar 255,3 mii.

Parola	Puterea	Hash lent (bcrypt)	Hash rapid (MD5)
8 caractere, doar litere mici	38 biți	5 zile	sub o secundă
8 caractere, toate tipurile	50 biți	57 de ani	35 de minute
12 caractere, toate tipurile	76 biți	peste un miliard de ani	4.300 de ani
16 caractere, toate tipurile	101 biți	peste un miliard de ani	peste un miliard de ani
20 de caractere, toate tipurile	127 biți	peste un miliard de ani	peste un miliard de ani

Din tabel reies trei lucruri:

• Opt caractere nu sunt de ajuns, nici cu toate tipurile de caractere. Cu un hash rapid, o astfel de parolă cade în 35 de minute; cu unul lent, în 57 de ani. Opt litere mici cu un hash rapid: sub o secundă.
• Douăsprezece caractere sunt o altă ligă. Parola are 76 biți, iar un hash rapid ar avea nevoie în medie de 4.300 de ani.
• De la șaisprezece caractere este în afara oricărei raze de acțiune. 101 biți înseamnă, cu un hash rapid: peste un miliard de ani. Fiecare caracter în plus înmulțește timpul.

Cifrele sunt valabile doar pentru o parolă aleatorie. Una inventată de dumneavoastră este mult mai slabă: oamenii aleg cuvinte, nume și date previzibile, cu o cifră la sfârșit, iar atacatorii încearcă tocmai asta mai întâi.

De ce lungimea bate complexitatea

La 81 de caractere diferite (litere mici și mari, cifre și simboluri), fiecare caracter în plus înmulțește numărul de posibilități cu 81. Adăugarea a patru caractere la o parolă de douăsprezece aduce deci 26 biți, în timp ce activarea simbolurilor la o parolă de douăsprezece litere și cifre aduce doar 4,4.

În România, Directoratul Național de Securitate Cibernetică (DNSC) publică ghiduri de bune practici privind gestionarea parolelor, adresate mai ales organizațiilor. Pentru cifre vă oferim aici ghidul instituției americane NIST, în versiunea actuală (SP 800-63B-4, secțiunea despre parole):

• o parolă folosită ca unică metodă de autentificare trebuie să aibă cel puțin 15 caractere; dacă este doar o parte a autentificării multifactor, cel puțin 8;
• serviciile ar trebui să accepte parole de cel puțin 64 de caractere și să permită lipirea, ca managerii de parole să funcționeze;
• serviciile nu trebuie să impună reguli de compoziție (amestecul tipurilor de caractere) și nici schimbarea periodică a parolei; schimbarea se impune doar când există dovezi de compromitere;
• parola nouă se compară cu o listă de parole uzuale și compromise.

Mesajul comun al ghidurilor moderne este că lungimea și unicitatea contează mai mult decât complexitatea forțată.

Aleatorie, nu inventată

Omul nu poate inventa întâmplarea, un generator da. Generatorul de parole extrage fiecare caracter din sursa criptografică de numere aleatorii a browserului și nu trimite și nu salvează parola nicăieri. Rezultatul nu are nicio legătură cu dumneavoastră, deci nu poate fi dedus din nume, din data nașterii sau din orice altceva știe un atacator despre dumneavoastră.

O parolă pentru fiecare serviciu

Când baza de date a unui serviciu este scursă, atacatorii încearcă parolele furate și la alte servicii. Dacă folosiți peste tot aceeași parolă sau una asemănătoare, o singură scurgere vă deschide toate conturile. O parolă diferită pentru fiecare cont limitează paguba la unul singur.

Manager de parole

Nimeni nu ține minte zeci de parole lungi și aleatorii. Pentru asta există managerul de parole: le stochează criptat, le completează în locul dumneavoastră, iar dumneavoastră țineți minte o singură parolă principală. Pentru aceasta se potrivește o frază mai lungă sau mai multe cuvinte pe care le puteți reține, dar pe care nimeni nu le ghicește. Cel mai bine funcționează cuvintele extrase la întâmplare, de exemplu cu generatorul de frază de acces. Nu o folosiți nicăieri altundeva și păstrați un cod de recuperare într-un loc sigur.

Autentificarea în doi pași și cheile de acces

Autentificarea în doi pași adaugă parolei un al doilea pas, de exemplu un cod dintr-o aplicație sau o cheie fizică, așa că o parolă furată nu mai este suficientă singură. Activați-o cel puțin pentru e-mail și bancă.

Cheile de acces (passkeys) merg mai departe. Potrivit FIDO Alliance, vă autentificați așa cum deblocați dispozitivul (biometrie, PIN sau model), iar pentru că folosesc criptografia cu cheie publică, într-o bază de date nu există nicio parolă de furat și nimic ce un site fals vă poate păcăli să dezvăluiți. Folosiți-le acolo unde serviciul le oferă.

Ce faceți după o scurgere de date

Schimbați imediat parola scursă și peste tot unde ați refolosit-o. Activați autentificarea în doi pași. Dacă adresa dumneavoastră de e-mail apare în baze de date scurse, puteți verifica pe Have I Been Pwned.

Ce puteți face astăzi

1. Instalați un manager de parole (sau activați-l pe cel din browser ori din telefon) și dați-i o parolă principală lungă.
2. Începeți cu parolele pentru e-mail, bancă și managerul însuși: generați-le cu cel puțin 16 caractere.
3. Activați autentificarea în doi pași la e-mail și la bancă.
4. Înlocuiți treptat parolele folosite în mai multe locuri cu unele unice.
5. Păstrați într-un loc sigur codurile de recuperare ale conturilor.

Nu este un sfat de securitate pentru situația dumneavoastră concretă. Parola este doar o parte a protecției unui cont și, singură, nu protejează de phishing sau de programe malițioase.