Používate silné heslá a dvojfaktorovú autentifikáciu?
Pri vytváraní hesla, ktoré si potrebujete aj zapamätať, riešite dilemu ohľadne jeho zložitosti, aby sa nedalo ľahko uhádnuť. Navyše sa dôrazne odporúča, aby ste pre každý účet mali iné heslo, pretože ak používate všade rovnaké heslo a od nejakej služby, ktorú ste chceli len zo zvedavosti vyskúšať, ho hackeri získajú, budú mať prístup aj k vašim mailom, účtom na sociálnej sieti a dokonca aj internet bankingu.
Heslá z pohľadu útočníkov
Skôr než sa začneme venovať spôsobom vytvárania silných hesiel, pozrime sa na túto problematiku z opačnej strany – z pohľadu potenciálneho útočníka, ktorý sa snaží heslá uhádnuť. Krátke, jednoduché heslá sa dajú uhádnuť takzvaným útokom hrubou silou, pri ktorej sa postupne vyskúšajú všetky kombinácie znakov. Výkon počítačov dovoľuje v krátkom čase vyskúšať stovky miliárd kombinácií a uhádnuť aj 10 či dokonca 12-znakové heslo. Samozrejme, ak to daná služba dovolí. Preto sa každá dobre zabezpečená služba či aplikácia po troch či piatich nesprávnych pokusoch zablokuje a ďalšie pokusy povolí až po určitom čase. Variantom útoku hrubou silou je takzvaný slovníkový útok, kde sa neskúšajú všetky kombinácie znakov, ale len také, ktoré tvoria slová. Vyskúšajú sa aj veľké či malé písmená a nahradzovanie znakov číslicami.
Oveľa pravdepodobnejšie vaše heslo kybekriminálnici získajú tak, že sa nabúrajú do nejakej služby a zoznam hesiel aj používateľských mien majú doslova na striebornom podnose. Ak ich nevyužijú, predajú ich. A ak používate rovnaké heslo pre viac účtov, prípadné dôsledky si ľahko domyslíte. Rovnako vám ani najsilnejšie heslo nepomôže, ak sa stanete obeťou phishingového útoku. Necháte sa napríklad nachytať na podvodný mail, kliknete na odkaz, ktorý otvorí stránku do posledného detailu podobnú stránke vašej banky či vami používanej služby. Názornou analógiou je kuriózny príklad hardvérového phishingu z nedávnej minulosti. Podvodník si namontoval na plot svojho domu falošný bankomat, ktorý PIN kód zaznamenal po jeho zadaní a kartu zadržal. Majiteľovi podvodného bankomatu následne stačilo kartu zobrať a ísť si do pravého bankomatu vybrať peniaze.
Ako si vytvoriť silné heslo
Silné heslo musí byť dostatočne dlhé (bezpečnostní experti odporúčajú dĺžku hesla aspoň 12 – 16 znakov) a musí obsahovať veľké aj malé písmená, číslice, prípadne aj špeciálne znaky typu !@#$%^&*()+. Naopak, neodporúča sa, aby heslo obsahovalo znaky ~`[];?, ktoré sú na rôznych jazykových verziách klávesníc umiestnené na rôznych klávesoch. Určite nie je správne vytváranie hesiel tak, že náhodne prebehnete prstom po klávesnici. Jednak si také heslo nezapamätáte, jednak je veľká pravdepodobnosť, že bude obsahovať reťazce znakov, ktoré sú na klávesnici vedľa seba. Kontroverzná záležitosť sú aj takzvané podobné znaky, napríklad iI1lO0. Môžu zmiasť človeka, ktorý sleduje zadávanie hesla na obrazovke, ale aj vás, keď heslo zadávate. Keďže keylogger čiže malvér, ktorý zachytáva znaky zadávané na klávesnici, takýmto spôsobom neoklamete, odporúča sa nedávať v hesle podobné znaky vedľa seba. Preto aj generátory hesiel majú voľbu Exclude Similar.
Generátor hesiel nám vygeneroval napríklad heslo &HqE85JqxX5W#CUY, ktoré spĺňa všetky spomínané podmienky, takže je dostatočne silné. Skúste si ho však zapamätať s tým, že je to len heslo k jednému z vašich dôležitých účtov a takýchto silných hesiel si potrebujete zapamätať typicky 4 – 6, niektorí aj viac. Jednoducho nemáte šancu. Riešením je buď aplikácia na uschovávanie hesiel (tejto téme budeme venovať samostatný článok), alebo sa naučíte vytvárať silné a zároveň zapamätateľné heslá.
Aby ste si heslo zapamätali, odporúča sa použitie nejakej frázy, ktorá je pre vás výnimočná a nikto ju nepozná, teda žiadne známe citáty ani nič podobné. Túto frázu treba ešte poprekladať číslicami a špeciálnymi znakmi podľa pravidla, ktoré poznáte len vy. Napríklad YesNa33&45vinyle. Kľúčom k tomuto heslu je, že máte (alebo chcete) platňu skupiny Yes, a to jednak LP, ktorá sa prehráva rýchlosťou 33 otáčok, aj singel prehrávaný na 45 otáčkach. Pri takto koncipovanom hesle tých 16 znakov zrazu nevyzerá tak veľa. Alebo VmKnZr4@1&mvlv. V takejto podobe je to silné heslo napriek tomu, že bolo vytvorené podľa príkladu, ktorý je v mnohých článkoch o vytváraní silných hesiel. Ide o detskú riekanku „Varila myšička kašičku na zelenom randlíčku...“ (VmKnZr) ... štyrom dala, jednému nie (4@1&) a štyria šťastlivci to dostali na mištičku, varešku, lyžičku a vidličku (mvlv). Riekanku sme skrátka upravili svojským spôsobom.
Experti odporúčajú, aby ste v heslách nepoužívali všeobecne používané slová, pretože takéto heslá sa dajú odhaliť slovníkovým útokom. A ak už také slová použijete, robte to s úmyselnými pravopisnými chybami. Nepoužívajte svoje meno, prezývku ani mená členov rodiny, ani mená domácich miláčikov, pretože také heslo by človek, ktorý vás pozná, mohol uhádnuť. Nepoužívajte názov organizácie ani číselné postupnosti – určite si spomínate na aféru s heslom nbusr123, nepoužívajte ani dátumy narodenia, rodné čísla, názvy obľúbeného športového klubu či kapely. Mimochodom, meno kapely sme použili v prvom príklade a Yes je aj všeobecné anglické slovo, ale názov kapely tvorí len tri znaky zo šestnástich.
Potenciálne úskalia
Automatické ukladanie prihlasovacích údajov do prehliadača sa vám snaží uľahčiť život, môže vám ho však aj značne skomplikovať. Ak si takto v notebooku či smartfóne uložíte heslo, ktoré používate pre streamovaciu službu a nikde inde, pravdepodobne vám nič nehrozí. Rizikom sú hlavne počítače na verejných miestach v prípade, ak sa tam prihlásite do sociálnej siete a automaticky akceptujete návrh prehliadača, že heslo uloží. Na takýchto počítačoch sa nezabudnite odhlásiť a takisto odporúčame odstrániť históriu v internetovom prehliadači.
Zásadne neklikajte na odkazy ani neotvárajte prílohy v e-mailoch alebo v správach od neznámych ľudí a ani v správach od priateľov, pokiaľ je obsah správy netypický. NIKDY, a to dôrazne opakujeme, NIKDY nezadávajte svoje heslo ako odpoveď na výzvu v mailoch, aby ste potvrdili, že ste to vy, inak vám zrušia konto. Žiadna banka ani seriózna služba nikdy od vás heslo takouto formou nežiada.
Viacfaktorová a biometrická autentifikácia
Spoľahlivá ochrana, hlavne pri bankových či iných podobných aplikáciách, je dvojfaktorová, prípadne viacfaktorová autentifikácia. Viacfaktorová autentifikácia využíva princíp, že niečo viete (heslo, PIN kód, kód z overovacej SMS), niečo máte (GRID tabuľku) a niečím ste (odtlačok prsta, snímka tváre...). Dvojfaktorová autentifikácia funguje tak, že po zadaní hesla vám prevádzkovateľ služby pošle nejakým nezávislým kanálom, napríklad cez SMS správu, kód, ktorý musíte v určenom časovom limite zadať. Alebo sa používa takzvaná GRID karta obsahujúca tabuľku kódov, z ktorej sa vyžaduje jeden náhodne vybraný. Prípadne pri internet bankingu sa využíva hardvérové zariadenie na generovanie jednorazových kódov.
foto: Freepik / Freepik.com
