Generator haseł

Entropia według długości i zestawu znaków

Co entropia oznacza w praktyce

• 40 bitów: dziś można złamać w kilka dni jedną kartą GPU. Wystarczy najwyżej do kont jednorazowych.
• 60 bitów: odporne na ataki online, ale podatne na wyspecjalizowane łamanie offline.
• 80 bitów: mocne wobec łamania offline obecnym sprzętem.
• 100 bitów: praktycznie nieopłacalne do atakowania, dopóki komputery kwantowe nie dojrzeją.
• 128 bitów: odpowiada sile klucza AES-128.

Dla większości kont online 16 znaków z pełnego zestawu (105 bitów) to więcej niż potrzeba. Konta bankowe, hasła główne menedżerów haseł, portfele krypto i pełne szyfrowanie dysku zasługują na 20 lub więcej znaków.

Dlaczego klasy znaków są ważne

Każda klasa dodaje opcje na każdy znak. Przy 26 małych literach jeden znak wnosi log₂(26) = 4,7 bitu. Dodanie wielkich liter daje 52 znaki i 5,7 bitu na znak. Dodanie cyfr daje 62 znaki i 5,95 bitu. Dodanie symboli zwiększa zestaw do 94 znaków i 6,55 bitu. Na przestrzeni 16 znaków różnica rośnie do około 30 bitów, czyli do różnicy między “do złamania” a “nie warto próbować”.

Kiedy wykluczać mylące znaki

Jeśli hasło ma być przepisywane z ekranu na urządzenie bez kopiowania i wklejania, na przykład w instalatorze konsolowym, niektórych portfelach sprzętowych albo podczas czytania hasła na głos, wykluczenie 0, O, 1, l i I zmniejsza ryzyko pomyłek. Koszt entropii jest niewielki, zwykle 2-3 bity z ponad 80.

Praca z menedżerem haseł

1. Zainstaluj menedżera haseł, na przykład Bitwarden, 1Password albo KeePass.
2. Ustaw silne hasło główne w formie frazy z 6-8 losowych słów. Możesz skorzystać z generatora fraz haseł.
3. Dla każdej strony używaj generatora w menedżerze i pozostaw mocne ustawienia domyślne.
4. Nigdy nie używaj ponownie tych samych haseł w różnych serwisach, nawet dla kont pozornie tymczasowych.
5. Włącz 2FA wszędzie, gdzie jest dostępne.

Hasła wpisywane ręcznie powinny być rzadkością: hasło główne menedżera, pełne szyfrowanie dysku i ewentualnie logowanie do komputera służbowego.

Co nie pomaga

• Zmiana co 90 dni. Wymuszona rotacja sprzyja przewidywalnym schematom, takim jak Lato2024 na Jesień2024. NIST SP 800-63B wyraźnie to odradza.
• Kartka w portfelu. To bezpieczniejsze niż ponowne używanie słabych haseł, ale gorsze niż menedżer haseł.
• Pytania bezpieczeństwa z prawdziwymi odpowiedziami. “Pierwsza szkoła” często da się znaleźć wyszukiwarką. Twórz losowe fałszywe odpowiedzi i zapisuj je w menedżerze.