Generator haszów

Entropia w zależności od długości i zestawu znaków

Co oznacza entropia w praktyce

– 40 bitów – można je rozszyfrować w ciągu kilku dni za pomocą jednej GPU; odpowiednie dla kont tymczasowych. – 60 bitów – odpowiada na ataki online, ale jest wrażliwy na specjalizowaną atakę krackingu offline. – 80 bitów – wysoka odporność na ataki krackowania w trybie offline przy obecnym sprzęcie. – 100 bitów – niemożliwe do złamania, dopóki komputacja kwantowa nie dojde do dojrzałości. – 128 bitów – odpowiada poziomowi bezpieczeństwa klucza AES-128.

Dla większości kont internetowych 16 znaków z pełnego zestawu (105 bitów) jest wystarczająco dużą liczbą. Konta bankowe, programy do zarządzania hasłami oraz portfele kryptowalut wymagają co najmniej 20 znaków.

Dlaczego klasy postaci są istotne

Każdy typ znaków dodaje dodatkowe opcje dla każdego znaku. W przypadku 26 małych liter jeden znak wymaga log₂(26) = 4,7 bitów. Dodanie dużych liter daje 52 znaki i 5,7 bitów na znak; dodanie cyfr – 62 znaki i 5,95 bitów; dodanie symboli – 94 znaki i 6,55 bitów. Przy liczbie znaków przekraczającej 16 ta różnica się skumuluje do około 30 bitów – to właśnie różnica między tym, że znak jest „lakomie rozszyfrowywalny“, a tym, że nie warto go próbować.

Kiedy wykluczać znaki niejednoznaczne

Jeśli hasło wpisywane jest bezpośrednio z ekranu na urządzenie bez możliwości kopiowania i wklejania – w przypadku programów instalacyjnych do konsoli, niektórych portfeliów sprzętowych lub starszych użytkowników czytających hasła głosowo – wykluczenie kombinacji 0, O, 1, l oraz I zapobiega błędom transkrypcyjnym. Koszt entropii jest minimalny (2–3 bity przy ponad 80 możliwych kombinacjach).

Przepływ pracy menedżera haszów

1. Zainstaluj program do zarządzania hasłami (Bitwarden, 1Password, KeePass).
2. Ustaw silny hasło główny (6–8 losowych słów – zapoznaj się z generatorem haszów).
3. Wykorzystaj generator menedżera dla każdego serwera, przyjmując standardowe, wysokie ustawienia.
4. Nigdy nie powtarzaj haszów na różnych stronach internetowych, nawet tych jednorazowych.
5. Włącz dwuetapową autentyfikację na wszystkich urządzeniach, które jej obsługują.

Hasła wpisywane ręcznie powinny być rzadkie – stosowane wyłącznie dla konta menedżera, szyfrowania całego dysku oraz, w przypadku konieczności, logowania do komputera służbowego.

rzeczy, które nie pomagają

– Modyfikowanie co 90 dni. Przymusowa rotacja sprzyja powstaniu przewidywalnych wzorców (lato 2024 → jesień 2024). Standard NIST SP 800-63B wyraźnie zakazuje tej praktyki. – Pisanie na papierze w portfelu. Bezpieczniejsze niż powtarzanie słabo zdefiniowanych haseł, ale gorsze niż korzystanie z narzędzia do zarządzania hasłami. – Pytania bezpieczeństwa z prawdziwymi odpowiedziami. „First school“ można znaleźć za pomocą wyszukiwarki Google dla większości osób. Generuj losowe fałszywe odpowiedzi i przechowuj je w swoim systemie zarządzania.