Silné heslo je jedním ze základních prvků ochrany e-mailu, sociálních sítí, internetového bankovnictví i dalších online účtů. Pokud si nejste jistí, zda je vaše heslo dostatečně bezpečné, můžete si jeho sílu orientačně ověřit pomocí online služby How Secure Is My Password na webu Security.org.
Nástroj během několika sekund vyhodnotí zadané heslo a zobrazí odhad, jak dlouho by počítači trvalo jeho prolomení. Výsledek může být několik sekund, dnů, let nebo dokonce miliony či miliardy let podle toho, jak dlouhé a složité heslo zadáte.
Jak funguje How Secure Is My Password
Po otevření stránky Security.org se v horní části zobrazí jednoduché pole Enter Password. Do něj stačí začít psát heslo a výsledek se průběžně mění podle toho, jaké znaky přidáváte.
Není tedy nutné nic instalovat, registrovat se ani vytvářet uživatelský účet. Nástroj funguje přímo ve webovém prohlížeči a můžete jej použít v Google Chrome, Microsoft Edge, Firefoxu nebo jiném běžném prohlížeči.
Služba podle svého popisu kontroluje heslo také proti databázi běžně používaných slabých hesel. Při hodnocení bere v úvahu například počet znaků, jejich různorodost a opakování stejných znaků.
Jak otestovat bezpečnost hesla
Otevřete stránku How Secure Is My Password na webu Security.org a klikněte do pole pro zadání hesla. Jakmile začnete psát, nemusíte nic potvrzovat a výsledek se zobrazí automaticky.
Pokud například zadáte velmi jednoduché heslo typu 123456, služba prakticky okamžitě upozorní, že jej lze prolomit téměř ihned. Podobně špatně dopadnou krátká hesla, často používaná slova nebo jednoduché kombinace čísel a písmen.
Když naopak začnete heslo prodlužovat a použijete méně předvídatelnou kombinaci znaků, výsledný čas výrazně naroste. Právě délka hesla má na jeho odolnost proti automatickému hádání velmi výrazný vliv.
Co znamená čas potřebný k prolomení hesla
Nejzajímavějším údajem je odhad času, za který by počítač dokázal heslo prolomit. Může se zde objevit například údaj, že prolomení hesla zabere několik minut, 20 let nebo třeba několik milionů let.
Tento údaj je ale potřeba brát pouze jako orientační matematický odhad. Skutečná rychlost prolomení závisí na způsobu uložení hesla, použitém šifrování nebo hashovací funkci, výkonu útočníkova hardwaru a především na tom, zda útočník heslo pouze náhodně zkouší, nebo používá slovníky a databáze známých hesel.
Nástroj tedy neříká, že heslo s výsledkem „1 milion let“ skutečně nikdo milion let neprolomí. Pokud například stejné heslo používáte na několika webech a unikne z jednoho z nich, útočník jej nemusí vůbec hádat.
Podle čeho Security.org heslo hodnotí
Security.org uvádí, že při výpočtu zohledňuje několik vlastností hesla. Patří mezi ně především délka, kombinace použitých znaků a to, zda heslo neobsahuje příliš mnoho opakujících se znaků nebo běžně používané kombinace.
Web doporučuje používat dlouhá hesla a jako ideální označuje přibližně 16 až 20 znaků. Současné doporučení amerického institutu NIST rovněž klade hlavní důraz na délku hesla a u hesla používaného jako jediný způsob přihlášení požaduje minimálně 15 znaků.
Dříve se často doporučovalo, aby každé heslo povinně obsahovalo velké písmeno, malé písmeno, číslici a speciální znak. Současná doporučení NIST už taková pravidla nepovažují za nutná a za důležitější označují především dostatečnou délku a nepředvídatelnost hesla.
Nezadávejte do testeru své skutečné heslo
Provozovatel Security.org na stránce uvádí, že zadaná hesla neukládá ani je s nikým nesdílí. Přesto doporučuji skutečné heslo k důležitému účtu do žádného online testeru nezadávat.
Chcete-li například otestovat heslo dlouhé 18 znaků, vytvořte si pro test jinou kombinaci stejné délky a podobného typu. Získáte přibližnou představu o jeho síle, aniž byste své skutečné přihlašovací údaje zadávali na další internetovou stránku.
Zvláště opatrní buďte u hesla k hlavnímu e-mailu, Google nebo Microsoft účtu, internetovému bankovnictví a správci hesel. Právě tyto účty mohou sloužit k obnovení přístupu k mnoha dalším službám.
Jak má vypadat bezpečné heslo
Velmi krátké heslo typu Petr123 nebude bezpečné ani v případě, že obsahuje velké písmeno a číslice. Automatizované nástroje útočníků totiž nezkoušejí pouze všechny náhodné kombinace, ale také běžná jména, slova, číselné řady a jejich typické obměny.
Mnohem lepší je dlouhé a unikátní heslo, které nepoužíváte nikde jinde. Může jej vytvořit správce hesel, takže si nemusíte pamatovat desítky dlouhých náhodných kombinací.
Alternativou je dlouhá heslová fráze, tedy několik náhodně zvolených slov. NIST dnes právě délku hesla považuje za jeden z nejdůležitějších faktorů jeho odolnosti proti hádání.
Pro každý účet používejte jiné heslo
Ani velmi dlouhé heslo vás příliš neochrání, pokud jej používáte na deseti různých internetových stránkách. Jakmile přihlašovací údaje uniknou z jedné služby, útočníci mohou stejnou kombinaci e-mailu a hesla automaticky zkoušet také na dalších webech.
Proto je vhodné mít pro každý důležitý účet jiné heslo. Security.org i bezpečnostní agentura CISA doporučují pro vytváření a ukládání unikátních hesel používat správce hesel.
Zapněte také dvoufázové ověření
Ani velmi silné heslo nedokáže ochránit účet před každým typem útoku. Pokud například heslo omylem zadáte na podvodné phishingové stránce, může jej útočník získat bez toho, aby jej musel složitě prolamovat.
U důležitých účtů proto zapněte dvoufázové nebo vícefaktorové ověření – 2FA/MFA. Při přihlášení je kromě hesla potřeba další potvrzení, například pomocí autentizační aplikace, bezpečnostního klíče nebo biometriky, takže samotná znalost hesla útočníkovi nemusí stačit.
Je How Secure Is My Password přesný?
Služba Security.org je užitečná hlavně k názornému předvedení rozdílu mezi slabým a silným heslem. Když budete postupně prodlužovat heslo, dobře uvidíte, jak výrazně se může teoretická doba potřebná k jeho prolomení měnit.
Výsledek ale není možné chápat jako přesnou předpověď skutečného útoku. Heslo označené jako velmi silné může být stále nebezpečné, pokud jej používáte na více webech, prozradíte jej při phishingovém útoku nebo se objeví v uniklé databázi.
Tester proto používejte spíše jako orientační pomůcku pro pochopení síly hesel. Pro skutečné zabezpečení účtů je nejdůležitější používat dlouhá a unikátní hesla, správce hesel a všude, kde je to možné, zapnout dvoufázové ověření.
Jiste. Nasypejte svoje hesla nekam na nejake webove stranky. Skvely napad.