Bezpečnost hesel a jak správně vybrat

Vaše heslo, Vaše soukromí

Je to snadné. Když dorazíte domů, vytáhnete klíč a odemknete. Ani by Vás nenapadlo, že by to mohlo být jinak. Také by Vás nenapadlo, že byste mohli mít od branky před domem, od vchodových dveří a například od dveřích do pokoje stejný klíč. A co třeba představa, že místo superbezpečné “fabky” použijete levný visací zámek za 30kč? Nemyslitelné. Proč tedy většina z nás používá krátká jednoduchá hesla? Proč jsme ochotni použít jedno heslo pro email a zároveň pro elektronické bankovnictví? Jak by to mělo být správně?

Jak na to?

Vezměme to od podlahy. Jednou jsem někde zaslechl pěknou pomůcku.

muj pocitac Pepa ma 99 prednosti – mpPm99*

Co můžeme z tohoto hesla vyčíst?

• Máme pro něj mnemotechnickou pomůcku.

• Je delší než 6 znaků.
• Obsahuje malá a velká písmena (tedy alespoň jedno velké).
• Obsahuje čísla.
• Najdeme v něm i jeden speciální znak.

Pokud si těchto pět pravidel zapamatujeme, máme z poloviny vyhráno. Budeme mít rozumně snadno zapamatovatelné heslo, které bude relativně bezpečné (ano, všechno je relativní – obzvlášť bezpečnost).

Již víme, jak správně vytvořit heslo. Jenže ačkoliv jsme si jeho tvorbu usnadnili Pepovými přednostmi, vymýšlet takovéto věty při každé registraci by nás stálo mládí. Ne, takhle to nepůjde. Můžeme tedy použít stejné heslo na více místech? Asi už jste uhodli, že odpověď bude: “Ne!”.

Opakování matka moudrosti – na u hesel!

Existují ale situace, kdy nám přece jen stačí jedno heslo pro více účtů. Pokud rádi diskutujete, nebo třeba jen pokládáte dotazy na různých diskuzních fórech, můžete pro přihlášení do všech bez větších starostí použít jedno heslo. Chcete-li důvod, proč tvrdím, že v tomto případě opakování nevadí, je tu – je nepravděpodobné, že by někdo měl eminentní zájem Vám heslo pro tyto služby krást. I kdyby se to stalo, nemůže Vám tím útočník nijak zvlášť uškodit. V nejhorším případě Vám udělá ostudu, ze které se snadno vylížete založením nového účtu a vysvětlením nastalé situace.

Tak jsme si ospravedlnili opakované použití hesla. Teď si povíme o situacích, kdy bych, mít na to páky, Vám za znovupoužití hesla dal rákoskou přes prsty. Takováto situace nastává například při použití emailu. Vrátím se na chvilku k metafoře s domovem a klíčem. Dovedeme si představit, že pokud se nám někdo dostane domů a najde tam výpisy z účtů, záznamy o stavebních spoření či našich milionech na Bahamách, mohli bychom mít problém. Teď si představte, co všechno máte ve své emailové schránce. V té mé by se rozhodně našly zmíněné výpisy, faktury, ale také kontakty na zákazníky, přátele, rodinu… Jednoduše řečeno, našla by se tam spousta užitečných informací pro někoho, kdo by mi chtěl ublížit.

Pokud použijete své heslo k emailu i jinde, je to jako byste použili klíč od domovních dveří například při vstupu do obchodu. To je příhodný příklad. Použili jste někdy své heslo k emailu v eshopu? Odpovězte si sami;).

Situaci si ovšem můžeme o něco zjednodušit. Vezmeme Pepovo heslo a o něco si ho rozšíříme. Rozšíříme ho o písmenko, kterým si dáme najevo, k čemu je heslo určeno. Pokud je k emailu, připojíme k heslu E. Je-li heslo určeno k administraci našeho webu, připojíme k němu A. Takže máme dvě služby – email a administrace, ale v podstatě jen jedno heslo:

• mpPm99*E – email

• mpPm99*A – administrace

Samozřejmě že mít takto systématická hesla není úplně ideální, ale je to rozumný kompromis mezi bezpečnostní a zvyšením šance na zapamatování.

Černé na bílém – ne u hesel!

Dobrá, máme popsány dvě možné varianty. V jedné Vám dovolím opakovat heslo jak si zamanete, ve druhé po Vás chci, aby Vaše hesla byla různá, nebo bezpečná a zároveň se od sebe alespoň lehce lišila. Proč po Vás tedy nevyžaduji, abyste si vymysleli nové heslo pro každou situaci, kdy se přihlašujete? Je to poměrně snadné – jsme lidi a jsme zapomnětliví. Jsme velice zapomnětliví. Pokud budeme mít úplně jiné heslo pro každou službu, určitě se nám bude stávat, že hesla budeme zapomínat. Že ne? A jak toho docílíte? Aha, papír snese všechno, že? Bohužel je tomu tak. Tedy papír, který Vám visí doma na nástěnce je ještě ta lepší varianta. Jenže, kdo by si psal hesla ke všem těm Internetům na zastaralý papír? Od čeho je Poznámkový blok (Mám na mysli aplikaci v té bedýnce před Vámi.)? Písmenka tam skáčou tak snadno. Pokud si k heslu uvedeme i odkaz na přihlášení, je to nejpřímější cesta do elektronických pekel. Nikdy nevíte, kdo se Vám v počítači šťourá, nebo který nezbedný program odesílá Vaše data nějakému záludnému záškodníkovi.

Takže zapisování hesel jsme řekli jednoznačné NE!. “Dobrá, ale co když si heslo uložím v prohlížeči”, namítnete možná. Inu, má to také jeden háček. Takto uložené heslo si s největší pravděpodobností nebudete pamatovat vůbec. Když pak dojde na přeinstalování počítače, nebo pouhou změnu prohlížeče, budete těžce shánět stará hesla. Jsem si téměř jist, že nenajdete, nevzpomenete si a tak nezbyde nic jiného, než vyhledat stránky s milými názvy jako “Zapomenuté heslo”, “Obnovení hesla”, “Zaslat heslo na email”… nebo budete psát emaily rozmrzelým správcům, aby Vám poslali nové heslo. Je to zbytečná starost nejen pro Vás, ale i pro ně. Tak proč si starosti přidělávat, když je snazší jim předejít?

Poznámka na okraj: Když už zvolíte nějakou formu ukládání hesel, použijte nějaký důvěryhodný program k tomu určený. Poměrně známý je například KeyPass. Nabízí hezké rozhraní pro zapamatování všech hesel, jejich třídění do složek a celý balík je bezpečně šifrovaný hlavním heslem. Vždy je tu ale riziko, že výrobce software někdo koupí a nový majitel do příští aktualizace začlení odeslání všech vašich hesel do jeho pařátů.

Závěrem bych chtěl podotknout

Blížíme se ke konci našeho malého exkurzu do ochrany vlastního soukromí. V tuto chvíli by se hodilo lehké shrnutí učiva.

Hesla bychom si měli být schopni zapamatovat. Měly by být delší než 6 znaků a obsahovat malá a velká písmena. Nikdy také není na škodu do hesla vložit nějakou tu číslici a speciální znak. U nedůležitých služeb, jejichž zcizení nám nemůže nijak ublížit, se můžeme chovat lehce nezodpovědně a bezpečné! heslo můžeme použít opakovaně. U služeb, na kterých nám záleží a jejichž ohrožení by nám mohlo způsobit problémy, hesla neopakujeme, ale vždy alespoň změníme nějakou jejich část. Hesla si nikdy nikam nepíšeme a v nejlepším případě ani neukládáme do všelijakých správců hesel.

Poslední drobnost na závěr. Dodržení minimální délky hesla má svůj prostý důvod – čím delší heslo, tím hůře se hádá. Je proto mnohem lepší použít heslo typu “moje_velice_bezpečné_heslo”, než čtyřpísmenné heslo splňující ostatní parametry (“aP1*”). Mohl bych Vás zahrnout výpočty a vzorci na složitost, ale spokojím se s tím, že mi prostě budete věřit.

Prý je vhodné končit zvesela. Nebo začínat. Nevím, to je jedno. Každopádně, jak říká můj kamarád – já nejsem paranoidní, já jsem správce. Tak buďte prosím alespoň trochu paranoidní, pokud už náhodou nejste správci!