Generator jakih lozinki

Kako napraviti jaku lozinku koju ne morate da pamtite

Većina ljudi i dalje pravi lozinke po istom obrascu: ime, godina rođenja, ime ljubimca i na kraju uzvičnik. Takva lozinka izgleda složeno, ali je za program koji pogađa lozinke prilično predvidiva, jer se sve informacije o vama mogu naći na društvenim mrežama. Praktično pravilo je jednostavno: jaku lozinku ne treba pamtiti, nju treba generisati i čuvati u menadžeru lozinki.

Postupak je kratak:

1. Izaberite dužinu od najmanje 16 do 20 karaktera.
2. Dozvolite sva slova, brojeve i simbole, bez izuzetaka tipa "ne koristim slovo O".
3. Generišite lozinku i odmah je sačuvajte u menadžer lozinki, pre nego što je nalepite u formu za prijavu.
4. Za svaki nalog napravite novu lozinku, nikada varijaciju iste.
5. Uključite dvofaktorsku autentifikaciju gde god je dostupna.

Ključna razlika u odnosu na "ručno smišljanje" je u tome što generator bira karaktere bez ikakve logike koju biste vi mogli da reprodukujete. Zato je takva lozinka i teža za pamćenje i teža za pogađanje, što je upravo ono što želite.

Šta je entropija lozinke i zašto je dužina važnija od simbola

Entropija je mera nepredvidivosti lozinke, izražena u bitovima. Grubo rečeno, svaki bit entropije udvostručuje broj pokušaja potrebnih da se lozinka pogodi. Kada birate karaktere iz velikog skupa (mala i velika slova, cifre, simboli), svaki dodatni karakter dodaje više entropije nego što većina ljudi očekuje. Zato lozinka od 20 nasumičnih karaktera ima ogromnu prednost u odnosu na "P@ssw0rd2024!" koja izgleda komplikovano, ali je zapravo sastavljena od poznatih reči i obrazaca.

Praktičan primer: reč od osam slova sa zamenjenim slovima (a postaje @, o postaje 0) deluje bezbedno, ali alatke za probijanje upravo takve zamene imaju ugrađene u svoje rečnike. Nasumičan niz od 20 karaktera nema takav obrazac, pa rečnički napad na njega ne deluje.

Stručni savet: ako neki servis ima ograničenje dužine lozinke (na primer 12 ili 16 karaktera), to je znak da je njegova pozadina verovatno zastarela. U tom slučaju birajte maksimalnu dozvoljenu dužinu i obavezno uključite MFA, jer sama lozinka tada nosi manje zaštite nego što biste želeli.

Da li je bezbedno generisati lozinku u pregledaču

Bezbedno je ako generator koristi kriptografski siguran izvor slučajnosti, takozvani CSPRNG, a ne običnu matematičku funkciju koja samo "izgleda nasumično". Razlika je važna: predvidiv generator može proizvesti niz koji napadač može da rekonstruiše ako zna dovoljno prethodnih vrednosti.

Drugi deo priče je gde lozinka završava. Kada se generisanje obavlja u vašem pregledaču, lozinka ne putuje preko mreže i ne ostaje na serveru sajta. To je bitno, jer nema smisla imati savršenu lozinku ako je ona negde zapisana u log fajlu ili bazi koju ne kontrolišete.

Stručni savet: proverite da li sajt koristi HTTPS i da li u opisu generatora jasno stoji da se ništa ne šalje na server. Ako generator traži da lozinku unesete ili je pošaljete mejlom da biste je "sačuvali", to je znak za uzbunu.

Najčešće greške pri upravljanju lozinkama

• Ista lozinka na više mesta. Kada jedan servis bude kompromitovan, napadači istu kombinaciju automatski probaju na mejlu, bankarstvu i društvenim mrežama.
• Sitne izmene iste lozinke. Dodavanje broja na kraj ili promena jednog slova ne pravi novu lozinku, već varijantu koju alatke lako pogode.
• Čuvanje u notesu ili tabeli na radnoj površini. Menadžer lozinki je namenjen upravo tome da zapis bude šifrovan, a ne da bude dostupan svakome ko priđe računaru.
• Deljenje lozinki mejlom ili porukom. Za zajedničke naloge u firmi koristite alate za deljenje pristupa sa evidencijom ko je šta koristio.
• Zanemarivanje MFA. Čak i najjača lozinka je ranjiva ako je nema drugi faktor zaštite.

Kada je u pitanju veći broj naloga, zaposlenih ili serverska infrastruktura, pojedinačni generatori nisu dovoljni. EVI Solutions u okviru održavanja IT infrastrukture postavlja politike lozinki, menadžment pristupa i MFA tako da zaštita bude sistemska, a ne stvar discipline pojedinca.