Генератор јаких лозинки

Како направити јаку лозинку коју не морате да памтите

Већина људи и даље прави лозинке по истом обрасцу: име, година рођења, име љубимца и на крају узвичник. Таква лозинка изгледа сложено, али је за програм који погађа лозинке прилично предвидива, јер се све информације о вама могу наћи на друштвеним мрежама. Практично правило је једноставно: јаку лозинку не треба памтити, њу треба генерисати и чувати у менаџеру лозинки.

Поступак је кратак:

1. Изаберите дужину од најмање 16 до 20 карактера.
2. Дозволите сва слова, бројеве и симболе, без изузетака типа "не користим слово О".
3. Генеришите лозинку и одмах је сачувајте у менаџер лозинки, пре него што је налепите у форму за пријаву.
4. За сваки налог направите нову лозинку, никада варијацију исте.
5. Укључите двофакторску аутентификацију где год је доступна.

Кључна разлика у односу на "ручно смишљање" је у томе што генератор бира карактере без икакве логике коју бисте ви могли да репродукујете. Зато је таква лозинка и тежа за памћење и тежа за погађање, што је управо оно што желите.

Шта је ентропија лозинке и зашто је дужина важнија од симбола

Ентропија је мера непредвидивости лозинке, изражена у битовима. Грубо речено, сваки бит ентропије удвостручује број покушаја потребних да се лозинка погоди. Када бирате карактере из великог скупа (мала и велика слова, цифре, симболи), сваки додатни карактер додаје више ентропије него што већина људи очекује. Зато лозинка од 20 насумичних карактера има огромну предност у односу на "П@ssw0рд2024!" која изгледа компликовано, али је заправо састављена од познатих речи и образаца.

Практичан пример: реч од осам слова са замењеним словима (а постаје @, о постаје 0) делује безбедно, али алатке за пробијање управо такве замене имају уграђене у своје речнике. Насумичан низ од 20 карактера нема такав образац, па речнички напад на њега не делује.

Стручни савет: ако неки сервис има ограничење дужине лозинке (на пример 12 или 16 карактера), то је знак да је његова позадина вероватно застарела. У том случају бирајте максималну дозвољену дужину и обавезно укључите MFA, јер сама лозинка тада носи мање заштите него што бисте желели.

Да ли је безбедно генерисати лозинку у прегледачу

Безбедно је ако генератор користи криптографски сигуран извор случајности, такозвани CSPRNG, а не обичну математичку функцију која само "изгледа насумично". Разлика је важна: предвидив генератор може произвести низ који нападач може да реконструише ако зна довољно претходних вредности.

Други део приче је где лозинка завршава. Када се генерисање обавља у вашем прегледачу, лозинка не путује преко мреже и не остаје на серверу сајта. То је битно, јер нема смисла имати савршену лозинку ако је она негде записана у лог фајлу или бази коју не контролишете.

Стручни савет: проверите да ли сајт користи HTTPS и да ли у опису генератора јасно стоји да се ништа не шаље на server. Ако генератор тражи да лозинку унесете или је пошаљете мејлом да бисте је "сачували", то је знак за узбуну.

Најчешће грешке при управљању лозинкама

• Иста лозинка на више места. Када један сервис буде компромитован, нападачи исту комбинацију аутоматски пробају на мејлу, банкарству и друштвеним мрежама.
• Ситне измене исте лозинке. Додавање броја на крај или промена једног слова не прави нову лозинку, већ варијанту коју алатке лако погоде.
• Чување у нотесу или табели на радној површини. Менаџер лозинки је намењен управо томе да запис буде шифрован, а не да буде доступан свакоме ко приђе рачунару.
• Дељење лозинки мејлом или поруком. За заједничке налоге у фирми користите алате за дељење приступа са евиденцијом ко је шта користио.
• Занемаривање MFA. Чак и најјача лозинка је рањива ако је нема други фактор заштите.

Када је у питању већи број налога, запослених или серверска инфраструктура, појединачни генератори нису довољни. EVI Solutions у оквиру одржавања IT инфраструктуре поставља политике лозинки, менаџмент приступа и MFA тако да заштита буде системска, а не ствар дисциплине појединца.