Провера јачине лозинке

Како направити јаку лозинку коју можете да запамтите

Дужина је најважнија, али сама по себи није довољна. Лозинка од 20 карактера састављена од обичних речи (mojpasjeprvirodjendan) има много мање стварне ентропије него што број знакова сугерише, јер нападач не погађа слово по слово, већ испробава речи из речника и њихове комбинације. Зато провера јачине лозинке мери две ствари: колико је лозинка дугачка и колико је предвидива.

Практичан приступ за већину људи је такозвана лозинка од више речи (passphrase): четири до шест насумично изабраних речи, повезаних сепаратором или бројем, нпр. kafa-planina-7-tastatura. Таква фраза је дугачка, лакше се памти од насумичног низа знакова и отпорна је на нападе речником ако су речи заиста случајне, а не повезане смислом.

Ако правите лозинку ручно, водите рачуна о следећем:

1. Циљајте на најмање 16 карактера за важне налоге (мејл, банка, менаџер лозинки).
2. Избегавајте личне податке: имена, датуме рођења, имена кућних љубимаца, назив фирме.
3. Не користите шаблоне типа Lozinka2024! или Qwerty123; алати за пробијање их имају на првим местима листе.
4. Не рециклирајте исту лозинку на више сајтова, јер једно цурење тада отвара све налоге.
5. За насумичне лозинке користите генератор, а за памћење менаџер лозинки.

Зашто је дуга лозинка означена као слаба

Ово је најчешћа забуна. Лозинка Beograd2023Beograd има 18 карактера, али се састоји од познате речи, године и понављања. Процена је да bi таква лозинка пала за неколико секунди или минута, јер нападач не креће од нуле: користи листе процурелих лозинки, речнике, правила о замени слова (a у @, o у 0) и обрасце које су људи навикли да праве.

Ентропија је мера непредвидивости, изражена у битовима. Сваки додатни бит удвостручује број покушаја потребних за пробијање. Насумична лозинка од 12 карактера измешаних великих и малих слова, бројева и симбола има око 70 битова ентропије, док фраза од четири обичне речи може имати мање, зависно од величине речника из којег су биране. Зато провера не гледа само дужину, већ и структуру.

Савет за напредне: ако користите лозинку од више речи, бирајте речи из већег речника и додајте насумичан број или симбол на неочекивано место, не на крај. Избегавајте цитате, изреке и стихове, јер се и они налазе у базама које нападачи користе.

Колико је процена времена пробијања тачна

Процена полази од претпоставке од 10 милијарди покушаја у секунди, што одговара брзини коју постижу модерне графичке картице када нападач дође до украденог хеша лозинке. То је реалан сценарио за сајтове који лозинке чувају као брзе хешеве (нпр. стари MD5 или SHA1 без соли). Ако сајт користи споро хеширање (bcrypt, Аргон2) и со, стварна брзина пробијања је вишеструко мања.

Зато процену читајте као ред величине, а не као тачан рок. Ако алатка каже "просечно време пробијања: 3 секунде", то значи да лозинка не пружа практично никакву заштиту. Ако каже "неколико векова", то не значи да је лозинка вечна: ако процури на сајту који је чува слабо, нападач је може пробити и брже него што процена сугерише.

Најчешће грешке при провери и чувању лозинки

Прва грешка је тестирање праве лозинке на насумичним сајтовима. Овај алат ради локално у прегледачу и лозинка не напушта уређај, али то није правило за све сличне сервисе. Ако нисте сигурни где се подаци шаљу, тестирајте варијанту лозинке, никад оригинал.

Друга грешка је ослањање искључиво на лозинку. Дугачка и јака лозинка не помаже ако је налог компромитован кроз пхисхинг или цурење са другог сајта. Укључите двофакторску аутентификацију (MFA) где год је доступна, по могућству апликацију или хардверски кључ, а не SMS.

Трећа грешка је чување лозинки у обичном тексту, у белешкама или табели. Менаџер лозинки решава и памћење и јединственост: памтите једну дугачку главну лозинку, а све остале генерише алат.

Ако у фирми постоји више стотина налога и система, управљање лозинкама и приступом превазилази оквире појединачне алатке; у таквим случајевима EVI Solutions може да помогне око увођења менаџера лозинки, MFA и политике приступа.