- Používejte dlouhá, jedinečná a složitá hesla a vyhýbejte se osobním údajům a slovům ze slovníku.
- Používejte praktické metody k jejich zapamatování (fráze, vzorce, manažery) bez obětování bezpečnosti.
- Dodržujte hygienu hesel: nepoužívejte je opakovaně, změňte je, pokud máte jakékoli podezření, a nikdy je nesdílejte.
- Posilte svou ochranu pomocí vícefaktorového ověřování a buďte opatrní před phishingem a sociálním inženýrstvím.
V dnešním digitálním světě každý online účet, který si otevřeme, uchovává potenciálně velmi citlivé informace: osobní údaje, konverzace, fotografie, videa, bankovní údaje nebo pracovní dokumenty. Ochrana toho všeho do značné míry závisí na něčem tak zdánlivě jednoduchém, jako je heslo; naučit se vytvářet silná hesla je nezbytné, ale vytvoření slabého hesla může otevřít dveře podvodům, krádeži identity nebo dokonce poškození naší reputace, pokud někdo použije naše účty k vydávání se za nás.
Navíc je mnoho našich účtů propojeno : používáme stejnou e-mailovou adresu k registraci na sociálních sítích, v internetových obchodech, bankách nebo cloudových službách. Pokud se útočníkovi podaří získat přístup pouze k jednomu účtu a vy stejné heslo použijete jinde, škody se mohou znásobit. Proto je důležité brát vytváření a používání silných hesel vážně, i když je to někdy trochu nepraktické.
Proč jsou hesla vaší první linií obrany
Silné heslo je první obrannou linií mezi vašimi daty a kýmkoli, kdo se pokusí vloupat do vašich účtů. Zamyslete se nad vším, co ukládáte: e-maily s fakturami, důvěrné dokumenty, soukromé fotografie, zákaznická nebo firemní data… Pokud někdo získá neoprávněný přístup, může jej použít k podvodu, vydírání nebo krádeži identity.
Je také důležité mít na paměti, že když je účet odcizen , škoda se neomezuje pouze na finanční aspekt. Zloděj by mohl odesílat zprávy vaším jménem, zveřejňovat urážlivý obsah na vašich sociálních sítích nebo požadovat peníze od vašich kontaktů, zatímco se za vás vydává. Následná náprava škod může být velmi časově náročná a vyžadovat značné úsilí.
Hesla, pokud jsou používána správně, vám pomáhají chránit vaše osobní údaje online a mít je pod kontrolou: pouze vy rozhodujete, kdo k čemu přistupuje, odkud a kdy. Aby to ale platilo, musí být obtížně uhodnutelná, nesouviset s vámi a spravovaná s minimální digitální hygienou.
Dalším klíčovým aspektem je, že mnoho útoků již není manuálních, ale automatizovaných. Kyberzločinci používají programy, které zkoušejí miliony kombinací slov, čísel a klávesových zkratek nebo znovu používají data uniklá z jiných webových stránek (tzv. útoky typu „credential stuffing“). Pokud je vaše heslo jednoduché nebo se opakuje, jste snadným cílem.
Jaké by mělo být skutečně bezpečné heslo?
Aby bylo heslo považováno za silné, nestačí pouhé přidání několika číslic na konec . Přední bezpečnostní organizace doporučují minimální délku 12 znaků, i když 14 nebo více je ještě lepší, pokud to služba umožňuje.
Klíčem je náhodně kombinovat velká písmena, malá písmena, číslice a symboly . Řetězec jako „6MonkeysRLooking^“ nebo „B1gOte_289!“ tuto myšlenku dobře ilustruje: dostatek znaků, mix typů a ne slovo ze slovníku. Vyhněte se tomu, abyste z toho udělali zjevnou frázi nebo snadno odvoditelný vzorec.
Stejně důležité je, aby vaše heslo neobsahovalo osobní údaje : ani vaše jméno, ani jména vašeho partnera, dětí ani domácích mazlíčků, ani data narození, telefonní čísla, čísla registračních značek, čísla občanských průkazů, PSČ, znamení zvěrokruhu ani zjevné koníčky. To vše je první věc, kterou se útočník, který o vás shromáždil informace, pokusí udělat.
Je také vhodné vyhýbat se slovům, která se objevují ve slovnících jakéhokoli jazyka, i když je píšete pozpátku nebo s mírnou obměnou. Programy pro útoky na slovníky testují obrovské seznamy běžných slov, nadávek, technických termínů a typických kombinací jako „heslo“, „heslo123“ a podobně.
A konečně, nikdy nepoužívejte jako heslo své uživatelské jméno ani heslo tak podobné, že by se dalo snadno uhodnout. A pokud máte podezření, že vaše heslo uniklo nebo ho někdo viděl, okamžitě si ho bez váhání změňte.
Praktické metody pro generování silných a zapamatovatelných hesel
Jedním z největších dilemat je, že velmi složitá hesla se často těžko pamatují. Pokud si je nakonec musíte zapisovat na nechráněný papír nebo je neustále obnovovat, ztrácíte část získaného zabezpečení. Naštěstí existují velmi jednoduché techniky pro vytváření silných hesel, která si vaše paměť bez problémů zapamatuje.
1. Vytvořte hesla z fráze
Velmi užitečným trikem je začít frází, která je vám známá a má pro vás smysl, ale není s vámi zjevně spojená, nebo nějakým známým příslovím. Může to být verš z písně, sloka z básně, verš z filmu nebo něco, co jste si vymysleli.
Například pokud si představíte „V Juanově baru vždycky podávají velké tapas za 3 eura“, můžete ponechat první písmeno každého slova a číslice: „EebdJspTga3€“. Poté můžete upravit symboly, pokud daná obsluha neakceptuje znak eura, a nahradit je jiným povoleným speciálním znakem.
Další možností je použít názvy nebo fráze, které si s vaší prací spojujete jen vy, například vaši oblíbenou píseň, anekdotu sdílenou s přáteli nebo běžný, ale mírně upravený komentář. Důležité je, aby si základní frázi snadno zapamatovali a aby konečný výsledek zahrnoval různé postavy.
2. Nahraďte nebo odstraňte samohlásky
Běžnou taktikou je transformace některých písmen na čísla nebo symboly. Můžete například rozhodnout, že a = 4, e = 3, i = 1, o = 0 a nahradit pouze některé samohlásky, abyste heslo dále zkomplikovali: „Seguridad“ by se stalo „53gur1d4d“. Toto schéma je útočníkům známé, ale v kombinaci s jinými metodami se stává ještě obtížnějším.
Další možností je jednoduše odstranit všechny (nebo téměř všechny) samohlásky z vymyšleného slova nebo fráze. Pokud začnete s něčím „divným“, čemu rozumíte jen vy, a samohlásky odstraníte, výsledek se bude jen málo podobat skutečným slovům, což ztíží slovníkové útoky. Nezapomeňte poté přidat čísla a symboly, aby byl výsledek robustnější.
3. Smíchejte slovo a číslo podle vzoru
Někteří lidé dávají přednost mechanickějším metodám, jako je střídání písmen slova s číslicemi čísla, vždy ve stejném pořadí. Představte si, že si vyberete slovo „Mustache“ a číslo „28921“ a střídáte: jedno písmeno, jedno číslo v opačném pořadí atd. Výsledkem by mohlo být něco jako „B1i2g9o8t2e“.
Tato metoda tvorby hesel vás nutí hrát si malou mentální hru, která posiluje paměť a vyhýbá se lineárním sekvencím jako „mustache28921“, které by se mnohem snáze prolomily. Opět stačí přidat symbol a pokud chcete, tak i velké písmeno navíc, abyste rovnici ještě více zkomplikovali.
4. Kostky, Sudoku a další „geeky“ techniky
Pokud byste to chtěli jít ještě o krok dál, existují metody jako Diceware , které využívají hody kostkami a seznamy slov k vygenerování zcela náhodných kombinací. Každý hod přistane na jiném slově a spojením několika slov dohromady získáte velmi robustní frázovou sekvenci.
Dalším kreativním nápadem je nakreslit mřížku ve stylu Sudoku (například 6x6), vyplnit ji náhodnými čísly a poté prstem obkreslit vzor, stejně jako když odemykáte telefon. Číslice, které váš prst obkreslí, budou tvořit základ vašeho hesla, ke kterému pak můžete přidávat písmena a symboly podle systému, který znáte jen vy.
Výhodou těchto přístupů je, že pokud změníte čísla v mřížce nebo použijete dříve vyřešené sudoku, stejný vzorec vygeneruje nová hesla . Stačí si jen zapamatovat mentální obraz a pravidla, která použijete k přeměně čísel na písmena a symboly.
Dobré a špatné postupy při výběru hesel
Kromě způsobu, jakým je vytváříte, existují určité vlastnosti, které definují dobré heslo . Patří mezi ně: použití kombinace velkých a malých písmen, číslic a symbolů; neexistence zřejmých slov nebo dat; dostatečná délka (12–15 znaků je lepší než 8); a přiměřeně snadné zapamatování bez nutnosti zapisovat si ho.
Na druhou stranu nacházíme příklady „nebezpečných“ hesel , která se extrémně snadno uhodnou. Patří sem všechna vlastní jména (vaše, členů rodiny, partnera, přátel, domácích mazlíčků), názvy firem nebo domén, jednoduchá slova ze slovníku, sekvence jako „aaaaaa“ nebo „123456“, telefonní čísla, čísla registračních značek, PINy karet nebo klávesové sekvence jako „qwertyui“ nebo „asdf1234“.
Je také vhodné vyhýbat se výrazům souvisejícím s vaším vkusem nebo osobními údaji , které obvykle zveřejňujete: oblíbený fotbalový tým, koníčky, které jsou na sociálních sítích velmi viditelné, rodné město, přezdívka, pod kterou jste známí atd. Útočníci mohou všechny tyto informace shromáždit pomocí sociálního inženýrství a na jejich základě testovat zjevné kombinace.
Na druhou stranu není dobrý nápad, aby vaše heslo bylo shodné nebo velmi podobné vašemu uživatelskému jménu . Pokud je váš e-mail „[email protected]“, použití něčeho jako „juanperez2024“ je dárek pro každého, kdo se vás pokusí nabourat. Čím větší koncepční odstup si nastavíte mezi svou veřejnou identitou a svým heslem, tím lépe.
Některé služby mají také omezení znaků : například přijímají pouze znaky ASCII a nepovolují diakritiku, ñ nebo některé neobvyklé symboly. V těchto případech budete muset svou metodu upravit (například se vyhnout znaku eura, pokud jej systém nepodporuje), aniž byste obětovali složitost.
Hygiena hesel: jak je denně spravovat
Zabezpečení hesel se netýká jen vytváření silných hesel; zahrnuje také to, jak je denně používáte a ukládáte . Tento soubor návyků se často nazývá „hygiena hesel“ a zahrnuje vše od nesdílení hesel až po pravidelnou kontrolu jejich síly.
Zaprvé, každý důležitý účet by měl mít jedinečné heslo . Opakované používání stejného hesla napříč různými službami je jednou z nejčastějších chyb: pokud dojde k úniku dat na webových stránkách a vaše heslo unikne, útočníci se ho pokusí použít v bankách, e-mailech, na sociálních sítích nebo na nákupních platformách. Tento typ automatizovaného útoku je známý jako „credential stuffing“.
Doporučuje se také změnit hesla, pokud se objeví známky rizika : pokud vás služba upozorní na podezřelý přístup, pokud si všimnete neobvyklé aktivity nebo pokud společnost potvrdí únik dat. Některé starší zásady vyžadovaly jejich změnu každé tři měsíce, ale v dnešní době je běžnější je obnovit, pokud existují důkazy o kompromitaci nebo pokud zjistíte slabé heslo.
Je nezbytné okamžitě nahradit výchozí hesla na routerech, ovládacích panelech, zařízeních IoT nebo nově vytvořených účtech (například pokud vám bylo zasláno dočasné číslo smlouvy). Tato hesla jsou často veřejná, krátká nebo velmi snadno uhodnutelná.
A samozřejmě nikdy nevybírejte možnost „zapamatovat heslo“ v prohlížečích nebo zařízeních, která neovládáte (sdílené počítače, internetové kavárny, pracovní počítače přístupné mnoha lidem). Ukládání přihlašovacích údajů v nezabezpečeném prostředí je vyzývání kohokoli k použití vaší identity.
Kam a jak ukládat hesla, aniž byste se dopustili chyby
Mnoho lidí si nakonec hesla zapíše na papír přilepený k obrazovce, do zápisníku na stole nebo do souboru s názvem „passwords.xlsx“ na ploše. Tato řešení jsou velmi pohodlná, ale z hlediska zabezpečení hrozná . Kdokoli s fyzickým nebo vzdáleným přístupem k zařízení může získat přístup ke všem vašim účtům.
Pokud se rozhodnete je zapsat na fyzické místo, zkuste si vybrat bezpečné a nenápadné místo , mimo počítač, který chrání. Přesto to není nejlepší volba pro firemní prostředí nebo pro obzvláště citlivé účty (bankovnictví, systémová administrace, zákaznické dashboardy atd.).
Moderní a bezpečnější alternativou je použití správce hesel . Tyto aplikace ukládají vaše šifrovaná hesla, generují složité kombinace a automaticky je vyplňují, když je potřebujete. Stačí si pamatovat silné hlavní heslo a v mnoha případech povolit vícefaktorové ověřování pro přístup k samotnému správci.
Renomovaní správci hesel aktualizují vaše hesla, upozorní vás, pokud jsou některá slabá nebo prozrazená, a udržují je v bezpečí, i když vám někdo ukradne zařízení. Kombinace silného šifrování a dvoufaktorového ověřování (2FA) extrémně ztěžuje třetím stranám přístup k vašemu trezoru hesel.
Pokud stále nechcete používat správce hesel, můžete zvolit mnemotechnické pomůcky, jako jsou ty zmíněné dříve (fráze, vzory, transformace), a aplikovat drobné obměny v závislosti na webové stránce. Například vložení názvu služby na určité místo v hesle, změna konkrétního písmene v závislosti na typu účtu atd. Důležité je, aby vám systém vyhovoval a nevedl k přílišnému zjednodušování.
V mnoha případech se útočníci neobtěžují technicky prolomit vaše heslo; místo toho se vás snaží oklamat, abyste jim ho sdělili . To se děje při phishingu a dalších technikách sociálního inženýrství: e-maily, textové zprávy nebo hovory, které se vydávají za vaši banku, oblíbený internetový obchod nebo dokonce důvěryhodný kontakt.
Pokud obdržíte e-mail, který se vydává za e-mail od známé společnosti a žádá vás o potvrzení hesla , jeho zadání na podezřelém odkazu nebo odeslání citlivých údajů „z bezpečnostních důvodů“, buďte okamžitě podezřelí. Totéž platí, pokud vám zavolá někdo údajně z vaší banky nebo platební platformy s žádostí o heslo k „ověření“ vaší identity.
Tyto podvody často napodobují vzhled legitimních webových stránek a kopírují loga, barvy a text, aby vypadaly autenticky. Proto je důležité vždy přistupovat ke službám prostřednictvím důvěryhodných záložek nebo zadáním adresy přímo do prohlížeče, namísto klikání na odkazy v neočekávaných e-mailech nebo zprávách.
Pokud máte jakékoli pochybnosti, přejděte na oficiální webové stránky banky, obchodu nebo služby zadáním adresy URL, kterou již znáte, nebo zavolejte na telefonní číslo uvedené na jejich oficiálních stránkách. Nikdy nesdělujte své heslo e-mailem, zprávou ani telefonicky, i když se zdá, že se o něj ptá někdo, komu důvěřujete, nebo servisní technik.
Vícefaktorové ověřování a další ochranné kroky
I přes všechny výše uvedené faktory existuje vždy možnost, že by se někdo mohl dostat k vašemu heslu. Proto se důrazně doporučuje povolit vícefaktorové ověřování (MFA nebo 2FA), kdykoli je k dispozici. Tento systém vyžaduje více než jen vaše heslo: například dočasný kód odeslaný prostřednictvím SMS nebo vygenerovaný aplikací, fyzický klíč nebo biometrické ověřování.
Myšlenka je jednoduchá: i když útočník získá vaše heslo, nebude se moci přihlásit bez tohoto druhého faktoru. Mnoho velkých platforem (Google, Microsoft, sociální sítě, banky atd.) tento systém již nabízí a v obchodním prostředí se stává nepostradatelným standardem.
Dalším užitečným opatřením je udržovat informace pro obnovení účtu aktuální : alternativní e-mailovou adresu a záložní telefonní číslo (viz návod, jak obnovit můj účet Gmail ). Tyto informace vám umožňují odhalit neoprávněný přístup, obnovit účet, pokud zapomenete heslo nebo pokud se ho někdo pokusí změnit, a dostávat upozornění v případě podezřelé aktivity.
S těmito údaji však zacházejte opatrně: pravidelně kontrolujte, zda jsou stále aktuální (mobilní telefon, který již nepoužíváte, je k ničemu) a vyvarujte se jejich neopatrného sdílení na nespolehlivých formulářích nebo sociálních sítích.
Pokud máte podezření, že byl některý z vašich účtů napaden, jednejte rychle: změňte dotčené heslo , ukončete otevřené relace na ostatních zařízeních a zkontrolujte nedávnou aktivitu. U kritických služeb (primární e-mail, bankovnictví, firemní nástroje) může být rozumné změnit i další související hesla.
Konkrétní doporučení v osobním i firemním prostředí
Na osobní úrovni je cíl jednoduchý: chránit svá soukromá data a zabránit zneužití vašich účtů ke škodlivým účelům. Abyste toho dosáhli, jednoduše dodržujte výše uvedené osvědčené postupy: dlouhá a jedinečná hesla , správce hesel nebo silné mnemotechnické pomůcky, dvoufaktorové ověřování (2FA), kdykoli je to možné, a vyhýbejte se sdílení hesel s přáteli nebo rodinou; pokud je to nezbytně nutné, naučte se sdílet hesla bezpečně , „protože, no, není to konec světa“.
V obchodním prostředí nabývají hesla ještě většího významu, protože mohou udělovat přístup k firemním informacím , pracovním nástrojům, zákaznickým databázím nebo kritickým systémům. Je nezbytné, aby každý zaměstnanec měl své vlastní jedinečné přihlašovací údaje, aby se nesdílely generické uživatelské účty a aby soubory nebo systémy, kde jsou hesla uložena, byly obzvláště zabezpečené.
Organizace by měly definovat jasné zásady pro hesla : minimální délku, požadovanou složitost, využití firemních manažerů, povinnost aktivovat vícefaktorovou autentizaci (MFA) u kritických účtů, zákaz zapisování klíčů na samolepicí papírky nebo nešifrované dokumenty a postupy pro změnu hesla při připojení nebo odchodu uživatele.
Dále je vhodné posílit základní školení v oblasti kybernetické bezpečnosti pro všechny zaměstnance: rozpoznávání phishingových e-mailů, pečlivá kontrola webových adres před zadáním přihlašovacích údajů, okamžité hlášení ztráty zařízení s přístupem k účtu atd. I nejlepší heslo na světě je k ničemu, pokud ho uživatel neúmyslně sdělí podvodníkovi.
Stručně řečeno, hesla jsou jako digitální zubní kartáček: nesdílejte je, pečujte o ně a v případě potřeby je měňte. Kombinací dlouhých, jedinečných a dobře sestavených hesel, dobrých návyků správy hesel, správců hesel v případě potřeby a vícefaktorového ověřování ve vašich nejdůležitějších službách můžete útočníkům výrazně ztížit život a procházet svůj online život s mnohem větším klidem.
