Ten artykuł opiera się na publicznie dostępnych badaniach dotyczących cyberbezpieczeństwa, raportach branżowych i powszechnie akceptowanych praktykach bezpieczeństwa. W miejscach, gdzie wspomniane jest osobiste doświadczenie, jest to wyraźnie zaznaczone.

Wyciek danych, o którym większość zapomniała — ale nie powinna

W 2012 roku LinkedIn padł ofiarą jednego z największych wycieków danych w ówczesnej historii. Późniejsze analizy wykazały, że ujawniono około 167 milionów rekordów kont, a około 117 milionów z nich zawierało adresy e-mail i skróty (hashe) haseł.

Kiedy zespoły ds. bezpieczeństwa zbadały złamane hasła, wyniki były boleśnie znajome. password1, linkedin123 i podobne leniwe wybory pojawiały się w milionach. Co ciekawsze — i bardziej niepokojące — nawet hasła, które wyglądały na sprytne, takie jak L!nk3d1n2020, padały szybko. Dlaczego? Ponieważ podążały za schematami, których ludzie używają prawie zawsze.

Spędziłem ponad piętnaście lat pracując w testach penetracyjnych cyberbezpieczeństwa. Moim zadaniem jest włamywanie się do systemów — legalnie — przy użyciu tych samych metod, na których polegają prawdziwi atakujący. Hasła nie są dla mnie tematem teoretycznym; są czymś, co widzę jak zawodzą w praktyce każdego dnia.

Jak hasła są faktycznie atakowane

Aby zrozumieć, dlaczego niektóre hasła przetrwają, a inne nie, musisz spojrzeć ze strony atakującego. Atakujący nie siedzą i nie zgadują haseł jedno po drugim. Automatyzują wszystko.

Ataki słownikowe (Dictionary Attacks): Polegają na ogromnych zbiorach prawdziwych haseł, słów, fraz i wariacji zebranych z lat wycieków danych. Te słowniki zawierają miliardy wpisów i wciąż rosną.
Ataki oparte na regułach (Rule-Based Attacks): Są niszczycielsko skuteczne przeciwko ludzkiej kreatywności. Narzędzia automatycznie stosują powszechne nawyki: zamiana "o" na "0", dodanie "123" lub "!" na końcu, wielka litera na początku, wstawienie roku i tak dalej. Większość "sprytnych" haseł pada właśnie tutaj.
Brute Force: Próbowanie każdej możliwej kombinacji. Brzmi to przerażająco, ale w przypadku długich, naprawdę losowych haseł przechowywanych za pomocą nowoczesnych algorytmów haszujących, brute force staje się szybko niepraktyczne po prostu dlatego, że trwa zbyt długo.

Problem z hasłami tworzonymi samodzielnie

Lubimy hasła, które sami wymyślamy, ponieważ wydają się osobiste i łatwe do zapamiętania. Niestety, badania — i doświadczenie — pokazują, że są one również wysoce przewidywalne.

Schematy się powtarzają: Badania na dużą skalę, w tym prace z Carnegie Mellon University, konsekwentnie pokazują te same struktury: słowo lub imię, wielka litera na początku oraz cyfry lub symbole na końcu. Treść się zmienia, ale forma pozostaje ta sama. Gdy atakujący modelują tę strukturę, łamanie staje się drastycznie szybsze.
Długość osiąga sufit: Większość haseł tworzonych przez użytkowników ma od 8 do 10 znaków. Nie dlatego, że ludzie nie wiedzą, że dłuższe znaczy bezpieczniejsze, ale dlatego, że pamięć popycha nas w stronę krótszych ciągów.
Dane osobowe przeciekają: Urodziny, imiona zwierząt, rocznice — ludzie używają ich stale. A w erze mediów społecznościowych atakujący często nawet nie muszą zgadywać.

Dlaczego losowe hasła to inna gra

Hasło stworzone przez bezpieczny generator losowych haseł — coś w stylu r8$NpL#2qW9 — nie jest po prostu "bardziej złożone". Jest fundamentalnie inne.

Każdy znak jest wybierany niezależnie. Nie ma słów, nie ma zamienników, nie ma ludzkiej logiki. Ten jeden fakt usuwa najpotężniejsze narzędzia atakującego: słowniki i reguły.

Z perspektywy liczbowej:

8-znakowe hasło używające tylko małych liter ma około 26⁸ możliwości (~209 miliardów).
Dodaj wielkie litery, cyfry i symbole, a nagle jesteś w okolicach 95⁸ (~6 biliardów).
Zwiększ to do 12 znaków, a przestrzeń staje się astronomicznie duża.

Ale prawdziwą zaletą nie jest tylko rozmiar — chodzi o to, że losowe hasła zmuszają atakujących do brute force, co jest powolne, kosztowne i często niewarte wysiłku.

Jak wygląda łamanie tych haseł w praktyce

Z punktu widzenia pentestera różnica jest wyraźna:

Jeśli hasło jest poprawnie zahaszowane czymś takim jak bcrypt lub Argon2, brute force przeciwko losowemu ciągowi oznacza ramy czasowe, które czynią atak niewykonalnym. W większości rzeczywistych przypadków atakujący po prostu idzie dalej.

Prawdziwy kompromis: Ludzie vs. Losowość

Największą słabością losowych haseł nie jest bezpieczeństwo — jest nią użyteczność. Ludzie są tragiczni w zapamiętywaniu bezsensownych ciągów znaków. To jest główne napięcie w bezpieczeństwie haseł:

Hasła, które ludzie dobrze pamiętają, są zazwyczaj słabe.
Hasła, które są silne, są zazwyczaj niemożliwe do zapamiętania.

Nowoczesne praktyki bezpieczeństwa istnieją, aby wypełnić tę lukę.

Co faktycznie działa dzisiaj

W oparciu o konsensus branżowy i doświadczenie ze świata rzeczywistego:

Używaj menedżera haseł: Narzędzia takie jak Bitwarden lub 1Password pozwalają polegać na jednym silnym haśle głównym, podczas gdy wszystko inne jest długie, losowe i unikalne. Jest to powszechnie uważane za najlepszą opcję dla większości ludzi.
Jeśli musisz zapamiętać, użyj długości: Ciąg niepowiązanych słów (np. coffee-zebra-battery-stapler) jest często bardziej odporny na ataki — i łatwiejszy do zapamiętania — niż krótkie hasło pełne symboli.
Nigdy nie używaj ponownie haseł: Gdy jedna strona zostanie naruszona, ponowne użycie zmienia to w efekt domina.
Włącz MFA: E-mail, bankowość, konta w chmurze — zawsze używaj uwierzytelniania wieloskładnikowego.
Sprawdź narażenie na wycieki: Usługi takie jak Have I Been Pwned pozwalają sprawdzić, czy Twój e-mail pojawia się w znanych zbiorach wycieków danych.

Końcowe przemyślenia

To nie jest filozoficzna debata o tym, czy ludzie czy maszyny tworzą "lepsze" hasła. Chodzi o zarządzanie ryzykiem.

Komputery są dobre w generowaniu losowości. Ludzie są dobrzy w chronieniu jednego sekretu i reagowaniu na monity takie jak MFA. Najbezpieczniejszym podejściem jest pozwolenie każdemu robić to, co robi najlepiej.

Gotowy na ulepszenie swojego bezpieczeństwa? Wygeneruj silne hasło offline teraz aby natychmiast zabezpieczyć swoje konta.

Dlaczego atakujący kochają hasła tworzone przez ludzi