Provera jačine lozinke

Kako napraviti jaku lozinku koju možete da zapamtite

Dužina je najvažnija, ali sama po sebi nije dovoljna. Lozinka od 20 karaktera sastavljena od običnih reči (mojpasjeprvirodjendan) ima mnogo manje stvarne entropije nego što broj znakova sugeriše, jer napadač ne pogađa slovo po slovo, već isprobava reči iz rečnika i njihove kombinacije. Zato provera jačine lozinke meri dve stvari: koliko je lozinka dugačka i koliko je predvidiva.

Praktičan pristup za većinu ljudi je takozvana lozinka od više reči (passphrase): četiri do šest nasumično izabranih reči, povezanih separatorom ili brojem, npr. kafa-planina-7-tastatura. Takva fraza je dugačka, lakše se pamti od nasumičnog niza znakova i otporna je na napade rečnikom ako su reči zaista slučajne, a ne povezane smislom.

Ako pravite lozinku ručno, vodite računa o sledećem:

1. Ciljajte na najmanje 16 karaktera za važne naloge (mejl, banka, menadžer lozinki).
2. Izbegavajte lične podatke: imena, datume rođenja, imena kućnih ljubimaca, naziv firme.
3. Ne koristite šablone tipa Lozinka2024! ili Qwerty123; alati za probijanje ih imaju na prvim mestima liste.
4. Ne reciklirajte istu lozinku na više sajtova, jer jedno curenje tada otvara sve naloge.
5. Za nasumične lozinke koristite generator, a za pamćenje menadžer lozinki.

Zašto je duga lozinka označena kao slaba

Ovo je najčešća zabuna. Lozinka Beograd2023Beograd ima 18 karaktera, ali se sastoji od poznate reči, godine i ponavljanja. Procena je da bi takva lozinka pala za nekoliko sekundi ili minuta, jer napadač ne kreće od nule: koristi liste procurelih lozinki, rečnike, pravila o zameni slova (a u @, o u 0) i obrasce koje su ljudi navikli da prave.

Entropija je mera nepredvidivosti, izražena u bitovima. Svaki dodatni bit udvostručuje broj pokušaja potrebnih za probijanje. Nasumična lozinka od 12 karaktera izmešanih velikih i malih slova, brojeva i simbola ima oko 70 bitova entropije, dok fraza od četiri obične reči može imati manje, zavisno od veličine rečnika iz kojeg su birane. Zato provera ne gleda samo dužinu, već i strukturu.

Savet za napredne: ako koristite lozinku od više reči, birajte reči iz većeg rečnika i dodajte nasumičan broj ili simbol na neočekivano mesto, ne na kraj. Izbegavajte citate, izreke i stihove, jer se i oni nalaze u bazama koje napadači koriste.

Koliko je procena vremena probijanja tačna

Procena polazi od pretpostavke od 10 milijardi pokušaja u sekundi, što odgovara brzini koju postižu moderne grafičke kartice kada napadač dođe do ukradenog heša lozinke. To je realan scenario za sajtove koji lozinke čuvaju kao brze heševe (npr. stari MD5 ili SHA1 bez soli). Ako sajt koristi sporo heširanje (bcrypt, Argon2) i so, stvarna brzina probijanja je višestruko manja.

Zato procenu čitajte kao red veličine, a ne kao tačan rok. Ako alatka kaže "prosečno vreme probijanja: 3 sekunde", to znači da lozinka ne pruža praktično nikakvu zaštitu. Ako kaže "nekoliko vekova", to ne znači da je lozinka večna: ako procuri na sajtu koji je čuva slabo, napadač je može probiti i brže nego što procena sugeriše.

Najčešće greške pri proveri i čuvanju lozinki

Prva greška je testiranje prave lozinke na nasumičnim sajtovima. Ovaj alat radi lokalno u pregledaču i lozinka ne napušta uređaj, ali to nije pravilo za sve slične servise. Ako niste sigurni gde se podaci šalju, testirajte varijantu lozinke, nikad original.

Druga greška je oslanjanje isključivo na lozinku. Dugačka i jaka lozinka ne pomaže ako je nalog kompromitovan kroz phishing ili curenje sa drugog sajta. Uključite dvofaktorsku autentifikaciju (MFA) gde god je dostupna, po mogućstvu aplikaciju ili hardverski ključ, a ne SMS.

Treća greška je čuvanje lozinki u običnom tekstu, u beleškama ili tabeli. Menadžer lozinki rešava i pamćenje i jedinstvenost: pamtite jednu dugačku glavnu lozinku, a sve ostale generiše alat.

Ako u firmi postoji više stotina naloga i sistema, upravljanje lozinkama i pristupom prevazilazi okvire pojedinačne alatke; u takvim slučajevima EVI Solutions može da pomogne oko uvođenja menadžera lozinki, MFA i politike pristupa.