Silne hasło powinno mieć minimum 12–16 znaków, być całkowicie unikalne dla każdego serwisu i składać się z losowych słów lub trudnej do przewidzenia frazy, a nie z pojedynczego wyrazu czy daty urodzenia. W ten sposób zyskujesz ogromną przewagę czasową nad potencjalnym atakiem na twoje dane. Reszta to kwestia sprytnego zarządzania tymi cyfrowymi kluczami.
Co decyduje o sile hasła?
Najgorszym wrogiem bezpieczeństwa jest przewidywalność. Maszyny łamiące hasła potrafią przetwarzać ogromne liczby kombinacji na sekundę przy użyciu technik takich jak atak siłowy (brute force) czy słownikowy. Jeśli twój kod dostępu znajduje się w bazie upublicznionych danych lub opiera się na prostym słowie – jego złamanie zajmie mniej czasu, niż przeczytanie tego zdania.
W zestawieniach najczęściej spotykanych haseł od lat królują ciągi „123456” oraz „qwerty”. Proste zastąpienie litery „a” znakiem „@” czy dostawienie wykrzyknika na końcu słowa „haslo1” to zabiegi, które dzisiejsze skrypty omijają w ułamku sekundy. Nowoczesne wytyczne amerykańskiego instytutu NIST odeszły od wymuszania nieczytelnej mieszanki znaków na rzecz długości hasła.
Długa, naturalna fraza bez żadnych ozdobników jest dziś znacznie trudniejsza do przełamania niż krótki, naszpikowany symbolami chaos w stylu „P@$$w0rd!”.
Długość – twój główny sojusznik
Każdy dodatkowy znak wykładniczo zwiększa czas potrzebny na złamanie hasła. Ośmioznakowy ciąg z jedną wielką literą i cyfrą współczesny sprzęt pokonuje bardzo szybko. Rozciągnięcie go do dwunastu lub szesnastu znaków, poprzez połączenie kilku niezwiązanych ze sobą słów, wydłuża ten proces nieporównywalnie – i to nawet przy użyciu zwykłego domowego komputera.
Metoda siłowa jest skuteczna właśnie dlatego, że krótkie hasła da się sprawdzić błyskawicznie. Dlatego absolutne minimum to osiem znaków, ale rozsądne minimum – przy kontach bankowych i poczcie głównej – zaczyna się od dwunastu.
Unikalność – odrzucenie efektu domina
Używanie tego samego klucza do bankowości, skrzynki mailowej i forum o wędkarstwie to prosta droga do katastrofy. Wyciek z jednej, często słabo chronionej bazy danych, oddaje w ręce przestępców wytrych do twojego e-maila. A skrzynka mailowa to centrum dowodzenia – przez opcję przypominania hasła daje dostęp do wszystkiego innego. Unikalność każdego hasła to nie sugestia, to wymóg przetrwania w sieci.
Złożoność – nie taka, jak ją pamiętasz
Stare poradniki kazały mieszać małe i wielkie litery, cyfry oraz znaki specjalne. To wciąż ma znaczenie, ale nie jako cel sam w sobie. Nie chodzi o to, by z wyrazu „administrator” zrobić „@dm1nistr@tor”. Takie przewidywalne podmiany są już w słownikach atakujących.
Zamiast tego użyj różnorodności do podkręcenia losowości. Wtrąć znak specjalny w środek wyrazu, rozbij słowo cyfrą w nietypowym miejscu, dorzuć wielką literę tam, gdzie nikt jej nie oczekuje. Prawdziwa siła tkwi w braku wzorca.
Jak zbudować hasło, które zapamiętasz?
Współczesny użytkownik ma średnio kilkadziesiąt kont – zapamiętanie do każdego z nich losowego ciągu typu „<.OzpDzL45ech$@” jest biologicznie niemożliwe. Nie musisz jednak być mistrzem pamięci. Istnieją metody, które godzą wygodę z żelazną ochroną.
Zacznij od koncepcji „hasło-zdanie”. Ludzki mózg doskonale pamięta obrazy i historie, więc stwórz absurdalną scenę: „ZielonyParkingDla3MalychSamolotow” albo „MalyPiesekTanczyNaStoliczkuWCzerwoneKropeczki”. Długość takiej frazy jest zabójcza dla komputerów, a dla ciebie – banalna do odtworzenia. Spełnia też wytyczne NIST lepiej niż losowa zbieranina znaków.
Alternatywą jest akronim z własnego zdania. Bierzesz frazę, która ma sens tylko dla ciebie, i z pierwszych liter układasz bazę: „W piątki o 20:00 zawsze biegam 5 km po parku” zamieniasz w „Wpo20:00zb5kmpp”. Wplątujesz wielką literę, znak specjalny i masz kod, którego nie odgadnie nikt, nawet przeglądając twój profil w mediach społecznościowych przez godzinę.
Hasło zbudowane z celowymi błędami ortograficznymi i nieoczywistymi podmianami znaków jest znacznie trudniejsze do złamania niż wyraz słownikowy z doklejoną cyfrą – bo nie pasuje do żadnego gotowego wzorca.
Czego absolutnie unikać przy tworzeniu dostępu?
Hasło nie jest biografią. W erze social mediów imię psa, data ślubu czy marka samochodu to dane, które publikujesz na swój temat sam – atakujący tylko po nie sięga. Nie zapraszaj go na kawę.
Poza danymi osobistymi istnieje cmentarzysko najgorszych pomysłów, które programy łamiące sprawdzają w pierwszej kolejności:
- ciągi kolejnych cyfr i liter – 123456, abcdef, qwerty,
- sekwencje klawiszowe – 1q2w3e4r, zaq12wsx,
- pojedyncze wyrazy słownikowe pisane normalnie lub wspak,
- doklejanie cyfry lub wykrzyknika na końcu słowa „haslo2026”,
- używanie nazwy użytkownika lub jej fragmentu w samym haśle.
W bazach upublicznionych wycieków hasło „password” powtarza się niezliczoną liczbę razy – jego złamanie to kwestia ułamka sekundy. Eksperymentuj z językiem. Wmieszaj słowo z angielskiego, dorzuć polski rzeczownik z błędem ortograficznym. Im bardziej wewnętrznie sprzeczna konstrukcja, tym lepiej.
Jak przechowywać to, czego nie da się spamiętać?
Menedżer haseł to program, który działa jak zaszyfrowany sejf. Generuje dla ciebie losowe, długie ciągi, zapamiętuje je i automatycznie wkleja na stronach logowania. Ty pamiętasz tylko jedno hasło główne – i to ono musi być naprawdę solidne.
Zapisywanie kodów na kartce przyklejonej do monitora to najgorsza możliwa opcja. Znacznie lepsza jest wbudowana pamięć przeglądarki, o ile dysk komputera jest szyfrowany. Wygodę i synchronizację między urządzeniami daje menedżer działający w chmurze – przy architekturze zero-knowledge baza pozostaje zaszyfrowana kluczem, którego nie zna nawet operator usługi.
Menedżer haseł a komfort pracy
Dobre narzędzie oszczędza czas. Funkcja autouzupełniania sprawia, że nie przepisujesz już nic ręcznie. Przy zakładaniu nowego konta menedżer od razu proponuje unikalny ciąg, a ty jedynie akceptujesz jego wybór. Cała filozofia sprowadza się do zasady: nie znasz swoich własnych haseł – i właśnie o to chodzi.
Dodatkowa tarcza – co poza hasłem?
Sam kod, nawet najdłuższy, nie wystarczy. Jeśli serwis oferuje uwierzytelnianie dwuskładnikowe (2FA), włącz je natychmiast. To ten moment, gdy po wpisaniu hasła musisz jeszcze potwierdzić swoją tożsamość – kodem z aplikacji, odciskiem palca czy fizycznym kluczem sprzętowym.
Kody SMS to wprawdzie najpopularniejsza, ale najsłabsza metoda – można je przechwycić przez atak typu SIM swap. Aplikacje autoryzujące, takie jak Google Authenticator czy Authy, generują jednorazowe tokeny bez udziału sieci komórkowej. Powiadomienia push na telefonie to kolejny, wygodny poziom ochrony. Najlepsze, co możesz zrobić dla najważniejszych kont, to klucz bezpieczeństwa U2F/FIDO2 – małe urządzenie na USB, które autoryzuje logowanie dopiero po fizycznym dotknięciu. Bez fizycznego dostępu do twojego sprzętu atakujący jest bezradny.
Passkeys – logowanie bez hasła
Kolejnym krokiem ewolucji są passkeys, czyli klucze dostępu oparte na tym samym standardzie co klucze sprzętowe. Wbudowujesz je bezpośrednio w telefon lub komputer. Logowanie potwierdzasz twarzą, odciskiem palca lub PIN-em urządzenia, a sam kryptograficzny klucz nigdy nie opuszcza twojego sprzętu. Passkey jest z natury odporny na phishing – nie da się go wpisać na fałszywej stronie banku, bo po prostu na niej nie zadziała.
Google, Apple i Microsoft wspierają już passkeys w swoich ekosystemach. Tam, gdzie serwis pozwala na rezygnację z hasła na rzecz passkeya, zrób to – stare, złożone hasło zachowaj jedynie jako metodę rezerwową.
Kiedy zmieniać kod dostępu?
Wbrew starym korporacyjnym regulaminom, cykliczna zmiana co 30 lub 90 dni nie ma dziś sensu. Wymuszona rotacja prowadzi do schematów – użytkownicy modyfikują swoje hasła w przewidywalny sposób („Firma1”, „Firma2”). Zmień kod natychmiast, gdy tylko któryś z serwisów ogłosi wyciek danych, zobaczysz w swojej skrzynce podejrzane próby logowania albo – przez chwilę nieuwagi – wpiszesz go na stronie budzącej wątpliwości. Tylko realne zagrożenie jest powodem do zmiany.
W raportach bezpieczeństwa przewija się stała prawidłowość: im częściej ludzie są zmuszani do zmiany hasła, tym słabszych i bardziej zbliżonych do siebie zabezpieczeń używają.
