Topíme se v digitálních identitách. Většina z nás spravuje desítky a někdy i stovky online účtů. Obrovský objem dat způsobuje únavu. Proto děláme kompromisy. Vybíráme snadno uhodnutelná hesla, protože pohodlí vždy převáží nad bezpečností. Nebo, což je horší, používáme stejnou slabou kombinaci na více webech. To vytváří obrovskou zranitelnost. Pokud je jeden web hacknut, vše ostatní se zhroutí.
Abychom pochopili rozsah tohoto problému, musíme se podívat na data. Společnost NordPass zabývající se kybernetickou bezpečností tato selhání každoročně sleduje. Analyzují úniky dat ze 44 zemí. Jejich zpráva z roku 2024 zdůrazňuje nejběžnější hesla, která se stále používají. Seznam je předvídatelný. A nebezpečné.
25 nejslabších hesel
NordPass je seřadil podle frekvence používání. Některé z nich byly použity více než milionkrát při známých únikech dat. Zde je to, co se skutečně používá:
- 123456 – 1,2 milionu případů
- 123456789 – 693 000 případů
- 12345678 – 365 000 případů
- tajné – 339 000 případů
- heslo – 196 000 případů
- qwerty123 – 144 000 případů
- qwerty1 – 138 000 případů
- 111111 – 106 000 případů
- 123 123 – 102 000 případů
- 1234567890 – 93 000 případů
- qwerty – 92 000 případů
- 1234567 – 86 000 případů
- 11111111 – 80 000 případů
- abc123 – 58 000 případů
- iloveyou – 54 000 případů
- 123123123 – 51 000 případů
- 000 000 – 46 000 případů
- 00000000 – 45 000 případů
- a123456 – 42 000 případů
- heslo1 – 41 000 případů
- 654321 – 41 000 případů
- qwer4321 – 36 000 případů
- 1q2w3e4r5t – 35 000 případů
- 123456a – 35 000 případů
- q1w2e3r4t5y6 – 34 000 případů
Šablony klávesnice jsou nejlepším přítelem hackera
Podívejte se pozorně na první pozice v seznamu. Vzor je zřejmý. Uživatelé píší zleva doprava, shora dolů. Nebo jen počítají podle pořadí. Dominují varianty qwerty. 123456 kraluje.
To je lenost. A to je fatální.
Hackeři používají k provádění útoků hrubou silou automatizované skripty. Tyto skripty nejprve vyzkoušejí nejběžnější hesla. Nehádají Xy7!mP. Hádají „heslo1“. Tyto kombinace zkoušejí během několika sekund. Pokud používáte šablonu klávesnice, předáte své klíče skriptu. Hackování trvá milisekundy.
Osobní údaje a běžná podstatná jména
Seznam také ukazuje, co lidé považují za „jedinečné“. Jména jako ashley a michael jsou malá písmena. Zvířata jako „opice“, „drak“ a „jednorožec“ se stále používají. Sportovní výrazy jako „baseball“, „fotbal“ a „fotbal“ doplňují tuto slabou sadu.
Proč to lidé dělají? Myslíme si, že použití našeho data narození nebo rodného města zvyšuje bezpečnost. To je špatně. Podvodníci mohou tyto informace ukrást. Přátelé mohou hádat. Členové rodiny tyto detaily často znají. Používání osobních údajů z vás činí snadný cíl. Tím se vaše osobní historie změní na cheat pro hackery.
Jak přestat být statistikou
Poučení z dat z roku 2024 je jasné. Přestaňte používat po sobě jdoucí znaky. Přestaňte používat řádky klávesnice. Přestaňte používat běžná slova pouze malými písmeny.
Silná hesla nejsou o záludnosti. Jde o to být náhodný a dlouhý. Vyhněte se všem čarám, které se objevují ve vašem každodenním životě. Vyhněte se jakémukoli vzoru, který může stroj předvídat. Pokud se řetězec objeví v seznamu běžných hesel, nejedná se o heslo. To je přiznání viny.
Pokud je v top 25 seznamu, není to žádné tajemství. Toto je veřejný záznam.
Pohodlí 123456 vás stojí všechno. Úsilí vytvořit komplexní, jedinečný řetězec nestojí nic jiného než dvě sekundy. Volit moudře. Zbytek příběhu je o tom, jak vlastně vytvořit něco, co vydrží. Nejprve však musíte uznat, že „iloveyou“ není bezpečnostní strategie. Toto je volání o pomoc.
A upřímně? K ochraně svého života si zasloužíte víc než jen číselnou řadu.
Pravděpodobně už víte, že “Password123” je špatný nápad. Ale jednoduchá složitost už nestačí. Skutečným rozhodnutím je nehoda. Lidé jsou hrozní ve generování náhodných řetězců. Tíhneme ke vzorcům. Počítače nejsou.
Webové prohlížeče, jako je Chrome, za vás mohou vygenerovat tyto ošklivé, nezapamatovatelné řetězce. Jsou účinně imunní vůči hackování hrubou silou. Cenou této vymoženosti je paměť. Řetězec znaků o délce čtyřiceti znaků si nebudete moci zapamatovat. Takže to musíte někde uložit.
Potřeba dvoufaktorové autentizace
U všeho, co se týká peněz nebo citlivých osobních údajů, je dvoufaktorové ověření (2FA) nutností. Přidává vrstvu zabezpečení, kterou nelze obejít pouhým odcizeným heslem.
Druhý faktor obvykle přichází ve formě textové zprávy, e-mailu nebo prostřednictvím speciální aplikace. Hacker může mít vaše heslo. Potřebují ale také váš telefon nebo přístup k vaší poštovní schránce. Tím se dramaticky zmenší útočná plocha.
Ano, vstup trvá o tři sekundy déle. Je to malá cena za bezpečnost.
Hrozba nacpáním pověření
Používání jednoho hesla pro více účtů je ten nejhorší zvyk, který můžete mít. Pokud je jeden web hacknut, toto heslo skončí na temném webu. Útočníci se pak pomocí skriptů pokoušejí přihlásit se stejnou kombinací e-mailu a hesla na stovkách dalších webů. Tomu se říká credential stuffing.
To se může útočníkovi zdát zdlouhavé. Ale funguje to, protože lidé jsou líní. Pokud pro každý účet použijete jedinečné heslo, má tento konkrétní vektor útoku nulovou šanci na úspěch.
Správci hesel, kteří fungují pouze lokálně
Pokud potřebujete jedinečná a složitá hesla, potřebujete správce hesel. Většina prohlížečů má vestavěné správce. Jsou pohodlné. Automaticky vyplňují pole. Jsou synchronizovány mezi zařízeními.
Ale pohodlí má svou cenu. Pokud upřednostňujete maximální zabezpečení, vyhněte se správcům hesel, které se synchronizují s cloudem. Cílem je cloudové úložiště. Nejbezpečnějším přístupem je použití správce, který běží pouze lokálně. Ukládá data na váš pevný disk. Žádný server. Bez připojení k internetu.
Některá hardwarová zařízení fungují jako trezory velikosti kalkulačky. Ukládají vaše data offline.
Je zde jedno kritické riziko. Potřebujete jedno hlavní heslo. Pokud jej zapomenete, vaše data budou ztracena. Navždy.
Zvažte to napsat na papír. Ne na lepící papír na monitoru. Na papíře. Uložte jej na fyzicky bezpečné nebo zabezpečené místo. Pryč od počítače.
Starověké kořeny šifrování
To není nic nového. Lidé schovávali zprávy po tisíce let.
Nejstarší zdokumentovaný příklad pochází z doby kolem roku 300 před naším letopočtem. v Indii. Arthashastra, starověký hinduistický text, popisuje, jak vojáci a špióni používali šifrované zprávy. Cíl byl vždy stejný: vyhnout se odhalení. Udržujte informace v bezpečí před nepřáteli.
Pořád děláme to samé. Nástroje se zrychlily.
