Silné heslo: čo naozaj funguje a čo sú len mýty

Väčšina rád o heslách, ktoré ľudia poznajú, pochádza spred dvadsiatich rokov: aspoň jedno veľké písmeno, číslo, špeciálny znak a každé tri mesiace zmeniť. Výsledkom sú heslá ako Leto2026!, ktoré spĺňajú všetky pravidlá a útočník ich uhádne medzi prvými. Pozrime sa, ako sa heslá naozaj prelamujú a čo z toho vyplýva.

Ako sa heslá prelamujú

Skúšanie uniknutých hesiel. Najčastejší spôsob vôbec. Keď unikne databáza nejakej služby, útočníci zoberú dvojice e-mail a heslo a automaticky ich skúšajú na e-mailoch, e-shopoch či v bankách. Ak máte rovnaké heslo na viacerých miestach, stačí jeden únik kdekoľvek.

Slovníkový útok. Útočník neskúša náhodné kombinácie, ale milióny hesiel, ktoré ľudia naozaj používajú, a ich bežné úpravy: veľké písmeno na začiatku, rok a výkričník na konci, a nahradené @, o nulou. Preto P@ssw0rd! padne skoro okamžite – všetky tieto „triky" sú v slovníkoch dávno.

Hrubá sila. Ak útočník získa odtlačky hesiel z napadnutej databázy, môže ich skúšať u seba bez obmedzenia. Výkonný počítač s grafickými kartami zvládne pri rýchlych typoch odtlačkov miliardy pokusov za sekundu. Krátke heslo tu nemá šancu, nech je akokoľvek „zložité".

Mýty, ktoré neplatia

„Zložité heslo je silné heslo"

Silu hesla určuje, koľko možností musí útočník vyskúšať. Osemznakové heslo z veľkých, malých písmen, číslic a znakov má zhruba 6 biliárd možností – znie to veľa, no pri desiatich miliardách pokusov za sekundu je to otázka dní. Každý znak navyše znásobí počet možností zhruba sedemdesiatkrát. Preto dĺžka porazí zložitosť: šestnásť náhodných písmen a číslic je nepomerne silnejších než osem znakov plných symbolov.

„Heslo treba pravidelne meniť"

Americký štandardizačný úrad NIST už odporúča pravidelnú zmenu nevynucovať. Ľudia si pri nej heslo len mierne upravia (Leto2026! → Jesen2026!) a útočník to vie. Heslo zmeňte vtedy, keď máte dôvod: služba hlási únik, heslo ste niekomu povedali alebo ho používate aj inde.

„Moje heslo nikoho nezaujíma"

Útoky nie sú osobné, sú automatické. Robot neskúša heslá preto, že ste zaujímaví, ale preto, že skúša všetkých. Napadnutý e-mail je navyše kľúč k ostatným účtom – cez „zabudnuté heslo" sa útočník dostane všade, kam ten e-mail používate.

Čo naozaj funguje

1. Pre každý účet iné heslo. To je najdôležitejšie pravidlo zo všetkých. Únik jednej služby potom nepustí útočníka nikam inam.
2. Dĺžka. Náhodné heslo aspoň 16 znakov, alebo päť a viac náhodných slov.
3. Správca hesiel. Desiatky rôznych hesiel si nikto nezapamätá a ani nemusí. Bitwarden, 1Password alebo správca hesiel v prehliadači ich uloží a doplní za vás. Pamätať si stačí jedno silné heslo k samotnému správcovi.
4. Dvojité overenie. Kde sa dá, zapnite overenie cez aplikáciu v mobile. Ani uniknuté heslo potom útočníkovi nestačí.

Heslo zo slov: silné a zapamätateľné

Na heslá, ktoré musíte písať ručne – k správcovi hesiel, k počítaču, k Wi-Fi – sa hodí heslo z niekoľkých náhodných slov, napríklad sova-Kriváň-sklo-48-lampa. Ľahko sa pamätá aj píše na mobile. Jeho sila nie je v tom, aké sú slová, ale v tom, že ich vyberie náhoda z dlhého zoznamu. Pri zozname 1 300 slov znásobí každé ďalšie slovo počet možností 1 300-krát. Päť slov s veľkým písmenom a číslom vychádza zhruba na 63 bitov – pri desiatich miliardách pokusov za sekundu by útočník potreboval v priemere asi 15 rokov. Šieste slovo to predĺži na desaťtisíce rokov.

Dôležité: slová si nevyberajte sami. Ľudia volia predvídateľne – obľúbené zviera, mesto, meno dieťaťa – a presne také kombinácie útočníci skúšajú.

Bezplatný generátor hesiel

Pripravili sme generátor hesiel, ktorý vie oboje: náhodné heslo s voliteľnou dĺžkou a znakmi, aj zapamätateľné heslo zo slovenských slov (s diakritikou alebo bez nej). Ukáže silu hesla aj odhad času prelomenia. Heslo vzniká len vo vašom prehliadači – na server sa nič neposiela a stránka nenačítava žiadne cudzie skripty.

Súčasťou je aj kontrola, či heslo, ktoré používate, už neuniklo. Využíva databázu Have I Been Pwned spôsobom, pri ktorom heslo neopustí váš počítač: odošle sa len prvých päť znakov jeho odtlačku a porovnanie prebehne u vás.

Ak máte web

Pri WordPresse sa útoky na heslá dejú nepretržite – roboty skúšajú prihlásenie do administrácie stále dokola. Okrem silného a jedinečného hesla pomáha dvojité overenie pre správcov, obmedzenie počtu pokusov o prihlásenie a skrytie mien používateľov, ktoré WordPress predvolene prezrádza. Či ich váš web prezrádza, vám povie bezplatný test nobi. A ako na zálohy, keby sa niečo predsa len stalo, sme rozpísali v článku Prečo zálohy webu zlyhajú práve vtedy, keď ich potrebujete.