Mocne hasło

Mocne hasło – hasło używane do potwierdzania tożsamości (uwierzytelniania), które cechuje się zmniejszonym prawdopodobieństwem „złamania” lub odgadnięcia, poprzez m.in. zwiększenie jego długości oraz złożoności i utrudnienie ataków słownikowych. W odniesieniu do mocnego hasła często używa się zamiennie określenia silne hasło. Jedną z metod mierzenia siły hasła jest badanie jego entropii, choć w praktyce wysoka entropia nie jest jednoznaczna z dobrym hasłem.

Zasady tworzenia dobrych haseł

Hasło to zazwyczaj kombinacja liter (małych i WIELKICH), cyfr i znaków specjalnych o odpowiedniej długości. Według norm NIST dostawcy uwierzytelniania powinni umożliwiać wpisanie przynajmniej 64 znaków i niemal dowolnych znaków, w tym znaków Unicode. Wbrew dawnym zaleceniom, dostawcy nie powinni wymagać znaków specjalnych i cyfr, chociaż powinna być możliwość ich wpisania. Im więcej różnych znaków w haśle tym większa jest entropia, ale siła hasła rośnie również wraz z jego długością, a przy tym hasło bez znaków specjalnych jest łatwiejsze do zapamiętania.

Entropia nie jest jednak jedynym problemem, hasło musi być trudne do odgadnięcia z innych, łatwiej dostępnych danych. Dobre hasło to takie hasło, którego nie da się łatwo ustalić na podstawie różnych innych, łatwo dostępnych danych, czyli w haśle nie powinno się używać loginu użytkownika, numeru PESEL, daty urodzenia, numer ubezpieczenia itp.

Do tworzenia mocnego hasła można użyć generatorów wbudowanych w menedżer haseł.

Mocne hasła i bezpieczeństwo

Jak wykazano na podstawie wycieków haseł, reguły złożoności haseł nie działają w praktyce, ponieważ ludzie w reakcji na takie reguły tworzą mechanizmy, które są przewidywalne i powtarzalne. W szczególności zamiast hasła „password” dana osoba może ustawić „Password1!”, co nie będzie w zasadniczy sposób bezpieczniejsze. Dodatkowo złożoność reguł może skłaniać ludzi do używania tego samego hasła w wielu serwisach, co z kolei oznacza, że wyciek haseł z jednego serwisu daje możliwość włamania do wielu innych miejsc.

Organizacje typu National Cyber Security Centre czy NIST zalecają by używać innych metod weryfikacji tożsamości niż statyczne hasła, w tym dodatkowych składników uwierzytelniania (2FA i MFA).