Mýty o heslách a ochrane účtov

Mýty o heslách sa šíria desaťročia a mnohé z nich zastarali. Pravidlá typu povinný špeciálny znak či mesačná zmena hesla vznikli v inej dobe a dnes často ľuďom skôr škodia. Aktuálne odporúčania vychádzajú z toho, ako sa heslá skutočne kradnú a lámu. Nižšie rozoberáme najčastejšie mýty.

Mýtus: Heslo musí byť zložité a plné špeciálnych znakov

Útočníci hádajú heslá s ohľadom na ľudské zvyky: zámenu písmena „a“ za „@“ či pridanie čísla na koniec poznajú všetci. Takéto heslá sú ťažko zapamätateľné a pritom nie sú oveľa odolnejšie. Dôležitejšia je dĺžka a nepredvídateľnosť, preto je dobrá dlhá fráza z viacerých nesúvisiacich slov.

Najlepšie je, ak heslá generuje a ukladá správca hesiel. Dlhé náhodné heslo sa nemusí pamätať a pre každý účet je iné. Zapamätať si treba iba hlavnú frázu k správcovi.

Mýtus: Heslá treba pravidelne meniť

Nútené zmeny hesiel každých pár mesiacov vedú k predvídateľným úpravám, napríklad pridaniu čísla. Odporúčania, ako sú tie od NIST, v súčasnosti nabádajú nemeniť heslá bez dôvodu a zmeniť ich vtedy, keď existuje podozrenie na kompromitáciu alebo únik. Silné jedinečné heslo nie je potrebné obmieňať podľa kalendára.

Dôvodom na zmenu je napríklad oznámenie o úniku. Overiť si to môžete v službách, ktoré sledujú úniky dát. Po zmene hesla nezabudnite odhlásiť ostatné zariadenia.

Mýtus: Mňa sa útoky netýkajú, nemám nič cenné

Väčšina útokov na účty je automatizovaná a necielená. Útočníci skúšajú uniknuté kombinácie mena a hesla na tisíckach služieb a využívajú, čo sa podarí. Hodnotu pre nich má samotný účet: rozosielanie spamu, podvody voči vašim známym, prístup k e-mailu alebo k platobným údajom.

Preto sa ochrana vyplatí každému. Základ je jedinečné heslo na každom účte a viacstupňové overenie tam, kde je to možné. O typických trikoch útočníkov sa dočítate v kategórii podvody.

Mýtus: Viacstupňové overenie ma ochráni pred všetkým

Viacstupňové overenie výrazne zvyšuje bezpečnosť, no nie je neprekonateľné. Phishingové stránky môžu vylákať aj jednorazový kód a niektoré metódy, ako SMS, sú zraniteľné voči prevzatiu čísla. Najodolnejšie sú hardvérové kľúče a passkeys, o ktorých píšeme v kategórii bezpečnostné kľúče.

Ochrana teda nie je jedno opatrenie, ale súbor návykov: jedinečné heslá, druhý faktor, opatrnosť pri odkazoch, aktuálny softvér a zálohy. Podrobnosti o druhom faktore nájdete v článku o viacstupňovom overení.

Čo naozaj funguje

Spoľahlivý základ je jednoduchý: správca hesiel s dlhými jedinečnými heslami, viacstupňové overenie na dôležitých účtoch, zabezpečený hlavný e-mail, aktuálne obnovovacie údaje a pozornosť pri neočakávaných správach. Nie je to dokonalé, ale odstráni väčšinu bežných rizík.

Odborné pojmy z oblasti ochrany účtov nájdete v slovníku a spôsob overovania informácií popisuje metodika.

Mýtus: Prehliadač nie je vhodné miesto na ukladanie hesiel

Vstavané správcovia hesiel v prehliadačoch sú oproti opakovanému používaniu jedného hesla výrazným zlepšením. Ich bezpečnosť závisí od ochrany zariadenia a účtu, na ktorý sa synchronizujú, a od toho, či je ukladanie zašifrované. Pre pokročilejších používateľov sú výhodou samostatné správcovia s viacerými možnosťami.

Dôležité je, aby bol zámok zariadenia silný a účet chránený viacstupňovým overením. Rozhodnutie, ktorý nástroj použiť, závisí od vašich potrebných funkcií. Prehľad je v kategórii prehliadače a v časti o správcoch hesiel.