O čem to je
Máš desítky účtů: e-mail, školní systém, hry, sociální sítě. Pamatovat si pro každý jiné dlouhé heslo nejde. Ukážeme si, jak to správně řešit a jaké metody přihlášení jsou bezpečnější.
Nové pojmy
AutentizaceOvěření identity uživatele.Heslo, otisk prstu, kód z aplikace.
Správce heselProgram, který vygeneruje a uloží silné jedinečné heslo pro každou službu. Ty si pamatuješ jen jedno silné hlavní heslo a správce chráníš i vícefaktorovým ověřením.Bitwarden, 1Password, KeePassXC nebo správce zabudovaný v prohlížeči či systému.
Vícefaktorové ověření (MFA)Přihlášení dvěma nebo více faktory různého druhu: znalost (heslo), vlastnictví (telefon, klíč), biometrie (otisk).Heslo + kód z aplikace.
TOTPTime-based One-Time Password. Aplikace v mobilu (autentizátor) z tajného klíče a aktuálního času vypočítá krátký kód, typicky 6 číslic, platný asi 30 sekund.Microsoft Authenticator, Google Authenticator, Aegis.
Credential stuffingÚtok, kdy útočník vezme jména a hesla uniklá z jedné služby a automaticky je zkouší na jiných službách.Heslo uniklé z herního fóra zkusí na tvůj e-mail.
PhishingPodvodná zpráva nebo stránka, která se vydává za někoho důvěryhodného (banku, školu) a snaží se z tebe vylákat heslo nebo kód.E-mail „Váš účet bude zablokován, přihlaste se zde“ s odkazem na falešnou kopii přihlašovací stránky.
Pravidla pro hesla
- Délka je nejdůležitější. Raději dlouhá fráze z několika náhodných slov než krátké heslo se znaky.
- Jedinečnost: každá služba jiné heslo. Pak únik z jedné služby neotevře ostatní.
- Žádné osobní údaje (jména, data narození, název školy).
- Heslo neměň zbytečně každý měsíc, ale hned, když mohlo uniknout.
- Hesla si nezapisuj na papírek k monitoru; používej správce hesel.
- Kde to jde, zapni vícefaktorové ověření.
Metody druhého faktoru od slabší po silnější
| Metoda | Výhoda | Slabina |
|---|
| kód v SMS | jednoduchá, umí ji každý telefon | útočník může převést číslo na svou SIM (SIM swap) nebo kód vylákat |
| kód TOTP z aplikace | nepotřebuje síť, nejde přesměrovat jako SMS | podvodná stránka může kód vylákat a hned použít |
| potvrzení v aplikaci (push) | pohodlné | únava z žádostí: uživatel omylem potvrdí cizí přihlášení |
| bezpečnostní klíč, passkey (FIDO2) | odolné proti phishingu: klíč se přihlásí jen na pravou doménu | nutné nastavit, klíč se dá ztratit (potřebuješ záložní) |
Passkey (přístupový klíč)Přihlášení bez hesla podle standardu FIDO2. Zařízení si pro každou službu vytvoří dvojici klíčů; tajná část nikdy neopustí zařízení a odemyká se otiskem, obličejem nebo PINem zařízení.Přihlášení do účtu Google nebo Microsoft otiskem prstu v telefonu.
Nainstaluj správce hesel a zvol silné hlavní heslo (dlouhá fráze).
Zapni vícefaktorové ověření nejdřív u e-mailu – přes něj jde obnovit všechno ostatní.
Postupně měň hesla ve službách na vygenerovaná jedinečná.
Ulož si záložní kódy pro obnovu na bezpečné místo.
Kde to služba umí, přidej passkey nebo bezpečnostní klíč.
Eva má všude heslo „Eva2007!“. Jedno fórum, kde měla účet, uniklo. Co hrozí a co má udělat?
Hrozí credential stuffing: útočníci zkusí její e-mail a heslo na dalších službách. Má hned změnit heslo všude, kde ho použila, začít e-mailem, zapnout vícefaktorové ověření a dál používat jedinečná hesla ze správce hesel.
Proč je e-mailový účet nejdůležitější účet k ochraně?
Přes e-mail se obnovují hesla k ostatním službám. Kdo ovládne e-mail, nechá si poslat odkaz „zapomenuté heslo“ a postupně převezme další účty. Proto má mít e-mail nejsilnější heslo a vícefaktorové ověření.
- Je dobré mít jedno silné heslo všude? – Ne. Únik z jedné služby by otevřel všechny.
- Proč je SMS slabší druhý faktor? – Číslo jde převést na cizí SIM a kód jde vylákat.
- Proč passkey odolá phishingu? – Přihlásí se jen na doménu, pro kterou vznikl; podvodná stránka nic nedostane.
- Co si pamatuješ u správce hesel? – Jen jedno silné hlavní heslo.
Odpověz nahlas a teprve pak otoč.
✗Moje heslo má velké písmeno, číslo i vykřičník („Heslo1!“), takže je silné.
✓Je krátké a předvídatelné. Silné je hlavně dlouhé a náhodné heslo, např. vygenerované správcem hesel nebo fráze z několika náhodných slov.
Útočníci znají vzorce „slovo + číslo + vykřičník“ a zkoušejí je jako první. Délka zvyšuje počet kombinací mnohem víc než jeden znak navíc.
Dlouhá a jedinečná hesla ze správce hesel, vícefaktorové ověření začínaje e-mailem a záložní kódy. Druhé faktory se liší silou: SMS < TOTP < passkey a bezpečnostní klíč, které odolávají phishingu.