Jelszó generátor: erős, véletlenszerű jelszavak

A jelszó generátor olyan jelszót készít, amit ember nem találna ki. Ez a lényege. Amikor magunk találunk ki jelszót, szinte mindig mintákat követünk: neveket, évszámokat, kedvenc szavakat, a billentyűzeten egymás melletti betűket. A jelszófeltörő programok pontosan ezekkel a mintákkal kezdik a próbálkozást.

Egy véletlenszerűen generált jelszóban nincs minta. Ha elég hosszú, és sokféle karakterből áll, a kitalálása a lehetséges kombinációk óriási száma miatt gyakorlatilag reménytelen.

Angolul password generator vagy random password generator néven ismert. A cél mindenhol ugyanaz: erős jelszó, ami:

• elég hosszú,
• véletlenszerű, nincs benne szó, név vagy dátum,
• minden fiókhoz más,
• és nem kell fejben tartanod, mert jelszókezelőben tárolod.

A jelszót a böngésző beépített, kriptográfiai célra tervezett véletlenszám-generátora állítja elő, és csak a te képernyődön jelenik meg.

Egy jelszó erősségét azzal lehet mérni, hány lehetséges jelszó közül kellene kitalálni. Ezt bitekben, entrópiában szokás megadni:

entrópia (bit) = hossz × log₂(a karakterkészlet mérete)

Minden plusz bit megduplázza a lehetséges kombinációk számát. A karakterkészlet mérete attól függ, mit engedsz meg:

• csak kisbetű (angol ábécé): 26 jel,
• kis- és nagybetű: 52 jel,
• betű és szám: 62 jel,
• betű, szám és speciális jel (nyomtatható ASCII): 94 jel.

Hossz	Kisbetű (26)	Kis- és nagybetű (52)	Betű + szám (62)	Minden jel (94)
8	38 bit	46 bit	48 bit	52 bit
12	56 bit	68 bit	71 bit	79 bit
16	75 bit	91 bit	95 bit	105 bit
20	94 bit	114 bit	119 bit	131 bit

Kidolgozott példa: egy 16 karakteres jelszó mind a 94 jelből: 16 × log₂(94) ≈ 16 × 6,55 ≈ 105 bit. Ez nagyjából 3,7 × 10³¹ lehetséges jelszót jelent.

A táblázatból látszik a legfontosabb tanulság: a hossz többet számít, mint a karakterek fajtája. Egy 16 karakteres, csak betűkből és számokból álló jelszó erősebb, mint egy 12 karakteres, ami minden jelet használ. Ezek az értékek csak véletlenszerűen generált jelszóra igazak. Egy saját kitalálású jelszó a minták miatt sokkal gyengébb lehet, mint amit a hossza mutat.

A jó beállítás attól függ, hol használod a jelszót, és be kell-e gépelned valaha kézzel.

• Jelszókezelőben tárolt fiókjelszó: legyen hosszú, és használj minden karaktertípust. Úgysem kell begépelned, a jelszókezelő kitölti helyetted. Mi a legtöbb fiókhoz legalább 16 karaktert javaslunk.
• Kézzel begépelendő jelszó, például a wifihálózathoz vagy egy tévé alkalmazásához: inkább legyen hosszabb, de csak betűkből és számokból álljon. Így könnyebb begépelni, és a hossz pótolja a speciális jeleket.
• Ha egy oldal nem fogad el bizonyos jeleket: kapcsold ki a speciális jeleket, és növeld a hosszt.
• Ha egy oldal korlátozza a hosszt: használd a megengedett maximumot, minden karaktertípussal.

Ha kézzel kell beírnod a jelszót, zavaró lehet, ha hasonló kinézetű karakterek vannak benne, mint a nagy O és a nulla, vagy a kis l és az egyes. Ilyenkor érdemes betűkre és számokra korlátozni a jelszót, és figyelmesen begépelni.

A legerősebb jelszó is keveset ér, ha rosszul bánsz vele. A Nemzeti Kibervédelmi Intézet által közzétett biztonságtudatossági anyag is ezeket a szokásokat javasolja:

1. Minden fiókhoz más jelszó. Ha egy oldalról kiszivárog a jelszavad, és máshol is ugyanazt használod, az összes fiókod veszélybe kerül.
2. Használj jelszókezelőt. A jelszókezelő biztonságosan tárolja az összes jelszavadat, így csak egyet kell megjegyezned: a jelszókezelőét.
3. Kapcsold be a kétlépcsős azonosítást. Így a jelszó mellett egy második lépés, például a telefonodra érkező kód is kell a belépéshez.

Néhány további jó szokás:

• Ne küldd el a jelszót e-mailben vagy üzenetben.
• Ne tárold egyszerű szöveges fájlban vagy cetlin a monitoron.
• Ha egy szolgáltatásnál adatszivárgásról értesülsz, azonnal változtasd meg ott a jelszavadat, és mindenhol, ahol ugyanazt használtad.
• A jelszókezelő mesterjelszava legyen különösen hosszú és egyedi.

A jelszókezelő mesterjelszavát viszont fejben kell tartanod. Erre a célra jól használható a jelmondat: több, egymáshoz nem kapcsolódó szóból álló, hosszú kifejezés, amit könnyebb megjegyezni, mint egy véletlen karaktersort. A biztonságtudatossági ajánlások is kiemelik, hogy minél hosszabb a jelmondat, annál erősebb. Ne használj benne ismert idézetet, dalszöveget vagy közmondást, mert ezeket a feltörő programok is ismerik.

Ezek a hibák teszik a legtöbb jelszót könnyen feltörhetővé:

Hiba	Miért gond	Mit tegyél helyette
Név, születési dátum, háziállat neve	Kideríthető a közösségi oldalakról	Véletlenszerű jelszó
Szótári szó számmal a végén	A feltörő programok ezzel kezdik	Generált karaktersor
Betűk helyett számok (a → 4, e → 3)	Jól ismert trükk, a programok is ismerik	Hosszabb, véletlen jelszó
Ugyanaz a jelszó több helyen	Egy szivárgás minden fiókot érint	Minden fiókhoz más
Rövid jelszó bonyolult jelekkel	A hossz többet számít	Legyen inkább hosszabb
Billentyűzetminta (qwertz, 123456)	Az elsők között próbálják	Generált karaktersor

Ha a generált jelszó nehezen megjegyezhető, az nem hiba, hanem a lényeg. A megjegyzést bízd a jelszókezelőre.