Erős jelszó: a mai ajánlások szerint így néz ki

A régi szabály – „legalább 8 karakter, kis- és nagybetű, szám, speciális karakter, és 90 naponta cseréld” – ma már nem számít jó gyakorlatnak. Az amerikai szabványügyi intézet (NIST) és a brit Nemzeti Kiberbiztonsági Központ (NCSC) ajánlásai egy irányba mutatnak: a hosszúság fontosabb a bonyolultságnál, a kötelező időszakos csere többet árt, mint használ, és a legfontosabb, hogy egy jelszó ne szerepeljen a kiszivárgott jelszavak listáin. Ebben az útmutatóban közérthetően összefoglaljuk, mit jelent ez a gyakorlatban.

Mit mond a NIST?

A NIST SP 800-63B digitális azonosítási irányelve szolgáltatóknak és rendszerüzemeltetőknek szól, de jól mutatja, mi az erős jelszó. A 2025 augusztusában véglegesített 4. változat (SP 800-63B-4) jelszavakra vonatkozó főbb pontjai a szakmai összefoglalók szerint:

• Minimális hossz: ha a jelszó az egyetlen azonosítási tényező, legalább 15 karakter. Többfaktoros azonosítás részeként alacsonyabb minimum is elfogadható.
• Maximális hossz: a rendszereknek legalább 64 karakteres jelszót el kell fogadniuk.
• Karakterek: minden nyomtatható ASCII-karakter, a szóköz és a Unicode-karakterek is megengedettek.
• Nincs összetételi szabály: a rendszer nem írhatja elő, hogy kötelezően legyen benne nagybetű, szám vagy speciális karakter.
• Nincs időszakos csere: jelszócserét csak akkor kell kérni, ha jel utal arra, hogy a jelszó kompromittálódott.
• Tiltólistás ellenőrzés: az új jelszót össze kell vetni a gyakori, kitalálható és kiszivárgott jelszavak listájával, és ha rajta van, el kell utasítani.

A NIST eredeti dokumentumát (pages.nist.gov) e cikk írásakor nem tudtuk közvetlenül megnyitni, ezért a fenti pontokat másodlagos szakmai összefoglalók alapján írtuk le. A pontos megfogalmazásért nézd meg a lenti forrásban hivatkozott eredetit.

Mit mond az NCSC?

A brit NCSC magánszemélyeknek egy egyszerű módszert ajánl: három véletlenszerű szó egymás után (például ablakmogyoróvillamos jellegű összetétel). Az indoklás szerint így olyan jelszót kapsz, amely elég hosszú ahhoz, hogy nehéz legyen feltörni, de könnyű megjegyezni. A kulcs a véletlenszerűség: ne egy ismert idézet, dalszöveg vagy a saját életedhez kötődő szavak legyenek.

Miért a hossz számít?

A jelszó erősségét az entrópiával mérjük: hány bitnyi véletlenszerűséget tartalmaz. Ha a jelszó véletlenszerűen készül, az entrópia = hossz × log₂(a választható karakterek száma). Minden plusz bit megduplázza a próbálgatások számát.

Látszik, hogy egy 16 karakteres, csak betűket és számokat tartalmazó jelszó jóval erősebb, mint egy 8 karakteres, minden speciális jelet tartalmazó. Fontos: ez a számítás csak véletlenszerűen generált jelszóra igaz. Az ember által kitalált „Nyar2026!” típusú jelszavak a valóságban sokkal gyengébbek, mert a támadók szótárakkal és mintákkal próbálkoznak.

Hogyan készíts erős jelszót? Lépésről lépésre

1. Használj jelszókezelőt. Ez a legfontosabb lépés: így minden fiókhoz más, hosszú, véletlen jelszót használhatsz, és csak egyet kell megjegyezned. A legtöbb böngésző és operációs rendszer beépített jelszókezelőt is kínál.
2. Generálj véletlen jelszót azokhoz a fiókokhoz, amelyeket a jelszókezelő tárol. A jelszógenerátor a böngésződben, a crypto.getRandomValues véletlenszám-forrással készít jelszót, és kiírja a becsült entrópiát. 16–20 karakter a legtöbb célra bőven elég.
3. A mesterjelszó legyen hosszú és megjegyezhető: például négy-öt véletlenszerű szó, amelyeket nem te választasz „szépen”, hanem véletlenszerűen (kockadobással vagy generátorral).
4. Soha ne használd ugyanazt a jelszót két helyen. Ha egy szolgáltatásból kiszivárog, a támadók automatikusan kipróbálják máshol is („credential stuffing”).
5. Kapcsold be a kétlépcsős azonosítást (hitelesítő alkalmazás, biztonsági kulcs vagy passkey) a fontos fiókoknál: e-mail, banki, közösségi média, felhőtárhely.
6. Csak akkor cserélj jelszót, ha okod van rá: kiszivárgott, gyanús bejelentkezést látsz, vagy megosztottad valakivel.

Mit ne csinálj?

• Ne használd a neved, születési dátumod, kisállatod nevét, telefonszámodat.
• Ne építs mintát egy szóból („Jelszo1!”, „Jelszo2!”).
• Ne küldd el a jelszót e-mailben vagy üzenetben. Ha muszáj megosztani, használj jelszókezelős megosztást.
• Ne írd be a jelszavadat ismeretlen „erősségmérő” oldalakra. A böngészőben futó, semmit el nem küldő eszközök ebből a szempontból biztonságosabbak, de a valódi jelszavadat általában semmilyen oldalra nem kell begépelned.

Passkey: a jelszó utódja

Egyre több szolgáltatás kínál passkey (hozzáférési kulcs) alapú bejelentkezést. Ilyenkor nincs jelszó: az eszközöd (telefon, számítógép) egy kriptográfiai kulccsal igazol, amit ujjlenyomattal, arcfelismeréssel vagy PIN-kóddal oldasz fel. A passkey nem szivárogtatható ki adathalász oldalon, mert csak a valódi weboldallal működik. Ahol elérhető, érdemes bekapcsolni.

Fájlok jelszóval

Dokumentumok védelmére (például bérpapír, szerződés küldése) a PDF jelszóvédelem eszközzel tehetsz jelszót a PDF-re. A jelszót más csatornán add meg a címzettnek (például SMS-ben, ha a fájlt e-mailben küldted), különben a védelem értelmét veszti.

Hogyan válassz jelszókezelőt?

Szempontok, amelyek egy jelszókezelőnél számítanak:

• Titkosítás a te eszközödön: a jó jelszókezelő a mesterjelszóból származtatott kulccsal titkosít, és a szolgáltató sem látja a jelszavaidat.
• Kétlépcsős védelem a jelszókezelő fiókján.
• Szinkronizálás azokon az eszközökön, amelyeket használsz (telefon, laptop, böngésző).
• Kiszivárgás-figyelés: jelzi, ha egy mentett jelszavad ismert adatszivárgásban szerepel, vagy több helyen ugyanazt használod.
• Passkey-támogatás és biztonságos megosztás családtagokkal.
• Független biztonsági audit és átlátható működés.

A böngészők és operációs rendszerek beépített jelszókezelői sok embernek elegendők; külön alkalmazás akkor éri meg, ha több platformot (például Windows és iPhone) vegyesen használsz.

Kiszivárgott a jelszavad? Teendők

1. Változtasd meg azonnal az érintett fiók jelszavát egy új, véletlen jelszóra.
2. Változtasd meg mindenhol, ahol ugyanazt vagy hasonló jelszót használtál.
3. Kapcsold be a kétlépcsős azonosítást, ha még nem volt.
4. Jelentkeztesd ki az összes eszközt a fiók biztonsági beállításaiban, és nézd át a legutóbbi bejelentkezéseket.
5. Ellenőrizd a helyreállítási adatokat (telefonszám, másodlagos e-mail): a támadók gyakran ezeket írják át.
6. Figyelj az adathalászatra: egy szivárgás után gyakoriak a hitelesnek látszó „biztonsági” e-mailek. Linkre kattintás helyett közvetlenül lépj be a szolgáltató oldalára.

Hogy egy e-mail-címed érintett-e ismert adatszivárgásban, azt például a Have I Been Pwned szolgáltatással ellenőrizheted. Jelszót ilyen oldalra csak akkor írj be, ha pontosan érted, hogyan ellenőrzi (a jelszó teljes elküldése nélkül).

Gyakori kérdések

Milyen hosszú legyen egy erős jelszó?

Véletlenszerűen generált jelszónál 16 karakter vagy több. A NIST szakmai összefoglalók szerint az egyetlen tényezőként használt jelszavaknál legalább 15 karaktert ír elő.

Kell időnként jelszót cserélni?

A NIST és az NCSC szerint rendszeres, kötelező csere nem szükséges. Akkor cserélj, ha a jelszó kiszivároghatott, vagy gyanús tevékenységet látsz.

Jobb a speciális karakter, mint a hosszabb jelszó?

Nem. Egy plusz karakter a hosszban általában többet ad, mint a speciális karakterek kötelezővé tétele. A legjobb a hosszú, véletlenszerű jelszó.

Biztonságos a három véletlen szó módszer?

Az NCSC magánszemélyeknek ajánlja, mert jó egyensúlyt ad a megjegyezhetőség és az erősség között. A szavak legyenek valóban véletlenszerűek, és ne alkossanak ismert kifejezést.

Biztonságos online jelszógenerátort használni?

Akkor, ha a jelszó a böngésződben készül, és nem kerül el egy szerverre. A Krux jelszógenerátora így működik, de a generált jelszót mentsd azonnal a jelszókezelődbe.