Kas iš tikrųjų yra stiprus slaptažodis

2 modulis: Slaptažodžiai ir prisijungimas · Skaitymo trukmė: 9 min.

Mokymosi tikslas: Baigę šią pamoką galėsite paaiškinti, kodėl ilgis ir unikalumas svarbesni už keistus simbolius, ir ką dabartinė NIST gairė sako apie slaptažodžius.

Pagrindinės sąvokos: ilgis, entropija, slaptažodžio frazė, žodyno ataka, brutalios jėgos ataka, pakartotinis naudojimas, privalomas keitimas

Kaip slaptažodis yra nulaužiamas

Kalbėdami apie „slaptažodžio nulaužimą“, daugelis įsivaizduoja žmogų, kuris spėlioja slaptažodį Jūsų prisijungimo puslapyje. Taip irgi nutinka, tačiau tai nėra didžiausia grėsmė. Gera prisijungimo sistema po tam tikro skaičiaus klaidingų bandymų sulėtina procesą arba laikinai blokuoja paskyrą. Spėlioti per pagrindinį įėjimą taigi yra lėta.

Pavojingesnis yra neprisijungus atliekamas (offline) laužimas. Svetainė Jūsų slaptažodžio (jei viskas padaryta tinkamai) pati nesaugo, o saugo maišos (hash) reikšmę: tai tarsi pirštų atspaudas, iš kurio slaptažodžio tiesiogiai atkurti negalima. Jei nutekina interneto parduotuvės duomenų bazė, užpuolikas gauna tuos pirštų atspaudus savo kompiuteriuose. Ten jokio stabdžio nėra. Jis bando tiek slaptažodžių, kiek leidžia jo įranga, ir kiekvieną rezultatą lygina su nutekintu pirštų atspaudu.

Tam jis naudoja du metodus:

• Žodyno ataka: pirmiausia tai, ką žmonės dažniausiai renkasi. Sąrašai su milijonais tikrų slaptažodžių iš ankstesnių nutekėjimų, žodžiai iš žodynų, vardai, vietovės, metai. Kartu su fiksuotomis taisyklėmis: didžioji raidė pradžioje, metai gale, šauktukas pabaigoje, a tampa @, o tampa 0.
• Brutalios jėgos ataka: po to visi galimi simbolių deriniai, nuo trumpiausių iki ilgiausių.

Slaptažodis, pavyzdžiui, Zomer2026!, atrodo stiprus: didžioji raidė, skaičiai, skyrybos ženklas, dešimt simbolių. Tačiau tai lygiai tas šablonas, kuris yra tose taisyklėse: žodis, metai, ženklas. Toks slaptažodis nulūžta jau pirmame etape, gerokai anksčiau, nei prasideda brutalios jėgos ataka.

Ilgis svarbiau už keistus simbolius

Kiek slaptažodis stiprus, priklauso nuo to, kiek variantų užpuolikas turi išbandyti. Šį skaičių apskaičiuojate taip: galimų simbolių skaičius pakeltas ilgio laipsniu.

Įprastoje klaviatūroje yra 95 simboliai, kuriuos galite įvesti (didžiosios ir mažosios raidės, skaičiai, skyrybos ženklai ir tarpas). Atsitiktinis 8 simbolių slaptažodis turi 95 pakeltą 8 laipsniu variantų: apytiksliai 6,63 × 10^15. Tai atrodo daug, tačiau su sparčia įranga ir silpnu saugojimo būdu tai peržvelgiama per kelias dienas.

Kiekvienas papildomas simbolis padaugina skaičių iš 95. Papildoma simbolių rūšis (pavyzdžiui, pridėjus skyrybos ženklus prie vien raidžių) padaugina pagrindą tik truputį. Todėl ilgis duoda daug daugiau naudos nei sudėtingumas.

Paskutinis stulpelis tai entropija: matas, parodantis, kiek kažkas yra nenuspėjama, išreikštas bitais. Paprastai tariant: kiekvienas papildomas bitas padvigubina užpuoliko darbą. Taigi 65 bitų slaptažodis kainuoja ne šiek tiek, o maždaug 4 000 kartų daugiau darbo nei 53 bitų slaptažodis.

Svarbu: šie skaičiai galioja tik tuo atveju, jei slaptažodis pasirinktas tikrai atsitiktinai. Slaptažodis, kurį sugalvojate patys, beveik niekada nėra atsitiktinis. Kepykla2026! turi trylika simbolių, tačiau pagal šabloną atsiduria kiekviename laužimo sąraše.

Slaptažodžio frazė

Slaptažodžio frazė yra slaptažodis, sudarytas iš kelių atskirų žodžių, pavyzdžiui, penkių ar šešių. Privalumas: ilgas, tačiau lengvai įsimenamas ir įvedamas. Nyderlandų NCSC rekomenduoja rinktis keturis šešis tarpusavyje nesusijusius žodžius ir teigia, kad ilga frazė iš vien mažųjų raidžių yra saugesnė nei trumpas slaptažodis su visų rūšių simboliais.

Slaptažodžio frazė yra stipri tik tuomet, jei žodžiai pasirinkti atsitiktinai:

• Gerai: generatorius (slaptažodžių tvarkyklėje) arba kauliukai su žodžių sąrašu. Žinomas metodas su penkiais kauliukais naudoja 7 776 žodžių sąrašą, nes 6 pakėlus 5 laipsniu gaunama lygiai 7 776. Tokio sąrašo kūrėjai daugeliui atvejų rekomenduoja šešis žodžius.
• Blogai: žinoma frazė, dainos žodžiai, patarlė ar kažkas apie save. asmylėjušuniekazysiuką yra ilgas, tačiau žodžiai tarpusavyje susiję ir yra nuspėjami tiems, kas Jus pažįsta arba skaito Jūsų socialinius tinklus.

Slaptažodžio frazė vis tiek yra slaptažodis. Naudokite ją vienoje vietoje ir niekam nesidalinkite.

Unikalumas svarbesnis už sudėtingumą

Stipriausias slaptažodis nepadės, jei jį naudosite dvidešimtyje vietų. 1.4 pamokoje matėte credential stuffing: nutekintas el. pašto adresas su slaptažodžiu automatiškai bandomas pašte, apskaitos sistemoje, interneto parduotuvėse ir socialiniuose tinkluose. Jei nutekina silpniausia iš tų dvidešimties paslaugų, visos dvidešimt tampa atviros.

Pakartotinis naudojimas todėl praktikoje yra didžiausia silpnoji vieta. Ir „nedideli variantai“ unikalumu nelaikomi. Example!Mail ir Example!Shop užpuolikui, turinčiam vieną nutekintą slaptažodį, per kelis bandymus yra nuspėjami.

Sprendimas yra ne įsiminti, o saugoti: slaptažodžių tvarkyklė kiekvienai paslaugai sukuria ilgą, atsitiktinį slaptažodį ir prisimena jį už Jus. Apie tai bus kalbama 2.2 pamokoje. Tuomet reikia įsiminti vos keletą dalykų: tvarkyklės pagrindinį slaptažodį ir, jei reikia, kompiuterio slaptažodį.

Ką sako NIST gairė

JAV institucija NIST (National Institute of Standards and Technology) skelbia žinomiausią prisijungimo gairę: SP 800-63B. Ketvirtoji versija galutinai patvirtinta 2025 m. liepos 31 d. Jos laikosi daug organizacijų visame pasaulyje. Svarbiausi punktai dėl slaptažodžių:

• Jei slaptažodis yra vienintelis prisijungimo būdas, tuomet reikia bent 15 simbolių. Jei jis yra dviejų veiksnių autentifikavimo dalis, pakanka bent 8.
• Paslauga privalo leisti slaptažodžius, kuriuos sudaro bent 64 simboliai.
• Jokių sudėties taisyklių: paslauga neturi reikalauti „bent vienos didžiosios raidės, vieno skaičiaus ir vieno skyrybos ženklo“.
• Nereikalauti periodiškai keisti. Keisti tik tuomet, jei yra požymių, kad slaptažodis nutekėjo.
• Tikrinti naujus slaptažodžius pagal dažnai naudojamų ir nutekintų slaptažodžių sąrašą.
• Leisti įklijuoti tekstą ir naudoti slaptažodžių tvarkykles.
• Jokių saugumo klausimų („pirmojo augintinio vardas“) ir jokių slaptažodžio užuominų.

Kodėl nebe rekomenduojamas privalomas keitimas

Ilgus metus darbe reikėdavo kas tris mėnesius sugalvoti naują slaptažodį. Idėja buvo tokia: pavogtas slaptažodis tuomet veiktų tik trumpai. Praktikoje žmonės daro taip: Zomer2026! tampa Herfst2026!, paskui Winter2026!. Užpuolikas, turėdamas seną slaptažodį, naująjį atspėja per kelis bandymus. O tas, kuriam nuolat reikia sugalvoti naują slaptažodį, renkasi trumpesnius ir užsirašo juos ant lapelio.

Privalomas keitimas taigi padaro slaptažodžius nuspėjamesnius. Tačiau keiskite iš karto, jei yra priežastis: pranešimas apie nutekėjimą, keistas prisijungimas, iš darbo išeinantis kolega, kuris žinojo slaptažodį, arba jei netyčia jį kur nors įvedėte.

Praktikoje: slaptažodžių politika viename A4 lape

Mažai įmonei, tokiai kaip Kepykla Example, pakanka trumpos politikos:

1. Kiekviena paskyra turi savo, asmeninį slaptažodį. Jokio bendro prisijungimo prie info@example.com, kurio slaptažodį žino penki žmonės.
2. Slaptažodžius sukuria slaptažodžių tvarkyklė: atsitiktinius, bent 15 simbolių, arba slaptažodžio frazę iš bent penkių atsitiktinių žodžių, kurią reikia įvesti.
3. Niekada tas pats slaptažodis dviejose vietose.
4. Dviejų veiksnių autentifikavimas įjungtas paštui, apskaitai, bankui, talpinimui ir domeno registracijai (2.3 pamoka).
5. Keisti tik esant priežasčiai, ir tuomet iš karto.
6. Slaptažodžiai niekada nesiunčiami paštu, pokalbiais ar neužrašomi ant lapelio prie ekrano.

Tos pačios taisyklės galioja ir Jūsų talpinimo valdymo skydelyje. „WebOké“ aplinkoje, pavyzdžiui, prie DA slaptažodžio ir prie pašto dėžučių galite leisti sukurti atsitiktinį slaptažodį; kituose valdymo skydeliuose tas mygtukas dažnai vadinasi „Genereer“ arba „Generate“. Leiskite tokiam generatoriui visada sukurti bent 15 simbolių; dažnai ilgį galite pasirinkti patys.

Santrauka

• Užpuolikai dažniausiai laužia neprisijungę, po nutekėjimo, naudodami sąrašus ir taisykles. Nuspėjami šablonai nulūžta iškart.
• Ilgis ir tikras atsitiktinumas duoda daug daugiau naudos nei keisti simboliai. Kiekvienas entropijos bitas padvigubina darbą.
• Slaptažodžio frazė iš atsitiktinai parinktų žodžių yra ilga, tačiau vis tiek įsimenama.
• Unikalumas svarbesnis už sudėtingumą: pakartotinis naudojimas vieną nutekėjimą paverčia dvidešimčia.
• NIST SP 800-63B-4: bent 15 simbolių, jei tai vienintelis veiksnys, jokių sudėties taisyklių, nereikia periodiškai keisti, tačiau reikia tikrinti pagal nutekintus slaptažodžius.

Testas (quiz)

Užduotis

Užduotis A2.1: Skaičiavimas ir vertinimas. Niekur neįvedate savo tikro slaptažodžio. 1 dalis: apskaičiuokite, kiek variantų turi slaptažodžio frazė ir atsitiktinis slaptažodis (gausite žodžių ir simbolių skaičių), kuris iš jų stipresnis ir kiek kartų. 2 dalis: įvertinkite šešis sugalvotus pavyzdinius slaptažodžius: nuspėjamas, per trumpas, pakartotinai naudojamas ar stiprus. Programa patikrina ir prie kiekvieno atsakymo pateikia paaiškinimą.

Skaitykite daugiau

Veiksmai, aprašyti „WebOké“ straipsniuose, galioja „WebOké“ aplinkai; kitų paslaugų teikėjų atveju tai veikia panašiai.

• DirectAdmin vadovas 3.7: Saugūs slaptažodžiai ir ką daryti, jei slaptažodis nutekėjo
• Kaip pakeisti el. pašto adreso slaptažodį arba limitus?
• Nyderlandų NCSC, patarimai, kaip sugalvoti stiprų slaptažodį (nyderlandų kalba): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nyderlandų NCSC, keturi žingsniai saugesniems slaptažodžiams sukurti (nyderlandų kalba): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (anglų kalba): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (anglų kalba, žodžių sąrašas su kauliukais): https://www.eff.org/dice