Chráňte svoje online účty: jednoduché kroky k digitálnej bezpečnosti

Útočníci heslá väčšinou zložito nelúštia. Skúšajú tie, ktoré už unikli z iných webov, a tie, ktoré ľudia používajú najčastejšie. Proti tomu stačí niekoľko krokov: dlhé heslo, iné pre každý účet, správca hesiel a dvojfaktorové overenie. V článku nájdete, ako na každý z nich a kedy heslo naozaj treba zmeniť.

Čo je silné heslo?

O sile hesla rozhoduje hlavne dĺžka. Každý znak navyše znásobí počet kombinácií, ktoré musí útočník vyskúšať pri útoku hrubou silou (brute force), teda pri skúšaní všetkých možností za sebou. Americký Národný inštitút pre štandardy a technológie (NIST) v aktuálnych pravidlách pre heslá z roku 2025 požaduje aspoň 15 znakov, ak je heslo jediným overením účtu.

Silné heslo:

• má aspoň 15 znakov, pri dôležitých účtoch pokojne viac,
• nie je bežné slovo, meno, dátum ani postupnosť ako "123456", "qwerty" alebo "heslo",
• nepoužívate ho nikde inde,
• nie je v zozname uniknutých hesiel (ako to overiť, nájdete nižšie).

Kombinácia veľkých a malých písmen, čísel a symbolov pomáha, ale menej, než sa zdá. Heslo "Leto2025!" má všetko z toho a útočník ho aj tak vyskúša medzi prvými, lebo presne takto si heslá vymýšľa veľa ľudí. Rovnaké pravidlá NIST preto službám zakazujú vyžadovať povinné kombinácie znakov a namiesto toho kladú dôraz na dĺžku.

Ak si heslo potrebujete pamätať, napríklad k počítaču alebo k správcovi hesiel, poslúži niekoľko náhodných slov za sebou, napríklad "kolobezka vankus lampa zemiak". Je dlhé, ľahko sa pamätá a nedá sa uhádnuť. Diakritiku radšej vynechajte, niektoré systémy s ňou majú problém.

Prečo nepoužívať rovnaké heslo na viacerých účtoch?

Weby a e-shopy občas uniknú aj s databázou používateľov. Útočníci potom uniknuté kombinácie e-mailu a hesla automaticky skúšajú na ďalších službách: v e-mailových schránkach, na sociálnych sieťach aj v e-shopoch s uloženou kartou. Tento útok sa volá credential stuffing (zneužitie uniknutých prihlasovacích údajov) a funguje len preto, že ľudia používajú rovnaké heslo viackrát.

Rovnaké heslo všade je ako jeden kľúč od bytu, auta aj kancelárie. Stačí ho raz stratiť a zlodej sa dostane všade. O tom, ako dobre sú chránené všetky vaše účty, potom rozhoduje ten najhoršie zabezpečený web, kde ste heslo kedy použili.

Ako zistiť, či vaše údaje unikli?

Najznámejšou bezplatnou službou je Have I Been Pwned. Zadáte e-mailovú adresu a zistíte, v ktorých známych únikoch sa objavila. Ak áno, zmeňte heslo na danej službe a všade, kde ste použili rovnaké.

Samotné heslo overíte v časti Pwned Passwords. Heslo sa pritom neodosiela celé. Prehliadač z neho vypočíta odtlačok (hash) a na server pošle len jeho prvých päť znakov, samotné porovnanie prebehne vo vašom počítači. Ak služba heslo nájde, už ho nikde nepoužívajte, útočníci ho majú v zoznamoch, ktoré skúšajú ako prvé.

Na uniknuté heslá vás upozorní aj správca hesiel v prehliadači Chrome a aplikácia Heslá na iPhone a Macu, ak v nich heslá máte uložené.

Správca hesiel: jedno heslo namiesto stoviek

Pätnásť znakov a pre každý účet iné heslo si pri desiatkach účtov nikto nezapamätá. Na to slúži správca hesiel (password manager), aplikácia, ktorá heslá uloží do zašifrovaného trezoru, sama ich vyplní a nové vygeneruje. Pamätáte si len jedno hlavné heslo k trezoru, a to musí byť naozaj silné.

• Bitwarden: otvorený zdrojový kód (ktokoľvek si môže overiť, ako funguje) a bezplatná verzia bez obmedzenia počtu hesiel aj zariadení,
• 1Password: platený, veľmi pohodlný, s rodinnými aj firemnými plánmi,
• KeePassXC: bezplatný, trezor je súbor vo vašom počítači, pre tých, ktorí nechcú mať heslá v cloude,
• správca hesiel v prehliadači alebo v telefóne od Googlu či Apple: lepší ako žiadny, ale viazaný na jedného výrobcu.

Dvojfaktorové overenie: druhý zámok na dverách

Dvojfaktorové overenie (2FA) pridá k heslu druhý krok. Po zadaní hesla ešte potvrdíte, že ste to naozaj vy, najčastejšie kódom z aplikácie v mobile. Aj keď útočník heslo získa, bez vášho telefónu sa neprihlási. Z celého článku je to najúčinnejšie opatrenie a zapnutie trvá pár minút.

Spôsoby overenia, od najbezpečnejšieho:

1. Prístupový kľúč (passkey) alebo bezpečnostný kľúč. Prihlásenie odtlačkom prsta, tvárou alebo fyzickým kľúčom, napríklad YubiKey. Nedá sa vylákať cez falošnú stránku, lebo funguje len na skutočnej adrese služby.
2. Overovacia aplikácia. Napríklad Google Authenticator alebo Microsoft Authenticator. Kód sa mení každých 30 sekúnd, takže ukradnutý kód útočníkovi o chvíľu nepomôže.
3. Kód v SMS. Oveľa lepší ako nič, ale najslabší. Útočník môže vaše číslo presmerovať na svoju SIM kartu (tzv. SIM swap) a kódy dostávať sám.

Zapnite ho prednostne na e-mailovej schránke. Cez e-mail sa dá obnoviť heslo takmer ku všetkému ostatnému, takže kto ovládne schránku, ovládne aj ostatné účty.

Kedy heslo meniť a s kým ho zdieľať?

Pravidelná zmena hesla každé tri mesiace sa už neodporúča. Pravidlá NIST službám výslovne zakazujú, aby ju vyžadovali, pretože vedie k heslám typu Heslo1, Heslo2, Heslo3. Heslo zmeňte vtedy, keď máte podozrenie, že uniklo: služba vás o úniku informovala, našli ste ho v Have I Been Pwned alebo ste sa prihlásili na cudzom počítači.

Heslo nikomu neposielajte e-mailom ani cez chat. Ak niekto potrebuje prístup, napríklad účtovník k fakturačnému systému alebo vývojár k webu, vytvorte mu vlastný účet s obmedzenými právami. Keď spolupráca skončí, jeho účet zrušíte a svoje heslo meniť nemusíte.

A čo heslá k webu?

Ak máte vlastný web alebo e-shop, patria medzi najdôležitejšie účty prístup do administrácie, k hostingu, k doméne a k e-mailu na doméne. Kto ich získa, môže web zmeniť, presmerovať doménu inam alebo z vašej adresy rozposielať podvodné e-maily.

Platí pre ne všetko vyššie: dlhé unikátne heslo, dvojfaktorové overenie všade, kde ho hosting a registrátor domény ponúkajú, a vlastný účet pre každého, kto na webe pracuje. Do administrácie WordPressu pridá dvojfaktorové overenie bezplatný doplnok Two Factor, ktorý vyvíjajú prispievatelia samotného WordPressu.

Zhrnutie

Najväčší rozdiel urobia tri kroky: pre každý účet iné dlhé heslo, správca hesiel, ktorý ich za vás uchová, a dvojfaktorové overenie aspoň na e-mailovej schránke. Meniť heslá bez dôvodu netreba, zmeňte ich, keď uniknú.

Nové heslo si môžete vytvoriť v mojom generátore bezpečných hesiel. Heslo vzniká priamo vo vašom prehliadači a nikam sa neodosiela. Ak chcete mať dobre zabezpečený aj svoj web, pozrite si správu web stránok, alebo mi rovno napíšte.