Co je skutečně silné heslo

Modul 2: Hesla a přihlašování · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete vysvětlit, proč jsou délka a jedinečnost hesla důležitější než neobvyklé znaky, a co říká aktuální směrnice NIST ohledně hesel.

Klíčové pojmy: délka, entropie, heslová fráze, slovníkový útok, hrubá síla, opakované použití, povinná změna

Jak se heslo láme

Při pojmu „prolomení hesla“ si mnoho lidí představí někoho, kdo zkouší hádat heslo na Vaší přihlašovací stránce. To se sice děje, ale není to největší hrozba. Dobrá přihlašovací stránka po několika neúspěšných pokusech zpomaluje nebo dočasně zablokuje přístup. Hádání „hlavním vchodem“ je tedy pomalé.

Nebezpečnější je offline lámání. Webová stránka Vaše heslo (pokud je vše v pořádku) neukládá přímo, ale pouze jeho hash: jakýsi otisk, ze kterého nelze heslo přímo zpětně vypočítat. Pokud unikne databáze internetového obchodu, získá útočník tyto otisky na své vlastní počítače. Tam už žádné brzdy nejsou. Vyzkouší tolik hesel, kolik jeho vybavení zvládne, a každý výsledek porovná s uniklým otiskem.

Přitom používá dvě metody:

• Slovníkový útok: nejprve vše, co lidé často volí. Seznamy s miliony skutečných hesel z dřívějších úniků, slova ze slovníků, jména, místa, letopočty. S pevnými pravidly navrch: velké písmeno na začátku, letopočet na konci, vykřičník na konci, a se stává @, o se stává 0.
• Hrubá síla: poté všechny možné kombinace znaků, od krátkých po dlouhé.

Heslo jako Zomer2026! vypadá silně: velké písmeno, číslice, interpunkční znaménko, deset znaků. Ale je to přesně ten vzor, který je obsažen v oněch pravidlech: slovo, letopočet, znak. Takové heslo padne v prvním kole, dlouho předtím, než začne hrubá síla.

Délka vítězí nad neobvyklými znaky

Síla hesla závisí na tom, kolik možností musí útočník vyzkoušet. Toto číslo se vypočítá takto: počet možných znaků na mocninu délky.

Na běžné klávesnici je 95 znaků, které lze napsat (velká a malá písmena, číslice, interpunkční znaménka a mezera). Náhodné heslo o 8 znacích má tedy 95 na osmou možností: přibližně 6,63 × 10^15. To se zdá hodně, ale s rychlým vybavením a slabým způsobem ukládání se to dá prohledat během dnů.

Každý další znak násobí počet možností 95. Další druh znaku (například přidání interpunkčních znamének jen k písmenům) násobí základ jen trochu. Proto délka přináší mnohem víc než složitost.

Poslední sloupec je entropie: míra toho, jak nepředvídatelné je něco, vyjádřená v bitech. Jednoduše řečeno: každý další bit zdvojnásobuje práci útočníka. Heslo o 65 bitech tedy vyžaduje nejen o trochu, ale zhruba 4 000krát více práce než heslo o 53 bitech.

Důležité: tato čísla platí jen tehdy, pokud je heslo zvoleno skutečně náhodně. Heslo, které si vymyslíte Vy sami, je téměř nikdy náhodné. Bakkerij2026! má třináct znaků, ale co se vzoru týče, je v každém seznamu pro lámání hesel.

Heslová fráze

Takzvaná heslová fráze je heslo složené z několika samostatných slov, například pěti nebo šesti. Výhoda: je dlouhé, a přesto zapamatovatelné a snadno se píše. Nizozemské NCSC doporučuje zvolit čtyři až šest slov, která spolu nijak nesouvisejí, a uvádí, že dlouhá fráze složená jen z malých písmen je bezpečnější než krátké heslo se všemi druhy znaků.

Heslová fráze je silná jen tehdy, pokud jsou slova zvolena náhodně:

• Správně: generátor (ve Vašem správci hesel) nebo kostky se seznamem slov. Známá metoda s pěti kostkami používá seznam 7 776 slov, protože 6 na pátou je přesně 7 776. Tvůrci takového seznamu pro většinu použití doporučují šest slov.
• Špatně: známá věta, text písně, přísloví nebo něco o Vás samotných. ikhouvanmijnhondbobby je dlouhé, ale slova spolu souvisejí a lze je uhodnout, pokud Vás někdo zná nebo čte Vaše sociální sítě.

Heslová fráze je stále heslo. Používáte ho na jednom místě a nikomu ho nesdělujete.

Jedinečnost je důležitější než složitost

Nejsilnější heslo nepomůže, pokud ho používáte na dvaceti místech. V lekci 1.4 jste viděli credential stuffing: uniklý e-mail s heslem se automaticky zkouší u e-mailu, účetnictví, internetových obchodů a sociálních sítí. Pokud unikne u nejslabší z těch dvaceti služeb, jsou otevřené všechny.

Opakované použití je proto v praxi největší slabinou. A „pár obměn“ se jako jedinečnost nepočítá. Example!Mail a Example!Shop dokáže útočník s jedním uniklým heslem uhodnout během pár pokusů.

Řešením není pamatovat si hesla, ale ukládat je: správce hesel vytvoří pro každou službu dlouhé, náhodné heslo a zapamatuje si ho za Vás. Tomu se věnuje lekce 2.2. Pak si musíte zapamatovat jen pár věcí: hlavní heslo správce hesel a případně heslo k Vašemu počítači.

Co říká směrnice NIST

Americký NIST (National Institute of Standards and Technology) vydává nejznámější směrnici pro přihlašování: SP 800-63B. Čtvrtá verze byla definitivně schválena 31. července 2025. Řídí se podle ní mnoho organizací po celém světě. Nejdůležitější body týkající se hesel:

• Pokud je heslo jediným způsobem přihlášení, musí mít alespoň 15 znaků. Pokud je součástí dvoufázového ověření, stačí alespoň 8.
• Služba musí umožnit hesla o délce alespoň 64 znaků.
• Žádná pravidla pro skladbu hesla: služba nesmí vyžadovat „alespoň jedno velké písmeno, jednu číslici a jedno interpunkční znaménko“.
• Nevyžadovat pravidelnou změnu. Měnit heslo jen tehdy, existuje-li náznak, že uniklo.
• Nová hesla ověřovat proti seznamu často používaných a uniklých hesel.
• Umožnit vkládání (paste) a používání správců hesel.
• Žádné bezpečnostní otázky („jméno Vašeho prvního domácího mazlíčka“) a žádné nápovědy k heslu.

Proč se povinná změna hesla již nedoporučuje

Dlouhá léta jste v práci museli každé tři měsíce zvolit nové heslo. Myšlenka byla taková, že ukradené heslo pak funguje jen krátkou dobu. V praxi lidé dělají toto: Zomer2026! se změní na Herfst2026!, poté na Winter2026!. Útočník se starým heslem uhodne nové během pár pokusů. A kdo musí stále vymýšlet nové heslo, volí kratší hesla a zapisuje si je na papírek.

Povinná změna tedy dělá hesla předvídatelnějšími. Heslo přesto měňte ihned, jakmile k tomu existuje důvod: oznámení o úniku, podezřelé přihlášení, kolega, který odchází a heslo znal, nebo pokud jste ho omylem zadali někde jinde.

V praxi: heslová politika na jednu stránku

Pro malou firmu, jako je Pekárna Example, postačí stručná politika:

1. Každý účet má vlastní, osobní heslo. Žádné sdílené přihlašovací údaje pro info@example.com, jejichž heslo zná pět lidí.
2. Hesla vytváří správce hesel: náhodná, alespoň 15 znaků, nebo heslová fráze z alespoň pěti náhodných slov, kterou musíte napsat.
3. Nikdy stejné heslo na dvou místech.
4. Dvoufázové ověření zapnuté na e-mailu, účetnictví, bance, hostingu a registraci domény (lekce 2.3).
5. Změna hesla jen z konkrétního důvodu, a to ihned.
6. Hesla nikdy přes e-mail, chat nebo na papírku na obrazovce.

Tímto principem se řídí i Váš hostingový panel. V prostředí WebOké si můžete nechat vygenerovat náhodné heslo například u hesla DirectAdmin a u e-mailových schránek; v jiných panelech se toto tlačítko často jmenuje „Generovat“ nebo „Generate“. Takový generátor nechte vždy vytvořit heslo o délce alespoň 15 znaků; délku si často můžete zvolit sami.

Shrnutí

• Útočníci lámou hesla především offline, po úniku dat, pomocí seznamů a pravidel. Předvídatelné vzory padají okamžitě.
• Délka a skutečná náhodnost přinášejí mnohem víc než neobvyklé znaky. Každý bit entropie zdvojnásobuje práci útočníka.
• Heslová fráze z náhodně zvolených slov je dlouhá, a přesto zapamatovatelná.
• Jedinečnost je důležitější než složitost: opakované použití mění jeden únik ve dvacet úniků.
• NIST SP 800-63B-4: alespoň 15 znaků jako jediný faktor, žádná pravidla pro skladbu hesla, žádná pravidelná změna, ale ověřování proti uniklým heslům.

Kvíz

Úkol

Úkol A2.1: Počítání a posuzování. Nikde nezadáváte vlastní heslo. Část 1: spočítejte, kolik možností má heslová fráze a náhodné heslo (dostanete počty slov a znaků), které z obou je silnější a kolikrát. Část 2: posuďte šest vymyšlených ukázkových hesel: předvídatelné, příliš krátké, opakovaně použité nebo silné. Program výsledky vyhodnotí a u každé odpovědi uvede vysvětlení.

Doporučujeme k přečtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• Jak změním heslo nebo limity své e-mailové adresy?
• Nizozemské NCSC, Tipy pro vymýšlení silného hesla (v nizozemštině): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nizozemské NCSC, Čtyři kroky k bezpečnějším heslům (v nizozemštině): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (anglicky): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (anglicky, seznam slov pro kostky): https://www.eff.org/dice