Čo je naozaj silné heslo

Modul 2: Heslá a prihlasovanie · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, prečo sú dĺžka a jedinečnosť hesla dôležitejšie než neobvyklé znaky, a čo o heslách hovorí aktuálna smernica NIST.

Kľúčové pojmy: dĺžka, entropia, heslová fráza, slovníkový útok, brute force, opakované používanie, povinná zmena

Ako sa heslo prelomí

Pri slovnom spojení "prelomiť heslo" si mnohí predstavia niekoho, kto skúša uhádnuť heslo priamo na vašej prihlasovacej stránke. To sa síce deje, ale nejde o najväčšiu hrozbu. Dobrá prihlasovacia stránka po niekoľkých nesprávnych pokusoch spomalí alebo dočasne zablokuje prístup. Hádanie cez "hlavný vchod" je teda pomalé.

Nebezpečnejšie je offline prelamovanie. Webová stránka vaše heslo (ak je to správne nastavené) neukladá priamo, ale v podobe hashu: akéhosi odtlačku prsta, z ktorého sa heslo nedá priamo spätne vypočítať. Ak unikne databáza internetového obchodu, útočník má tieto odtlačky k dispozícii na vlastných počítačoch. Tam už žiadne spomalenie neplatí. Vyskúša toľko hesiel, koľko jeho zariadenie zvládne, a každý výsledok porovná s uniknutým odtlačkom.

Pritom používa dve metódy:

• Slovníkový útok: najprv skúša všetko, čo si ľudia bežne volia. Zoznamy s miliónmi skutočných hesiel z predchádzajúcich únikov, slová zo slovníkov, mená, názvy miest, roky. K tomu pevné pravidlá: veľké písmeno na začiatku, rok na konci, výkričník úplne na konci, a sa mení na @, o na 0.
• Brute force: potom skúša všetky možné kombinácie znakov, od najkratších po najdlhšie.

Heslo ako Zomer2026! pôsobí silno: veľké písmeno, číslice, interpunkčné znamienko, desať znakov. Je to však presne ten vzor, ktorý je súčasťou spomínaných pravidiel: slovo, rok, znak. Takéto heslo padne už v prvom kole, dávno predtým, než sa začne brute force.

Dĺžka víťazí nad neobvyklými znakmi

Sila hesla závisí od toho, koľko možností musí útočník vyskúšať. Toto číslo vypočítate takto: počet možných znakov na mocninu dĺžky.

Na bežnej klávesnici je možné napísať 95 znakov (veľké aj malé písmená, číslice, interpunkčné znamienka a medzera). Náhodné heslo s 8 znakmi má teda 95 na ôsmu mocninu možností: približne 6,63 × 10^15. To sa zdá veľa, no pri rýchlom zariadení a slabom spôsobe uloženia hesiel sa dá prelomiť v priebehu dní.

Každý ďalší znak násobí počet možností číslom 95. Pridanie ďalšieho druhu znakov (napríklad interpunkčných znamienok k samotným písmenám) zväčší základ len mierne. Preto dĺžka prináša oveľa viac než zložitosť.

Posledný stĺpec predstavuje entropiu: mieru nepredvídateľnosti vyjadrenú v bitoch. Jednoducho povedané, každý ďalší bit zdvojnásobí množstvo práce pre útočníka. Heslo so 65 bitmi preto nestojí útočníka len o niečo viac práce, ale asi 4 000-krát viac než heslo s 53 bitmi.

Dôležité: tieto čísla platia len vtedy, ak je heslo zvolené skutočne náhodne. Heslo, ktoré si vymyslíte sami, takmer nikdy náhodné nie je. Bakkerij2026! má trinásť znakov, no svojím vzorom je v každom zozname na prelamovanie hesiel.

Heslová fráza

Takzvaná heslová fráza je heslo zložené z niekoľkých samostatných slov, napríklad piatich alebo šiestich. Výhoda: je dlhá, no napriek tomu ľahko zapamätateľná a napísateľná. Holandský NCSC odporúča zvoliť štyri až šesť slov, ktoré spolu vzájomne nijako nesúvisia, a uvádza, že dlhá fráza zložená len z malých písmen je bezpečnejšia než krátke heslo so všetkými druhmi znakov.

Heslová fráza je silná len vtedy, keď sú slová vybrané náhodne:

• Správne: generátor (napríklad vo vašom správcovi hesiel) alebo kocky v kombinácii so zoznamom slov. Známa metóda s piatimi kockami používa zoznam 7 776 slov, pretože 6 na piatu je presne 7 776. Tvorcovia takéhoto zoznamu odporúčajú pre väčšinu použití šesť slov.
• Nesprávne: známa veta, text piesne, príslovie alebo niečo o vás. ikhouvanmijnhondbobby je síce dlhé, ale slová spolu súvisia a dá sa uhádnuť, ak vás niekto pozná alebo sleduje vaše sociálne siete.

Heslová fráza je stále len heslo. Používate ho na jednom mieste a nikomu ho nezdieľate.

Jedinečnosť je dôležitejšia než zložitosť

Najsilnejšie heslo vám nepomôže, ak ho použijete na dvadsiatich miestach. V lekcii 1.4 ste videli credential stuffing: uniknutá e-mailová adresa s heslom sa automaticky skúša na pošte, v účtovníctve, v internetových obchodoch a na sociálnych sieťach. Ak unikne heslo pri najslabšej z týchto dvadsiatich služieb, otvorené sú zrazu všetky dvadsať.

Opakované používanie je preto v praxi najväčšou slabinou. A "trochu obmenené varianty" sa za jedinečné nepočítajú. Example!Mail a Example!Shop útočník s jedným uniknutým heslom uhádne na pár pokusov.

Riešením nie je pamätanie si, ale uchovávanie: správca hesiel vytvorí pre každú službu dlhé, náhodné heslo a zapamätá si ho za vás. O tom je lekcia 2.2. Vy si potom musíte pamätať len pár vecí: hlavné heslo správcu hesiel a prípadne heslo k počítaču.

Čo hovorí smernica NIST

Americký NIST (National Institute of Standards and Technology) vydáva najznámejšiu smernicu pre prihlasovanie: SP 800-63B. Štvrtá verzia sa stala definitívnou 31. júla 2025. Riadi sa ňou mnoho organizácií po celom svete. Najdôležitejšie body týkajúce sa hesiel:

• Ak je heslo jediným spôsobom prihlásenia, malo by mať aspoň 15 znakov. Ak je súčasťou dvojfaktorového overenia (2FA), postačuje aspoň 8.
• Služba musí umožniť heslá s dĺžkou aspoň 64 znakov.
• Žiadne pravidlá o skladbe znakov: služba nesmie vyžadovať "aspoň jedno veľké písmeno, jednu číslicu a jedno interpunkčné znamienko".
• Žiadna povinná pravidelná zmena. Zmena sa odporúča len vtedy, ak existuje náznak, že heslo uniklo.
• Nové heslá by sa mali porovnávať so zoznamom bežne používaných a uniknutých hesiel.
• Vkladanie (paste) a používanie správcov hesiel by malo byť povolené.
• Žiadne bezpečnostné otázky ("meno vášho prvého domáceho zvieraťa") a žiadne nápovedy k heslu.

Prečo sa povinná zmena hesla už neodporúča

Dlhé roky ste v práci museli každé tri mesiace zvoliť nové heslo. Myšlienka bola taká, že ukradnuté heslo bude funkčné len krátko. V praxi to vyzerá takto: Zomer2026! sa zmení na Herfst2026!, potom na Winter2026!. Útočník, ktorý pozná staré heslo, uhádne nové na pár pokusov. A kto si musí stále vymýšľať nové heslo, volí kratšie a zapisuje si ho na papierik.

Povinná zmena hesla teda robí heslá predvídateľnejšími. Heslo samozrejme zmeníte okamžite, ak na to existuje dôvod: oznámenie o úniku, podozrivé prihlásenie, kolega, ktorý odišiel a poznal heslo, alebo ak ste ho náhodou zadali na nesprávnom mieste.

V praxi: bezpečnostná politika hesiel na jednu stranu A4

Pre malú firmu, akou je Pekáreň Example, postačuje stručná politika:

1. Každý účet má vlastné, osobné heslo. Žiadne zdieľané prihlásenie pre info@example.com, ktorého heslo pozná päť ľudí.
2. Heslá vytvára správca hesiel: náhodné, s dĺžkou aspoň 15 znakov, alebo heslová fráza s aspoň piatimi náhodnými slovami, ktoré treba napísať.
3. Nikdy rovnaké heslo na dvoch miestach.
4. Dvojfaktorové overenie (2FA) zapnuté na pošte, v účtovníctve, v banke, pri hostingu a pri registrácii domény (lekcia 2.3).
5. Zmena hesla len z konkrétneho dôvodu, a to okamžite.
6. Heslá sa nikdy neposielajú e-mailom, cez chat ani nenalepujú na papierik pri obrazovke.

Rovnakú zásadu dodržiavajte aj v hostingovom paneli. V prostredí WebOké môžete napríklad pri DA hesle aj pri e-mailových schránkach nechať vygenerovať náhodné heslo; v iných paneloch sa toto tlačidlo často volá "Generovať" alebo "Generate". Takýto generátor nechajte vždy vytvoriť heslo s dĺžkou aspoň 15 znakov; dĺžku si často môžete zvoliť aj sami.

Zhrnutie

• Útočníci prelamujú heslá väčšinou offline, po úniku dát, pomocou zoznamov a pravidiel. Predvídateľné vzory padnú okamžite.
• Dĺžka a skutočná náhodnosť prinášajú oveľa viac než neobvyklé znaky. Každý bit entropie zdvojnásobí množstvo práce.
• Heslová fráza zložená z náhodne vybraných slov je dlhá, a predsa zapamätateľná.
• Jedinečnosť je dôležitejšia než zložitosť: opakované používanie mení jeden únik na dvadsať únikov.
• NIST SP 800-63B-4: aspoň 15 znakov ako jediný faktor, žiadne pravidlá o skladbe znakov, žiadna pravidelná zmena, ale kontrola voči zoznamu uniknutých hesiel.

Kvíz

Úloha

Úloha A2.1: Počítanie a posudzovanie. Nikde nezadávate vlastné heslo. Časť 1: vypočítajte, koľko možností má heslová fráza a koľko náhodné heslo (zadané sú počty slov a znakov), ktoré z nich je silnejšie a koľkokrát. Časť 2: posúďte šesť vymyslených ukážkových hesiel: predvídateľné, príliš krátke, opakovane použité alebo silné. Program odpovede vyhodnotí a ku každej pridá vysvetlenie.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Ako zmením heslo alebo limity svojej e-mailovej adresy?
• Holandský NCSC, Tipy na vytvorenie silného hesla: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Holandský NCSC, Štyri kroky k bezpečnejším heslám: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (po anglicky): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (po anglicky, zoznam slov ku kockám): https://www.eff.org/dice