Bezpieczeństwo haseł
Generator haseł, fraz i PIN-ów
Losowe hasło dopasowane do wymagań Państwa systemu, a przy nim uczciwa ocena: ile jest możliwych wyników, ile trwałoby zgadywanie i czy hasło spełnia NIST, CIS Controls, PCI DSS i OWASP ASVS. Wszystko powstaje w przeglądarce; serwer nie widzi ani hasła, ani ustawień.
Generator
Wygenerowane hasło
Powstaje w Państwa przeglądarce, nigdzie nie jest wysyłane
Inne propozycje
Te same ustawienia. Kliknięcie przenosi propozycję na górę.
Ile to jest warte
- Entropia
- –
- Możliwych wyników
- –
- Długość
- –
Średni czas odgadnięcia
Liczymy z liczby możliwych wyników przy tych ustawieniach i zakładamy, że atakujący zna metodę. Tak ocenia się hasła losowe; hasło wymyślone przez człowieka pada zwykle znacznie szybciej, bo ataki zaczynają od słów, imion i dat. Czas to rząd wielkości, nie obietnica.
Zgodność ze standardami
Sprawdź z polityką haseł Państwa organizacji
Jak to działa
Losowość z przeglądarki, liczby bez upiększeń
Każdy znak losujemy z kryptograficznego generatora wbudowanego w przeglądarkę (Web Crypto). Odrzucamy przy tym wartości, które dałyby przewagę części znaków, więc każdy dopuszczalny wynik jest dokładnie tak samo prawdopodobny. Gdy włączą Państwo wymóg „każdy rodzaj znaku” albo „zaczyna się literą”, generator nie poprawia wylosowanego hasła, tylko losuje od nowa. Dzięki temu ocena siły zgadza się z rzeczywistością.
Siłę liczymy z liczby wszystkich haseł, które przy danych ustawieniach mogły wypaść, a nie z wyglądu jednego wyniku. Zakładamy, że atakujący zna nasze ustawienia, i tak też powinno się oceniać każde narzędzie tego typu. Entropia w bitach to logarytm tej liczby: 60 bitów oznacza mniej więcej trylion możliwości, każdy kolejny bit podwaja pracę atakującego.
Strona nie zapisuje niczego w przeglądarce, nie wysyła hasła ani ustawień i nie ma w niej skryptów zewnętrznych. Jedyne żądanie po załadowaniu to pobranie listy słów do fraz z naszego serwera. Po skopiowaniu hasła warto skopiować coś innego, żeby nie zostało w schowku.
Standardy
Długość wygrywa ze złożonością
Najnowsza wersja wytycznych NIST SP 800-63B (rewizja 4 z 2025 roku) wymaga co najmniej 15 znaków dla hasła, które jest jedynym zabezpieczeniem konta, i 8 znaków, gdy konto chroni także drugi składnik. NIST odradza przy tym reguły w rodzaju „wielka litera, cyfra i znak specjalny” oraz wymuszaną okresową zmianę hasła. Zamiast tego każe sprawdzać hasła z listą haseł znanych z wycieków i słownikowych.
CIS Controls v8.1 (zabezpieczenie 5.2) przyjmuje 14 znaków bez uwierzytelniania wieloskładnikowego i 8 z nim. PCI DSS v4.0.1 w wymaganiu 8.3.6 żąda 12 znaków z literami i cyframi. OWASP ASVS 5.0 dla aplikacji ustawia minimum na 8 znakach i mocno zaleca 15. Dla PIN-ów kart płatniczych norma ISO 9564-1 przewiduje od 4 do 12 cyfr, a NIST traktuje PIN jako sekret aktywujący tylko wtedy, gdy urządzenie blokuje się po najwyżej 10 błędnych próbach.
W praktyce odradzamy polityki, które każą zmieniać hasło co 30 dni i dokładać do niego wykrzyknik. Lepiej działa długa fraza, menedżer haseł i drugi składnik logowania. Jeżeli Państwa polityka haseł pochodzi sprzed kilku lat, generator pokaże, w których punktach rozjeżdża się z obecnymi standardami.
Pytania, które padają najczęściej
Hasło czy fraza ze słów?
Do menedżera haseł najlepiej pasuje hasło znakowe: 20 losowych znaków daje ponad 120 bitów i nikt nie musi go pamiętać. Fraza sprawdza się tam, gdzie hasło trzeba wpisać z pamięci, na przykład do komputera albo menedżera haseł. Pięć słów z naszej listy to 60 bitów, a z dodatkową cyfrą nieco więcej; sześć słów daje 72 bity.
Skąd wiadomo, że strona nie zapamiętuje haseł?
Można to sprawdzić samodzielnie: w narzędziach deweloperskich przeglądarki, na karcie „Sieć”, po wczytaniu strony nie pojawia się żadne żądanie przy generowaniu ani kopiowaniu. Polityka bezpieczeństwa treści strony pozwala łączyć się wyłącznie z naszym serwerem. Kod generatora jest jawny i można go przeczytać w źródle strony.
Czy mogę tu sprawdzić swoje obecne hasło?
Celowo nie. Wpisywanie prawdziwego hasła w formularz na obcej stronie to zły nawyk, nawet gdy strona zapewnia, że niczego nie wysyła. Poza tym siły hasła wymyślonego przez człowieka nie da się rzetelnie policzyć z jego wyglądu: „Warszawa2024!” spełnia wiele polityk, a pada w kilka minut. Zamiast sprawdzać stare hasło, lepiej wygenerować nowe.
Dlaczego PIN ma tak mało bitów, a mimo to wystarcza?
PIN chroni urządzenie albo kartę, które po kilku błędnych próbach się blokują. Przy blokadzie po trzech próbach sześciocyfrowy PIN daje atakującemu mniej więcej jedną szansę na 330 tysięcy. Dlatego dla PIN-u generator pokazuje szansę trafienia w kilku próbach, a odrzuca przy tym sekwencje, powtórzenia i daty, od których atakujący zaczyna.
Politykę haseł i uwierzytelnianie wieloskładnikowe sprawdzamy w ramach audytów RODO oraz audytu i doradztwa NIS2; tam też pomagamy napisać politykę, która nadąża za standardami.
