Niedawno uczestniczyłem w szkoleniu dotyczącym bezpieczeństwa, podczas którego informowano uczestników, że silne hasło to takie, które zawiera co najmniej 8 znaków, małe i wielkie litery, cyfry oraz znaki specjalne. Jednocześnie zalecono, aby hasła miały minimum 12 znaków. (lipiec 2026)
Później, na kolejnym slajdzie, zaprezentowano przykładowe hasło w stylu: AlMa5la$MaKo (od zdania „Ala ma 5 lat i ma kota”). Następnie uczestnicy wykonywali proste ćwiczenie interaktywne. Wszystko bardzo fajnie, tylko… po co?
Wystarczy wejść na jedną z wielu stron analizujących siłę haseł, aby przekonać się, że taka wiedza w skrajnym przypadku może zabezpieczyć nasze konto zaledwie na kilka minut. Tyle potrzebują dziś wydajne komputery do złamania mozolnie wymyślanego hasła, jeśli przestępcy uda się pozyskać z serwera całą bazę danych.
Ponieważ przemawiają do mnie obrazy, wyobraziłem sobie mieszkanie mojej prababci. Latem, chcąc przewietrzyć mieszkanie, często zostawiała uchylone drzwi zabezpieczone jedynie łańcuchem, a czasem nawet tylko haczykiem. W praktyce pozwalało to każdemu sprytniejszemu człowiekowi otworzyć drzwi w ciągu kilku sekund.
Wiem, że były to inne czasy. Problem w tym, że dziś, w dobie rozwoju komputerów kwantowych, nadal uczymy ludzi zabezpieczać swoje konta metodą mojej prababci. Co więcej, podczas szkoleń mówimy, że taki „łańcuch” jest rozwiązaniem zalecanym. Trudno nie złapać się w tym momencie za głowę.
Nie będę jednak dalej krytykował tego szkolenia. Zamiast tego opowiem, jak sam przygotowałbym takie slajdy.
Po pierwsze, należy pamiętać, że każdy dodatkowy znak powoduje wykładniczy wzrost liczby możliwych kombinacji. Hasło składające się z 12 znaków to około 5,4 × 10²³ kombinacji. Dodanie zaledwie czterech kolejnych znaków zwiększa tę liczbę niemal sto milionów razy – do około 4,2 × 10³¹ kombinacji.
Po drugie, zamiast tworzyć trudne do zapamiętania hasła, takie jak X5$r!p9Q, warto stosować tzw. passphrase, czyli długie frazy składające się z kilku niepowiązanych słów. Przykład: KawaKrzesłoBalonZima2026@. Takie hasło ma „tylko” 25 znaków, jest stosunkowo łatwe do zapamiętania, a jednocześnie bardzo trudne do odgadnięcia metodą siłową.
Wszystkie hasła podane powyżej zostały wygenerowane losowo przez AI i służą wyłącznie jako przykłady edukacyjne.
Ale co dalej? Mam przeczucie, że za kilka lat sam będę się śmiał z długości proponowanych przeze mnie dziś haseł. Wraz z rozwojem technologii obliczeniowych wymagania dotyczące bezpieczeństwa będą stale rosły.
Dlatego już teraz warto interesować się technologiami post kwantowymi, które powinny być rozwijane i wdrażane w organizacjach. Równocześnie ogromne znaczenie mają mechanizmy MFA (uwierzytelniania wieloskładnikowego). Klucze sprzętowe, takie jak YubiKey, czy aplikacje generujące jednorazowe kody zapewniają obecnie adekwatny poziom bezpieczeństwa.
Nie są to oczywiście twierdze nie do zdobycia. Żaden system bezpieczeństwa nie daje stuprocentowej gwarancji ochrony. Kluczowe pytanie brzmi: jak trudne będzie przełamanie zabezpieczeń i ile czasu oraz zasobów będzie to wymagało?
A co z jednorazowymi kodami generowanymi przez darmowe aplikacje, takie jak Google Authenticator czy Microsoft Authenticator? W przypadku sześciocyfrowego kodu TOTP największym zagrożeniem nie jest zazwyczaj jego siłowe złamanie, lecz pozyskanie tajnego klucza (tzw. ziarna) przechowywanego na serwerze lub urządzeniu użytkownika. To właśnie on pozwala generować kolejne poprawne kody.
Dlatego z jednej strony stosuje się dodatkowe zabezpieczenia serwerowe, które utrudniają automatyczne próby łamania haseł i kodów. Z drugiej strony użytkownicy muszą coraz bardziej uważać na metody socjotechniczne, takie jak phishing, fałszywe strony logowania czy podszywanie się pod zaufane instytucje. W praktyce to właśnie człowiek pozostaje najsłabszym, ale i najważniejszym elementem całego systemu bezpieczeństwa.
Podsumowanie
Tradycyjne szkolenia dotyczące tworzenia „silnych” haseł często nie nadążają za współczesnymi zagrożeniami. Zamiast krótkich i skomplikowanych ciągów znaków warto promować długie frazy (passphrase) oraz stosowanie uwierzytelniania wieloskładnikowego. W świecie rosnącej mocy obliczeniowej i nadchodzących technologii post kwantowych bezpieczeństwo nie zależy już wyłącznie od długości hasła, lecz od połączenia wielu warstw ochrony oraz świadomości użytkowników. Na temat bezpiecznych metod szyfrowania w świecie postkwantowym można przeczytać więcej na naszej stronie.
