Ktoré je najpoužívanejšie heslo na svete? Presne to, ktoré človeku napadne asi ako prvé: 123456. Vyplýva to z najnovšej správy spoločnosti NordPass, ktorá každý rok skúma heslá z rôznych únikov údajov po celom svete. Medzi najčastejšie používané heslá sa rok čo rok zaraďujú aj ďalšie predvídateľné kombinácie, ako napríklad 123456789, 12345678, 12345 či slovo „admin“.
Takémuto rebríčku hesiel je ťažké vôbec uveriť a na prvé počutie môže znieť ako pokus vyvolať senzáciu.
Poďme si to teda overiť. Naozaj ešte existujú populárne webové služby, ktoré vám dovolia vytvoriť si účet s heslom 123456? Žiaľ, odpoveď znie áno.
Príkladom je Evite, americká online platforma na vytváranie a rozposielanie digitálnych pozvánok, ktorá svojim používateľom stále umožňuje využívať toto jednoduché šesťčíselné heslo. Mohlo by sa zdať, že pri službe na posielanie elektronických pozvánok nejde o žiadne riziko. Treba si však uvedomiť, že používatelia tu na pozvánky zadávajú osobné údaje a následne spravujú odpovede všetkých pozvaných hostí. Ak účet nie je zabezpečený silným heslom, môže to byť problém. Najšokujúcejšie je, že spoločnosť Evite sa v roku 2019 stala obeťou úniku údajov, pri ktorom boli kompromitované osobné údaje viac ako 100 miliónov ľudí. O to prekvapivejšie je, že svojim používateľom ešte stále umožňuje používať takéto slabé heslá.
Situácia nie je výrazne lepšia ani pri omnoho známejších službách. Pri pokuse vytvoriť si nový účet na Facebooku platforma síce vyžaduje určitú úroveň zložitosti hesla, no kombinácia „1234567!“ prejde ako dostatočne silná. Podobne to dopadne aj na platforme X.
Facebook pritom používateľom dáva konkrétne odporúčania, aby sa vyhli bežným slovám, ako je napríklad „heslo“, a tiež aby v prípade nedostatočne silného hesla kombinovali veľké a malé písmená alebo použili dlhšiu frázu či viacero slov, ktoré si zapamätajú, ale nikto iný ich neuhádne. Napriek tomu však platforma umožňuje použiť heslo „1234567!“ – bez jediného písmena, len jednoduchý číselný rad doplnený výkričníkom na konci. Takéto heslo je ľahko uhádnuteľné, najmä pre automatizované skripty a nástroje, ktoré hromadne skúšajú zadávať najčastejšie používané kombinácie.
Na rozdiel od Facebooku stránka slovníka Collins Dictionary, ktorá pracuje s omnoho menej citlivými údajmi, vyžaduje minimálne osemmiestne heslo obsahujúce aspoň tri z nasledujúcich typov znakov: malé písmená (a – z), veľké písmená (A – Z), číslice (0 – 9) a špeciálne znaky (napr. !@#$%^&*).
Podľa zistení spoločnosti NordPass existuje veľa webových stránok, ktoré vynucujú len minimálne pravidlá pre heslá a povoľujú triviálne kombinácie, ako je napríklad „123456“. Zároveň je však možné, že zistenia správy sú čiastočne skreslené tým, že do výpočtu vstupujú aj staré používateľské účty. Ak firma funguje napríklad desať rokov a nikdy neodstránila neaktívne účty, únik údajov môže obsahovať informácie z obdobia, keď ešte neexistovali žiadne pravidlá pre tvorbu hesiel. Takéto historické údaje potom ovplyvňujú štatistiky najčastejšie používaných hesiel. Treba tiež dodať, že za zverejňovaním podobných rebríčkov sú často aj obchodné záujmy. Firmy, ktoré tieto správy publikujú, totiž často sami ponúkajú platené nástroje na správu hesiel.
Komplexná ochrana vášho digitálneho života
Komplexná ochrana vášho digitálneho života. Vyberte si úroveň podľa svojich potrieb.
Ako prelomiť začarovaný kruh
Ako uzavrieť nekonečné debaty o slabých heslách a vyriešiť absurdný stav, keď online služby stále povoľujú zjavne nebezpečné heslá?
Prílišné zasahovanie legislatívy do rozhodnutí občanov nie je populárne. V tomto prípade však nastal čas konať. Zákonodarcovia by mali prinútiť spoločnosti zaviesť prísnejšie pravidlá autentifikácie a prestať umožňovať používateľom voliť si najjednoduchšie, no zároveň najrizikovejšie riešenia. V mnohých krajinách už existujú zákony o ochrane súkromia, ktoré spoločnostiam ukladajú povinnosť chrániť spracúvané osobné údaje primeranými bezpečnostnými opatreniami.
Súčasťou týchto opatrení je používanie silných a komplexných hesiel spolu s viacfaktorovou autentifikáciou (MFA), ako to vyžaduje každý uznávaný štandard kybernetickej bezpečnosti. Napriek tomu pri mnohých službách určených priamo koncovým používateľom neexistujú žiadne konkrétne požiadavky týkajúce sa overovania identity pri prihlasovaní.
Niektoré odvetvia už pritom boli nútené prejsť na modernejšie metódy overovania. Vo finančnom sektore napríklad smernica PSD2 vyžaduje používanie viacfaktorovej autentifikácie pri elektronických platbách a prístupe k platobným účtom.
Podobné požiadavky by sa mali prostredníctvom legislatívnych nariadení rozšíriť aj do ďalších odvetví. Namiesto spoliehania sa na zastaranú metódu overovania heslami by sme mali vyžadovať viacfaktorovú autentifikáciu pri všetkých online účtoch a od hesiel postupne prejsť na modernejšie a bezpečnejšie formy overovania identity, napríklad prístupové kľúče (passkeys).
Povinné zavedenie takéhoto prístupu môže naraziť na to, že vytvorenie účtu bude pre používateľov náročnejšie alebo menej pohodlné. Firmy, ktoré zarábajú na reklame alebo na zbere a spracovaní osobných údajov, budú proti podobným opatreniam výrazne lobovať. Veľké spoločnosti nebudú chcieť, aby čokoľvek stálo v ceste rastúcemu zisku závislému od počtu nových používateľov, ktorých by mohli požiadavky na zložité heslá a viacfaktorovú autentifikáciu pri registrácii odradiť.
Vo sfére kybernetickej bezpečnosti počúvame varovania pred slabými heslami prakticky neustále už celé desaťročia. O tejto téme sa hovorí na konferenciách, v médiách aj počas Svetového dňa hesiel. Riešenie pritom nie je komplikované. Vyžadujme komplexné heslá, alebo ešte lepšie, zaveďme povinnú viacfaktorovú autentifikáciu na overovanie identity pri prihlásení. Možno potom budeme môcť debatu o slabých heslách konečne uzavrieť.
Komplexná ochrana vášho digitálneho života
Komplexná ochrana vášho digitálneho života. Vyberte si úroveň podľa svojich potrieb.
