Mýty o heslech a ochraně účtů

Mýty o heslech se šíří desítky let a mnohé z nich zastaraly. Pravidla typu povinný speciální znak či měsíční změna hesla vznikla v jiné době a dnes lidem často spíše škodí. Aktuální doporučení vycházejí z toho, jak se hesla skutečně kradou a lámou. Níže rozebíráme nejčastější mýty.

Mýtus: Heslo musí být složité a plné speciálních znaků

Útočníci hádají hesla s ohledem na lidské zvyky: záměnu písmene „a“ za „@“ či přidání čísla na konec znají všichni. Taková hesla se špatně pamatují a přitom nejsou o mnoho odolnější. Důležitější je délka a nepředvídatelnost, proto je dobrá dlouhá fráze z více nesouvisejících slov.

Nejlepší je, když hesla generuje a ukládá správce hesel. Dlouhé náhodné heslo si nemusíte pamatovat a pro každý účet je jiné. Zapamatovat si stačí jen hlavní frázi ke správci.

Mýtus: Hesla je třeba pravidelně měnit

Vynucené změny hesel každých pár měsíců vedou k předvídatelným úpravám, například přidání čísla. Doporučení, jako jsou ta od NIST, v současnosti vybízejí neměnit hesla bez důvodu a změnit je tehdy, když existuje podezření na kompromitaci nebo únik. Silné jedinečné heslo není potřeba obměňovat podle kalendáře.

Důvodem ke změně je například oznámení o úniku. Ověřit si to můžete ve službách, které sledují úniky dat. Po změně hesla nezapomeňte odhlásit ostatní zařízení.

Mýtus: Mě se útoky netýkají, nemám nic cenného

Většina útoků na účty je automatizovaná a necílená. Útočníci zkoušejí uniklé kombinace jména a hesla na tisících služeb a využijí, co se podaří. Hodnotu pro ně má samotný účet: rozesílání spamu, podvody vůči vašim známým, přístup k e-mailu nebo k platebním údajům.

Proto se ochrana vyplatí každému. Základem je jedinečné heslo u každého účtu a vícefázové ověření tam, kde je to možné. O typických tricích útočníků se dočtete v kategorii podvody.

Mýtus: Vícefázové ověření mě ochrání před vším

Vícefázové ověření výrazně zvyšuje bezpečnost, není však nepřekonatelné. Phishingové stránky mohou vylákat i jednorázový kód a některé metody, jako SMS, jsou zranitelné vůči převzetí čísla. Nejodolnější jsou hardwarové klíče a passkeys, o kterých píšeme v kategorii bezpečnostní klíče.

Ochrana tedy není jedno opatření, ale soubor návyků: jedinečná hesla, druhý faktor, opatrnost u odkazů, aktuální software a zálohy. Podrobnosti o druhém faktoru najdete v článku o vícefázovém ověření.

Co skutečně funguje

Spolehlivý základ je jednoduchý: správce hesel s dlouhými jedinečnými hesly, vícefázové ověření u důležitých účtů, zabezpečený hlavní e-mail, aktuální obnovovací údaje a pozornost u neočekávaných zpráv. Není to dokonalé, ale odstraní to většinu běžných rizik.

Odborné pojmy z oblasti ochrany účtů najdete ve slovníku a způsob ověřování informací popisuje metodika.

Mýtus: Prohlížeč není vhodné místo pro ukládání hesel

Vestavění správci hesel v prohlížečích jsou oproti opakovanému používání jednoho hesla výrazným zlepšením. Jejich bezpečnost závisí na ochraně zařízení a účtu, se kterým se synchronizují, a na tom, zda je ukládání šifrované. Pro pokročilejší uživatele mají výhodu samostatní správci s více možnostmi.

Důležité je, aby byl zámek zařízení silný a účet chráněný vícefázovým ověřením. Rozhodnutí, který nástroj použít, závisí na funkcích, které potřebujete. Přehled najdete v kategorii prohlížeče a v části o správcích hesel.