Na problematiku hesel a bezpečnosti narážím téměř denně. I když ohledně bezpečných hesel je na internetu napsáno spousta článků, pokusil jsem se o stručné shrnutí.
Bezpečné heslo by mělo obsahovat aspoň 3 ze 4 následujících typů znaků:
- malá písmena (a, b… z)
- velká písmena (A, B… Z)
- číslice (0, 1… 9)
- speciální znaky (#, $, %, &, *, +, -, :, =, ?, @, _, ~ atd.)
Moc se nedoporučuje používat znaky s diakritikou (ne vždy totiž musí být k dispozici česká klávesnice, zvláště, pokud bychom se přihlašovali např. ze zahraničí).
Co by bezpečné heslo naopak obsahovat nemělo? Jsou to:
- přihlašovací jména (jméno uživatele)
- osobní údaje (např. datum narození, adresa, přezdívka, telefon, jméno psa…)
- slovníkové výrazy (běžná slova, co najdeme ve slovníku)
- známé posloupnosti znaků (např. 111111, 123456, qwerty, abcdef…)
Síla hesla
Jako naprosté minimum se doporučovalo mít heslo dlouhé aspoň 8 znaků. Vzhledem ke stále se zdokonalujícím výpočetním možnostem počítačů je lépe zvolit minimální délku 10-12 znaků (někde je dokonce uváděno 14-16), záleží na tom, u jakého typu služby heslo používáte (u nějakého fóra či e-shopu stačí kratší, u e-mailu či banky určitě delší). Maximální délka většinou není limitována, ale doporučuje se nejvíce 32 znaků – s rostoucí délkou totiž roste pravděpodobnost, že při psaní uděláte chybu. (Navíc některé systémy mají omezenou délku hesla.) Důrazně se nedoporučuje používat často volené výrazy (např. heslo123, 12345678, mojeheslo, admin, login, password…). Na internetu si můžete najít různé seznamy nejčastěji používaných hesel (anglických i českých) – ty si jako inspiraci rozhodně neberte. 😉 Heslo můžeme vytvořit např. kombinací různých znaků, slov, nahrazováním písmen podobnými znaky (např. O-0, I-l…), spojováním různých slov, použitím oblíbené věty nebo mnemotechnické pomůcky či dokonce šifrováním (např. posunutím písmen).
Někdy se můžeme setkat i s možností místo hesla použít tzv. heslové fráze (passphrase), někdy zvané též jako zapamatovatelná hesla. Je to skupina několika (3-7, doporučují se minimálně 4) slov, která spolu nesouvisí, jsou spojená určitými znaky, případně doplněná čísly. Výhod to má několik: jednak je to podstatně delší než jedno heslo (tím pádem odolnější proti útokům hrubou silou), jednak se to snadno zapamatuje a i zapisuje. (Co je snazší si pamatovat a napsat? Je to 16znakové heslo „Ja,P2EtosfW?N!w6“, nebo 24znaková fráze „Dusik-Hrnek-Zelva-Meloun“. I tato prostá fráze je mnohokrát bezpečnější, natož když přidáme za každé slovo nějakou číslici.) 😉
Pro otestování síly a bezpečnosti hesla můžeme použít různé online formuláře, např.
- How secure is my password
- Password checker
- Password strength test
- Is my password vulneable
- How strong is this password
- Password strength test
- How secure is your password
- Password strength testing tool
Mají různé funkce, ukazují například, za jak dlouho bude heslo odhaleno, či jestli se nenachází v nějaké databázi uniklých hesel. Nemusíme se bát, hesla se nikam neodesílají (nepotvrzujete tlačítkem), počítá to interaktivně JavaScript. Pokud bychom přesto měli obavy, můžeme použít jiné znaky stejného typu (např. místo Petr8525 použijete Lada6456).
| počet znaků | pouze číslice | pouze malá písmena | malá a velká písmena | malá a velká písmena a číslice | malá a velká písmena a číslice a speciální znaky |
|---|---|---|---|---|---|
| 6 | |||||
| 7 | |||||
| 8 | 48 minut | 7 hodin | |||
| 9 | 11 hodin | 2 dny | 2 týdny | ||
| 10 | 1 hodina | 4 týdny | 6 měsíců | 5 let | |
| 11 | 23 hodin | 4 roky | 38 let | 356 let | |
| 12 | 3 týdny | 289 let | 2 tisíce let | 30 tisíc let | |
| 13 | 11 měsíců | 16 tisíc let | 91 tisíc let | 2 miliony let | |
| 14 | 49 let | 827 tisíc let | 9 milionů let | 187 milionů let | |
| 15 | 5 hodin | 890 let | 47 milionů let | 613 milionů let | 14 miliard let |
| 16 | 2 dny | 23 tisíc let | 2 miliardy let | 26 miliard let | 1 bilion let |
| 17 | 3 týdny | 812 tisíc let | 540 miliard let | 2 biliony let | 95 bilionů let |
| 18 | 10 měsíců | 22 milionů let | 7 bilionů let | 96 bilionů let | 6 trilionů let |
Generátory hesel
Heslo si nemusíme vymýšlet sami, ale můžeme si ho nechat i náhodně vygenerovat na početných online generátorech, např.
- Generátor hesel
- Generátor náhodných hesel
- Generátor bezpečných hesel
- Generátor hesel
- Generátor hesel
- Online generátor hesel
- Password generator
Lze si tam nastavit požadovanou délku a taky znaky, které by mělo obsahovat. Takto vygenerovaná hesla si ale potom budeme muset zapamatovat. 😉
Správci hesel
Heslo bychom měli mít ideálně pro každou službu (elektronické bankovnictví, e-mail, e-shopy, registrace služeb, diskuzní fóra, počítače…) jiné. A taky je rozumné, když ho budeme mít komplikované podle druhu služby (např. k internetovému bankovnictví je určitě dobré si zvolit nějaké složité heslo, kdežto do nějakého diskuzního fóra můžeme nastavit heslo jednodušší). Některé zdroje navíc doporučují pro větší bezpečnost heslo čas od času (např. ročně) měnit. Přitom hesla by se neměla tzv. recyklovat, tedy opakovaně používat ta z minulosti, ale měla by být pokaždé jiná. Opět je na nás, jaký si na to vymyslíte systém (např. číslo roku).
Heslo bychom si neměli nikam zapisovat, nikomu nesdělovat a ani neříkat postup, jakým způsobem ho máme odvozené. Pokud už si musíme něco zapsat, je bezpečnější si napsat obecný postup, jak jsme heslo vytvořili, abychom si ho při případném zapomenutí sami snadno zase odvodili. Nebo pro uschování velkého počtu hesel můžeme použít tzv. správce hesel (password manager). Je jich spousta, z těch bezplatných doporučuju např. online Bitwarden či offline KeePassXC. Je to archiv všech našich hesel, chráněný jedním velmi silným heslem (aby se přes něj útočník snadno nedostal k ostatním heslům). 😉 Každý z nich má svá pro a proti, takže záleží jen na nás, který bude nejvíce vyhovovat našim potřebám.
Já sám používám (od ledna 2021, předtím jsem to měl uložené v zaheslované tabulce) KeePassXC, kterým se přes doplněk do prohlížeče KeePassXC-Browser přihlašuju k různým účtům. 🙂 Zašifrovaný soubor s hesly mám uložený jednak lokálně, jednak uložený v online úložišti, takže se k heslům dostanu z kteréhokoli počítače. 🙂 Je možné ho používat jak na počítači/notebooku (Windows/Linux/macOS), tak i na mobilu/tabletu (např. přes aplikace Keepass2Android či KeePassDX). Vybral jsem si ho z několika důvodů: má dobré hodnocení co se týče bezpečnosti a funkcí, je v češtině, k dispozici pro Windows i Linux a mám kontrolu nad tím, kde mám svá hesla uložená a kdo k nim má přístup. 😉 V dubnu 2024 jsem objevil poměrně nového správce hesel Proton Pass (od švýcarských tvůrců Proton Mailu), který vypadá také velmi dobře (ale bohužel neumožňuje třídění jednotlivých přístupů do složek). 😉
Dvoufaktorové ověření
Pro lepší zabezpečení se doporučuje u důležitých účtů (e-maily, bankovnictví) zvolit tzv. dvoufaktorové ověření (2FA). Jedná se o to, že k úspěšnému přihlášení potřebujeme nejen uživatelské jméno a heslo, ale i speciální kód (většinou šestimístná čísla). Buď nám přijde v SMS zprávě na mobil (nedoporučuje se kvůli větší možnosti zneužití – přesměrování na jiné číslo), nebo se nám vygeneruje heslo v autentizační aplikaci.
Já jsem k dvoufaktorovému ověření neměl moc důvěru. Říkal jsem si, že pokud si ho na mobilní aplikaci zapnu, tak se můžu dostat do problémů, pokud mobil nebudu mít u sebe, někde ho zapomenu, ztratím, rozbiju, či mi ho někdo ukradne. To je pravda. Naštěstí některé účty při zapnutí 2FA nabízejí stažení záložních jednorázových kódů, které se dají použít k obnovení přístupu, pokud mobil nebudeme mít k dispozici. Nicméně ne všude tak tomu je. Ale když jsem zkoumal fungování 2FA aplikací, tak jsem zjistil, že stačí si zjistit jedinečný „tajný“ klíč, vygenerovaný účtem (je součástí QR kódu), a ten si někam uložit (např. do nějakého správce hesel). Pokud se mi něco stane s mobilem, tak stačí na jiném mobilu si stáhnout aplikaci a vložit do ní ten „tajný“ klíč. Tím pádem se zprovozní „napojení“ na příslušný účet, a tímto způsobem se potom do něj půjde přihlásit. Moje nedůvěra byla pryč. 🙂
Mobilních autentizačních aplikací je na výběr poměrně dost. Svou mají jak Google, tak Microsoft. Ale jsou i jiné, každá má své plusy i mínusy. Já jsem hledal mezi open source alternativami, s možností zálohování. Nejprve jsem používal Authy, je poměrně dost oblíbená. Vyžadovala však registraci na e-mail a dokonce i telefonní číslo. Navíc neumožňovala dodatečně zjistit ten „tajný“ klíč. Proto jsem po čase hledal něco jiného (květen 2024). Našel jsem jich několik, váhal jsem mezi FreeOTP, Aegis a 2FAS. Protože jsem se nemohl rozhodnout, nakonec jsem si nainstaloval poslední dvě jmenované (Aegis + 2FAS). U nich jsem porovnáváním právě zjistil, že když si u nějakého účtu zapnu dvoufaktorové ověření, v jedné aplikaci načtu QR kód, zjistím „tajný“ klíč a ten potom vložím manuálně do té druhé aplikace, tak potom obě aplikace ukazují/generují stejné časově omezené kódy (6místná čísla každých 30 sekund). Čímž se mi potvrdilo, že to funguje, tedy nemusím mít obavu z toho, že bych si nedostupností mobilu zablokoval přístup k účtům, u kterých jsem si zapnul 2FA. (Další opensourcové aplikace s dobrými recenzemi jsou ještě např. Proton Authenticator a Ente Auth – 2FA Authenticator.)
A pokud nechceme mít dvě oddělené aplikace (jednu na správu hesel a jednu na dvoufaktorové ověření), můžeme využít správce hesel, který má dvoufaktorové ověření integrované. Těmi jsou třeba výše zmiňované KeePassXC a Bitwarden. Přihlašování do různých systémů je tedy pohodlnější (nemusíte ručně opisovat 6místné kódy), ale v těchto případech je o to důležitější mít u těchto aplikací nastavené velmi silné a nesnadno zjistitelné (tj. neprolomitelné) hlavní heslo. (Protože pokud by se případný útočník dostal k uloženým heslům i 2FA, mohl by získat neomezený přístup kamkoli. Jednoduše by vložil hesla a vygeneroval si 2FA kódy. Naopak jestliže bychom měli hesla a 2FA generátor na oddělených zařízeních, měl by přístup podstatně ztížený). Záleží tedy na tom, zda upřednostníme pohodlnost, nebo bezpečnost. 😉
Mohlo by Vás také zajímat
Naposledy aktualizováno: 13. 12. 2025