Tipy pro uživatelské heslo

Zde najdete několik rad, jak pracovat s hesly pohodlně a zároveň bezpečně. Zapomeňte na zásady nařizující kolik máte mít v hesle jakých znaků a jak často máte heslo pravidelně měnit. Jsou dávno přežité a prokazatelně kontraproduktivní.

 

 

Používejte správce hesel

Naučte se používat správce hesel. Hesla už si nebudete muset pamatovat. Jedná se o velmi pohodlný způsob uchovávání hesel, na který si rychle zvyknete. Zároveň pomáhá dodržovat při tvorbě hesel důležité zásady.

Musí jít samozřejmě o důvěryhodného správce hesel, proto se zajímejte o reputaci jeho autora či provozovatele. Z naší zkušenosti můžeme doporučit např. 1password.com, lastpass.com či keepass.info

Pamatovat si pak stačí jen jedno kvalitní heslo, kterým chráníte samotného správce hesel a ostatní hesla se vám budou do www stránek (nebo i aplikací na mobilu) vyplňovat dle potřeby sama. Budete-li chtít, můžete je spravovat synchronizovaně na všech zařízeních, která používáte (počítač, telefon, tablet). 

Je pochopitelné, že ne každý má přirozeně důvěru k tomu, aby uložil všechna svá hesla na jedno místo, uvažte ale níže popsané důvody:

  • Výše uvedení správci chrání přístup k vaší důkladně zašifrované peněžence nejen hlavním heslem, ale ještě tím, že jsou uložena pouze na zařízeních, která si sami vyberete (1password.com či keepass.info) nebo si můžete přístup k peněžence chránit vícekrokovým ověřením (lastpass.com).
  • Správce hesel za vás kontroluje URL adresy, kam heslo zadáváte, čímž vás účinně chrání proti tzv. phishingu.
  • Už dnes máte jedno místo a jedno heslo, přes které se lze dostat k většině vašich účtů. Je to emailová schránka a heslo k ní, protože přes emailovou schránku si u drtivé většiny služeb můžete heslo resetovat. Přístup k emailové schránce si proto chraňte dvojnásob, i kdybyste správce hesel nepoužívali.
  • I když má správce hesel své chyby jako každá jiná aplikace, nevadí to, pokud jej provozuje důvěryhodná organizace, která chyby obratem opravuje. Správce není a nemusí být dokonalý. Stačí, když bude jeho použití výrazně bezpečnější a pohodlnější, než jaká je situace bez něj. Je totiž zásadně bezpečnější a pohodlnější používat vygenerovaná unikátní hesla, která mám snadno k dispozici a nemusím je ani opisovat, než zadávat hesla zapamatovaná a tím pádem stejná či podobná na více službách nebo než si hesla ukládat kamkoliv (i offline) do obyčejné textové tabulky.

 

Pro každou službu používejte unikátní heslo

Nejčastější způsob, jak jsou v praxi hesla skutečně zneužívána, využívá toho, že má uživatel na více službách nastaveno heslo stejné nebo podobné.

Protože heslo je obvykle uloženo společně s vaší emailovou adresou, je nejhorší případ používat na webových službách stejné heslo, jakým se hlásíte právě do emailu. Přes email lze pak resetovat heslo do téměř každého účtu, který používáte.

Nikdy nevíte, jak s vaším heslem nakládá ten který provozovatel služby (jestli jej např. ukládá správně nebo naopak v čitelné podobě) a kdo k němu má přístup (např. najatý brigádník pracující pro provozovatele služby apod.).

Navíc i přes dodržování bezpečnostních zásad dochází k únikům a zveřejňování hesel z veřejných služeb, které dnes a denně čelí kybernetickým útokům.

Protože k výše popsaným incidentům běžně dochází, je zásadně důležité, aby se případný únik hesla omezil pouze na tu jednu službu, u které k němu došlo a nebyly ohroženy účty, které máte u zcela nesouvisejících služeb.

Pokud si nastavíte u ACTIVE 24 stejné heslo, jaké jste použili např. v nějakém eshopu, může pak prozrazení hesla z eshopu vážně ohrozit vaši doménu či emailové schránky, které u nás provozujete.

Protože samozřejmě není v lidských silách pamatovat si desítky unikátních hesel, doporučujeme používat důvěryhodný správce hesel.

TIP: Pokud zadáte svou emailovou adresu do služby haveibeenpwned.com, ověříte si, jestli k vaší emailové adrese nekoluje po internetu nějaké uniklé heslo. Navíc se můžete zaregistrovat, abyste obdrželi notifikaci, pokud by k tomu v budoucnu došlo.

 

Hesla nevýmýšlejte, ale generujte

Určitě platí, abyste se vyvarovali jednoduchých hesel, která obsahují známá slova, jména, číselné či znakové posloupnosti, data narození nebo taková která jsou odhadnutelná v kontextu s navštívenou stránkou.

Používáte-li správce hesel, použijte jej i pro generování hesel a nebojte se hesel dlouhých (běžně i více než 20 znaků), protože heslo nepotřebujete znát a v drtivé většině případů ho ani nemusíte ručně opisovat.

Jak má být heslo dlouhé a komplexní si snadno navolíte i s ohledem na požadavky té které služby.

Pokud se i přes výše uvedené rozhodnete správce hesel nepoužívat, vězte, že mnohem více záleží na délce hesla než na tom, jaké obsahuje znaky.

Používejte tedy alespoň hesla složená z více delších a vzájemně nesouvisejících slov, ideálně vč. diakritiky a kreativním PraVoPiSem.

Upozornění: Je-li vám heslo přiděleno samotnou službou, co nejdříve jej změňte.


Pokud heslo s někým sdílíte, ověřte nejprve jeho identitu

Běžně nastávají situace, kdy dává smysl vybrané přístupové údaje s někým sdílet, např. s webmasterem, kterému důvěřujete. Na druhou stranu je vylákání hesla od uživatele velmi častý způsob, jak úspěšně odcizit něčí účet.

Vylákání hesla bývá jednodušší, než překonávat technické překážky zabezpečeného systému. 

Obvyklý způsob loudění přístupových údajů bývá vydávání se za technickou podporu, často spojené s vyvoláváním pocitu urgentnosti.

V dnešní době je také oblíbené vylákat údaje na sociálních sítích, kdy vám najednou píše osoba, kterou na první pohled znáte (stejné jméno, fotografie aj.), ale jde o falešný profil.

TIP: Pokud jste nějakou osobou nebo formulářem požádáni o poskytnutí hesla, velmi zpozorněte! Nespěchejte a důkladně si nejprve ověřte, zda skutečně komunikujete s tím, za koho se dotyčný vydává - počínaje kontrolou URL adresy, emailové adresy, facebookového profilu nebo např. telefonickým ověřením!

Jestliže žadateli důvěřujete, zvolte vhodný způsob předání hesla. Nejlépe použijte jiný komunikační kanál, než kterým bylo o heslo požádáno, například heslo pošlete pomocí SMS, když žádost přišla emailem apod. 

Nepředávejte heslo, které používáte u více služeb! Mějte na paměti, že zákaznická podpora by od vás přístupové údaje nikdy požadovat neměla – nepotřebuje je.

Předpokladem pro bezpečné předávání hesel je používat unikátní hesla. Po předání heslo z emailu/SMS historie vymažte.


 

Máte-li podezření na únik hesla, změňte jej!

V případech, kdy jste heslo použili na nějakém nedůvěryhodném počítači, poslali jej přes nedůvěryhodný kanál, zadali ho do podezřelého formuláře (naletět na phishing může i profík) nebo pominul důvod, pro který jste heslo sdíleli s někým dalším, bez zbytečného odkladu jej změňte! 

S použitím správce hesel je vygenerování a uložení nového bezpečného hesla otázkou chviličky a nic nového si nemusíte pamatovat.


 

Aktivujte si vícekrokové ověření

Pokud to služba umožňuje, aktivujte si vícekrokové ověření při přihlášení (tzv. 2SV či 2FA). Nejčastěji jde o jednorázová číselná hesla generovaná aplikací v telefonu nebo ověřovací notifikaci přes aplikaci v telefonu.

Ověřovaní pomocí SMS se již nepovažuje za dostatečně důvěryhodné a doporučuje se od něj ustoupit.

V každém případě si takto chraňte svého správce hesel, který ukládá hesla online (lastpass.com) nebo službu pro synchronizaci souborů, kterou používáte na ukládání souboru ze zašifrovanými hesly (např. dropbox.com).