Erős és egyedi jelszó készítésénél a két legfontosabb szempont a hossz és az, hogy ugyanazt a titkot sehol máshol ne használd. A NIST lakossági útmutatója legalább 15 karaktert javasol, és a hosszú, több véletlenszerű szóból álló jelmondatot is jó megoldásnak tartja. A sok fiókhoz azonban ne próbálj fejben külön jelmondatokat gyártani: egy megbízható jelszókezelő hosszú, véletlen jelszavakat tud létrehozni és tárolni.
Jelmondat vagy generált jelszó?
A döntést az alapján hozd meg, hogy az adott titkot ténylegesen meg kell-e jegyezned. A jelszókezelő fő jelszavát, a számítógép bejelentkezési jelszavát vagy egy ritka helyreállítási helyzetben használt titkot gyakran fejből kell tudni. Ezekhez hosszú jelmondat való. A webáruházak, közösségi oldalak és más hétköznapi fiókok jelszavát viszont célszerű a kezelővel generáltatni.
- Megjegyzendő jelmondat: válassz legalább négy egymástól független szót, és alakítsd legalább 15 karakteressé. Ne használj ismert idézetet, dalszöveget, közmondást vagy könnyen kideríthető személyes adatot.
- Generált jelszó: kérj a jelszókezelőtől hosszú, véletlen karakterláncot. Ha a szolgáltatás felső korlátot vagy külön karakterkövetelményt ír elő, a generátort ehhez igazítsd.
- Jelkulcs: ha a szolgáltatás támogatja, a jelkulcs kényelmesebb és adathalászattal szemben ellenállóbb lehet. Ettől még a helyreállítási adatokat rendezetten kell tartani.
Például a „kék bicikli” nem jó jelmondat: rövid, és a szavak összetartoznak. A „moha–villamos–barack–iránytű” szerkezet már hosszabb és kevésbé kiszámítható, de ezt a konkrét példát se használd, mert nyilvánossá vált. Saját változatnál a szavakat valóban véletlenszerűen válaszd, ne egy történet szereplőiből, családtagok neveiből vagy kedvenc csapatodból.
Miért fontosabb az egyediség a rendszeres cserénél?
Ha ugyanazt a jelszót több helyen használod, egy kevésbé fontos szolgáltatás adatszivárgása a levelezésedet vagy más értékes fiókodat is veszélyeztetheti. A támadók automatizáltan kipróbálhatják a megszerzett e-mail-cím–jelszó párost más oldalakon. Az egyedi jelszó ezt a tovagyűrűző kockázatot fékezi meg: egy szolgáltatás hibája nem ad közvetlen kulcsot a többihez.
Ne változtass meg minden jelszót pusztán a naptár miatt. A NIST irányelve szerint indokolt csere akkor kell, ha bizonyíték van a hitelesítő adat kompromittálódására. Ettől függetlenül az újrahasznált, rövid vagy kiszivárgott jelszavakat most érdemes lecserélni. A sorrend legyen: elsődleges e-mail, jelszókezelő, pénzügyi és közösségi fiókok, majd az ezekkel helyreállítható szolgáltatások.
Átállás jelszókezelőre kizárás nélkül
- Válassz olyan jelszókezelőt, amely többtényezős azonosítást, exportálható mentést és egyértelmű helyreállítási lehetőséget kínál. A választási és beállítási szempontokat a jelszókezelőről és kétlépcsős azonosításról szóló útmutató részletezi.
- Készíts egy kizárólag ehhez használt, hosszú fő jelmondatot. Ne mentsd el ugyanabba a tárolóba, amelyet ez a jelmondat nyit.
- Kapcsold be a jelszókezelő többtényezős védelmét, majd tedd biztonságos, külön helyre a helyreállító adatokat.
- Először csak néhány kevésbé kritikus fiókot vigyél át. Jelentkezz ki, majd ellenőrizd, hogy az automatikus kitöltés és a kézi másolás is működik.
- Ezután cseréld le a fontos fiókok jelszavát. Mindenhol új, generált értéket használj; a régit ne alakítsd át egy számmal vagy évszámmal.
- Végezz próba-helyreállítást: tudd, mi történik, ha elveszik a telefonod, és honnan éred el a második faktort vagy a vészkódot.
Gyors ellenőrzés egy új jelszó előtt
- Legalább 15 karakteres, vagy a szolgáltatás által engedett leghosszabb ésszerű érték?
- Csak ennél az egy fióknál használod?
- Nincs benne név, születési dátum, cím, telefonszám vagy könnyen kitalálható minta?
- Nem egy ismert mondat egyszerű betű–szám cserékkel?
- A jelszókezelő pontosan mentette a felhasználónevet és a bejelentkezési címet is?
- Bekapcsolható mellé erősebb második faktor vagy jelkulcs?
Az összetettségi szabály nem helyettesíti a hosszt. A „Jelszo1!” megfelelhet egy oldal formai előírásának, mégis könnyen kitalálható. A hosszú jelszó sem véd, ha adathalász oldalon adod meg; gyanús üzenetből ezért ne nyisd meg a bejelentkezési oldalt. Az ellenőrzési módszert az adathalász üzenetek felismeréséről szóló cikk mutatja be.
Ne a gépelhetőség rovására növeld a bonyolultságot
A fő jelmondatot néhányszor írd be próbaként telefonon és számítógépen is. Az eltérő billentyűzetkiosztás, a nehezen elérhető különleges karakter vagy az automatikus szóköz könnyen kizáráshoz vezethet. A próba során ne küldd el a jelmondatot üzenetben, és ne készíts róla képernyőképet. Ha egy szolgáltatás rövid maximális hosszt vagy szokatlan karakterkorlátot alkalmaz, ahhoz a fiókhoz inkább generált, maximális engedélyezett hosszúságú jelszót használj. A korlátozás tényét feljegyezheted, magát a jelszót azonban csak a védett tárolóban tartsd.
Honnan tudod, hogy kész vagy?
Egy rövid leltárral ellenőrizd az eredményt. A fő e-mail, a jelszókezelő és legalább az öt legfontosabb fiók kapjon külön jelszót; két véletlenszerű fiókból jelentkezz ki, majd lépj be újra a mentett adatokkal. Nézd meg azt is, hogy a családi vészhelyzeti hozzáférés nem a fő jelszó nyílt leírását jelenti. Ehhez a családi jelszavak biztonságos átadásáról szóló útmutató ad keretet.
Az erős és egyedi jelszó csökkenti a kockázatot, de nem ígér teljes biztonságot. Frissített eszköz, többtényezős azonosítás, rendezett helyreállítás és az adathalászat felismerése együtt ad érdemi védelmet.
A témához kapcsolódó további gyakorlati útmutatókat az Digitalizáció és online élet kategóriaoldalon találod.
Felhasznált források
- How Do I Create a Good Password? – NIST
- Digital Identity Guidelines: Authentication and Authenticator Management – NIST
- Managing your passwords – NCSC