Jaka lozinka, menadžer lozinki i potvrda u dva koraka

Većina provaljenih naloga ne strada zbog veštog hakera, već zbog kratke lozinke ili lozinke koja je ista na više mesta. Ovde je kako izgleda jaka lozinka, zašto svaki nalog treba da ima svoju, kako vam menadžer lozinki skida teret pamćenja i kako se uključuje potvrda u dva koraka. Preporuke su preuzete od Nacionalnog CERT-a Srbije, američkih agencija CISA i NIST i iz zvanične Google pomoći.

Kako izgleda jaka lozinka

Američka agencija za sajber bezbednost CISA traži da lozinka ispuni tri uslova odjednom:

• Duga: najmanje 16 znakova, a što duža, to bolja.
• Nasumična: ili niz izmešanih velikih i malih slova, cifara i znakova, ili fraza od 4 do 7 nepovezanih reči.
• Jedinstvena: druga lozinka za svaki nalog.

Koliko znakova je dovoljno

Preporuke se razlikuju po starosti. Nacionalni CERT Srbije je u obaveštenju iz maja 2019. naveo najmanje 9 znakova, uz velika i mala slova, bar jednu cifru i bar jedan poseban znak. Novije preporuke stavljaju dužinu na prvo mesto: CISA savetuje najmanje 16 znakova, a američki institut NIST u važećim smernicama od servisa traži da lozinka koja je jedina zaštita naloga ima najmanje 15 znakova. Računajte zato na 15–16 znakova ili više.

Fraza umesto šifre

Dugu lozinku najlakše je zapamtiti kao frazu od nekoliko reči koje nemaju veze jedna sa drugom, na primer četiri-pet nasumično izabranih imenica. Reči ne smeju da budu stih, poslovica ili naziv pesme, jer se takve kombinacije prve isprobavaju. Primer iz bilo kog vodiča, pa i iz ovog, nemojte da koristite.

Šta ne sme da bude u lozinci

• Datum rođenja, imena roditelja, dece ili kućnih ljubimaca. Nacionalni CERT upozorava da napadači to isprobavaju prvo.
• Nizovi kao „123456“. Nacionalni CERT prenosi podatak britanskog centra za sajber bezbednost da je tu lozinku koristilo 23,3 miliona oštećenih korisnika širom sveta.
• Jedna obična reč iz rečnika, naziv servisa ili vaše korisničko ime.

Zašto ne ista lozinka svuda

Lozinke se najčešće ne pogađaju, nego kradu: sa lažne stranice na koju vas navede poruka, ili iz baze nekog sajta koji je pretrpeo napad. Napadači zatim ukradene parove imejla i lozinke isprobavaju na drugim servisima. Nacionalni CERT objašnjava da ta tehnika često uspeva upravo zato što mnogi koriste istu lozinku na više naloga. Ako su vam lozinke različite, jedna krađa ostaje jedna šteta.

Menadžer lozinki

Niko ne može da zapamti desetine dugih i različitih lozinki. Tome služi menadžer lozinki: program koji lozinke smišlja, čuva i sam upisuje na sajtovima i u aplikacijama. Vi pamtite samo jednu, glavnu lozinku, kojom se menadžer otključava.

• Sam predlaže dugu nasumičnu lozinku kada otvarate nalog.
• Upozorava koje su vam lozinke slabe ili se ponavljaju.
• Neki, kao Google menadžer lozinki, obaveštavaju i kada se sačuvana lozinka pojavi među objavljenim ukradenim lozinkama.

CISA navodi da ima besplatnih menadžera, kakvi su oni ugrađeni u internet pregledače, i onih koji se plaćaju, i savetuje da pre izbora pročitate ocene u pouzdanom izvoru. Šta god izabrali, glavna lozinka treba da bude duga fraza, a nalog u kome se lozinke čuvaju zaštićen potvrdom u dva koraka.

Potvrda u dva koraka

Potvrda u dva koraka (dvofaktorska autentifikacija, 2FA) znači da se uz lozinku traži još jedan dokaz da ste to vi. Ko vam ukrade lozinku, bez tog drugog koraka ne može u nalog. Nacionalni CERT opisuje ove vrste drugog koraka:

Gde se uključuje

Opcija je po pravilu u bezbednosnim podešavanjima naloga, pod nazivom „dvofaktorska“ ili „višefaktorska autentifikacija“, odnosno „verifikacija u 2 koraka“. Za Google nalog zvanična pomoć navodi: otvorite Google nalog, zatim „Bezbednost i prijavljivanje“, pa u delu „Kako se prijavljujete na Google“ izaberite „Uključi verifikaciju u 2 koraka“. Nazivi opcija mogu da se razlikuju po verziji, uređaju i jeziku.

Rezervni kodovi

Telefon može da se izgubi ili pokvari. Zato mnogi servisi daju rezervne kodove: svaki važi samo jednom i radi i kada nemate telefon. Odštampajte ih ili prepišite i čuvajte tamo gde ih drugi neće naći, a kada ih potrošite, napravite nove.

Kada menjati lozinku

Redovna promena na svakih nekoliko meseci više se ne preporučuje. NIST u važećim smernicama kaže da servisi ne treba da je zahtevaju, ali da promena mora da usledi kada ima znakova da je lozinka otkrivena. Lozinku zato odmah promenite ako:

• ste je upisali na stranici za koju posle posumnjate da je lažna;
• vas servis ili menadžer lozinki obavesti da je procurela;
• primetite prijavu ili radnju na nalogu koju niste vi obavili;
• ste je nekome rekli ili je koristite na više mesta.

Najčešće greške

• Ista lozinka za imejl i sve ostalo.
• Kratka lozinka sa jednim brojem na kraju. Dužina vredi više od jednog dodatog znaka.
• Lozinke u belešci na telefonu ili u običnoj datoteci na računaru. CISA savetuje menadžer lozinki umesto toga.
• Potvrda u dva koraka bez rezervnih kodova.
• Diktiranje koda iz poruke osobi koja vas je sama pozvala.

Česta pitanja

Koliko znakova treba da ima lozinka?

Novije preporuke traže najmanje 15–16 znakova. Nacionalni CERT je 2019. naveo najmanje 9 znakova uz mešanje vrsta znakova, ali je duža lozinka uvek sigurnija.

Da li je menadžer lozinki bezbedan ako su sve lozinke na jednom mestu?

Bezbedniji je od ponavljanja iste lozinke, što je bez njega gotovo neizbežno. Uslov je da glavna lozinka bude duga i jedinstvena i da je nalog zaštićen potvrdom u dva koraka.

Da li je kod preko SMS-a dovoljno dobar drugi korak?

Nacionalni CERT kaže da to nije najbezbedniji način, ali da je bilo koja potvrda u dva koraka bolja nego nikakva. Ako servis nudi aplikaciju za autentifikaciju, ona je bolji izbor.

Šta ako izgubim telefon na kome je aplikacija za kodove?

Prijavićete se rezervnim kodom ili drugim načinom potvrde koji ste ranije podesili. Zato rezervne kodove sačuvajte odmah, a ne kada zatrebaju.