Silne hasło to dziś podstawa bezpieczeństwa cyfrowego — wycieki danych z popularnych serwisów zdarzają się regularnie, a najczęściej łamanym hasłem na świecie nadal jest 123456. W tym artykule wyjaśniamy, jak działa nasz generator haseł, jaką długość wybrać, czym jest entropia hasła i dlaczego menedżer haseł jest dziś standardem, a nie ekstrawagancją.
Co decyduje o sile hasła
O bezpieczeństwie hasła decydują dwie rzeczy: długość i rozmiar puli znaków, z której zostało zbudowane. Razem dają tzw. entropię wyrażoną w bitach — im wyższa, tym dłużej zajmuje atak bruteforce.
Entropia [bity] = długość × log₂(pula znaków)Przykład: 12-znakowe hasło z pełnej puli (94 znaki) = 12 × log₂(94) ≈ 78,7 bita. 8-znakowe hasło z samych małych liter = 8 × log₂(26) ≈ 37,6 bita.
Tabela siły hasła — entropia i czas złamania
Poniższa tabela pokazuje, jak długość i typ znaków wpływają na siłę hasła oraz orientacyjny czas potrzebny na złamanie atakiem bruteforce (przy ok. 100 mld prób/s — dzisiejsza klasa GPU).
| Długość | Typ znaków | Entropia | Czas złamania |
|---|---|---|---|
| 8 znaków | tylko małe litery | ~38 bitów | kilka minut |
| 8 znaków | litery + cyfry + symbole | ~52 bity | kilka dni |
| 12 znaków | tylko małe litery | ~56 bitów | ok. 20 dni |
| 12 znaków | litery + cyfry + symbole | ~79 bitów | ok. 200 tys. lat |
| 16 znaków | litery + cyfry + symbole | ~105 bitów | praktycznie nie do złamania |
| 20 znaków | litery + cyfry + symbole | ~131 bitów | klasa kryptograficzna |
Najczęstsze błędy przy tworzeniu haseł
- Używanie tego samego hasła w wielu serwisach — jeden wyciek otwiera dostęp do wszystkich kont.
- Hasła oparte na dacie urodzenia, imieniu psa czy nazwie ulicy — są w pierwszych słownikach atakujących.
- „Zamiana” liter na cyfry typu P@ssw0rd! — łamacze haseł znają wszystkie te wzorce.
- Zbyt krótkie hasła (poniżej 10 znaków), nawet jeśli zawierają wszystkie typy znaków.
- Zapisywanie haseł w notatniku, mailu do siebie lub w przeglądarce bez hasła głównego.
Jak korzystać z menedżera haseł
Menedżer haseł to aplikacja, która szyfruje wszystkie Twoje hasła jednym hasłem głównym. Loguje Cię automatycznie, generuje unikalne hasła do każdego serwisu i synchronizuje je między urządzeniami. Najpopularniejsze i sprawdzone opcje:
- Bitwarden — darmowy, open-source, dostępny w przeglądarce i na telefonie.
- 1Password — płatny, intuicyjny interfejs, popularny w firmach.
- KeePassXC — darmowy, lokalny (baza pliku KDBX), bez chmury.
- iCloud Keychain — wbudowany w iOS/macOS, działa tylko w ekosystemie Apple.
- Google Password Manager — wbudowany w Chrome i Androida, darmowy.
Hasło czy fraza hasłowa (passphrase)?
Fraza hasłowa to ciąg kilku losowych słów oddzielonych myślnikami, np. rower-fontanna-kaktus-piorun-89. Jest łatwiejsza do zapamiętania niż losowy ciąg znaków, a przy 4–6 słowach osiąga porównywalną entropię. Wybór między hasłem a frazą zależy od tego, czy musisz hasło pamiętać samodzielnie (fraza), czy używasz menedżera (losowy ciąg).
Włącz dwuetapową weryfikację (2FA)
Nawet najsilniejsze hasło nie chroni przed phishingiem ani wyciekiem z serwera. Drugi etap logowania (kod z aplikacji typu Google Authenticator, Authy, Aegis lub klucz sprzętowy YubiKey) blokuje atakującego, nawet jeśli zna Twoje hasło. Włącz 2FA wszędzie, gdzie się da: bankowość, poczta, social media, GitHub.
Najważniejsze wnioski
- Minimum 12 znaków dla zwykłych kont, 16+ dla bankowości i poczty.
- Używaj wszystkich typów znaków: wielkich, małych, cyfr i symboli.
- Każde konto powinno mieć inne, losowe hasło — przechowywane w menedżerze.
- Zawsze włączaj dwuetapową weryfikację, jeśli serwis ją oferuje.
- Nigdy nie używaj danych osobistych ani popularnych słów w haśle.