Ale co to za różnica, jakie ja mam
hasło? Przecież nikt go nie zgadnie, no
i na pewno nie wycieknie. No to po co
się męczyć? Już tłumaczę po co się
męczyć. Hasła w sklepach internetowych,
usługach mailowych i tak dalej nie są
przechowywane w czystej postaci. Gdyby
ktoś mógł zajrzeć lub ukraść bazę danych
z takimi hasłami, to zobaczyłby listę
zahaszowanych haseł. Czym jest ów hasz?
Nie, to nie ten hasz, co myślisz.
Najprościej mówiąc, hasz to unikalny
ciąg znaków. Jakby zaszyfrowane hasło,
którego już nie da się odszyfrować, bo
haszowanie działa tylko w jedną stronę.
Logując się do swojej poczty, wpisane
przez ciebie hasło najpierw właśnie
zmieniane jest na jego hasz i dopiero
potem ten hasz porównywany jest z haszem
przypisanym do twojego konta. Jeżeli
hasze się zgadzają, to znaczy, że
wpisałeś poprawne hasło. Patrzcie,
Kania, moja. Weź tam zarezerwuj na
GPSie. Moja. Zatem jeśli na przykład
sklep internetowy czy dostawca poczty ma
wyciek danych logowania użytkowników, a
to się zdarza, to tak naprawdę nie
wyciekają hasła, ale właśnie te hasheze.
E, no to chyba dobrze. Czyli złodziej
dostaje tylko jakiś bezsensowny ciąg
znaków. Tak.
>> Tak. Znaczy nie, no bo istnieją
dedykowane aplikacje, na przykład
Hashcat, które służą do zgadywania haseł
na podstawie ich haszy. Takie programy
po prostu generują bardzo dużą ilość
haszy i porównują z haszem twojego
hasła. Zobacz, pokażę ci, jak to zrobić.
Mam tu listę wyciekniętych haszy. Na
zwykłym laptopie jestem w stanie
wygenerować i porównać w ciągu sekundy
kilka miliardów haszy. Na komputerze z
mocną kartą graficzną będzie to już
około 200 miliardów. Gdybym połączył
kilka kart graficznych, co nie jest
ekstremalnym kosztem dla złodzieja, w
ciągu sekundy mogę łamać biliony haszy.
Nawet złożone hasło sześcioznakowe udaje
mi się złamać w mniej niż sekundę,
ośmioznakowe w mniej niż godzinę,
10nakowe w kilkadziesiąt dni, a na
12nakowe potrzebuję już lat. Często
łamanie haseł trwa nawet krócej, bo
nasze hasła to nie są dowolne losowe
ciągi znaków, tylko zlepki imion, nazw,
przedmiotów i na przykład dat, które
połączyliśmy w taki sposób, który wydaje
nam się genialny i nie do złamania.
Tylko, że na przykład taki haszkat
korzysta ze słowników i reguł. Zatem
jeżeli wydaje ci się, że hasło Bobik 25,
wykrzyknik jest genialne i nikt go nigdy
nie złamie, to jesteś w błędzie, bo
zwykły szóstoklasista je złamie, kiedy
ty będziesz robić kupę.
>> Kurde, to co ja mam teraz zrobić? No
miej dłuższe hasła, chociaż 15nakowe ze
znakami specjalnymi. Czas ich łamania
jest dzisiaj zbyt długi i drogi. A jeśli
chcesz być całkowicie poza zasięgiem
cyber jełopów, rób sobie hasła w takim
stylu.
>> Ty, no ale jak zapamiętać takie hasło?
>> No ale po co dzisiaj coś pamiętać?
Numery hydraulików też pamiętasz? Użyj
do tego programu menagżera haseł. To
aplikacja, która służy do bezpiecznego
przechowywania i generowania haseł, więc
twoje hasła mogą nawet mieć 30 znaków.
Po drugie, tam gdzie się da włącz
uwierzytelnianie wieloskładnikowe. To
znaczy, że oprócz hasła będziesz musiał
podać coś dodatkowego. Na przykład kod
aplikacji, odcisk stolca, w sensie palca
albo inne dane bio.