Po wycieku, ponownym używaniem haseł. Świadomość, że powtarzanie haseł jest groźne, nie sprawia, że ono znika. Prawdziwe wyzwanie: uporządkować dziesiątki kont, niczego nie psując. Znasz liczby i wiesz, czym jest credential stuffing: hasło skradzione w jednym miejscu jest próbowane gdzie indziej. Zostaje praktyczne pytanie, na które prawie nikt nie odpowiada: od czego zacząć, gdy masz 60, 100 czy 150 kont? Zamiast powtarzać, dlaczego powtarzanie haseł jest groźne, ten artykuł skupia się na tym, co dalej: dlaczego wciąż to robimy, dlaczego „drobne zmiany” nie chronią i jaka jest realistyczna kolejność działań. 65 % ankietowanych używa tego samego hasła na wielu kontach (Google/Harris Poll) 15 znaków — minimum zalecane przez NIST, gdy hasło jest jedynym czynnikiem (SP 800-63B rev. 4) 0 kont krytycznych, które powinny współdzielić hasło z innym serwisem Powtarzamy hasła, bo jesteśmy ludźmi, a nie dlatego, że jesteśmy niedbali Według badania Google/Harris Poll 52 % osób używa tego samego hasła na wielu (ale nie wszystkich) kontach, a 13 % na wszystkich: razem 65 % . Ponowne używanie haseł to racjonalny kompromis wobec nierealistycznego wymagania: zapamiętania dziesiątek różnych sekretów. Obwinianie nic nie daje. Liczy się ograniczenie skutków: jedno konto, jedno hasło, aby każdy wyciek pozostał odosobnionym incydentem. „Drobne zmiany” to nie unikalne hasła Zmiana cyfry lub wykrzyknika na końcu daje wrażenie wykonanej pracy. Ale atakujący, który zdobędzie „Niebieski-Kot42!” na jednej stronie, naturalnie spróbuje „Niebieski-Kot43!” gdzie indziej. Logika zmian jest przewidywalna, a więc możliwa do wykorzystania. Z tego samego powodu obecne standardy nie opierają się już na regułach składu. NIST (SP 800-63B) zaleca porównywanie wybranych haseł z listami wartości już skompromitowanych i przedkłada długość nad pozorną złożoność. Prosta zasada Jeśli dwa hasła są do siebie podobne, liczą się jako jedno. Unikalne hasło nie ma żadnego widocznego związku z innymi. Zacznij od kont, które otwierają inne Nie trzeba zmieniać wszystkiego w jeden wieczór. Zajmij się najpierw kontami, których przejęcie pociąga za sobą kolejne: główną pocztą e-mail, bo resetuje się nią niemal każde hasło. Potem pieniądze, potem reszta. Plan w pięciu krokach Lokalny sejf, taki jak QubKey, jest stworzony na ten moment: Twoje nowe dane logowania pozostają zaszyfrowane w aplikacji na Twoim komputerze (Windows lub macOS), z opcjonalną synchronizacją między urządzeniami w wersji beta. Za darmo w czasie bety. Wypisz swoje konta krytyczne : główny e-mail, bank, płatności, administracja, chmura. Sprawdź ekspozycję swoich adresów w Have I Been Pwned , by wiedzieć, które konta zająć się najpierw. Wybierz sejf na nowe hasła: nie musisz ich już pamiętać, tylko jeden sekret główny. Zastąp je długimi, unikalnymi hasłami , jedno konto naraz, zaczynając od e-maila. Porządkuj resztę po drodze : przy każdym logowaniu zmień stare hasło i zapisz nowe. Jedno konto, jedno hasło. Wypróbuj QubKey, lokalny menedżer haseł dla Windows i macOS. Za darmo w czasie bety. Ten artykuł ma charakter informacyjny. Żadne oprogramowanie nie jest nie do złamania: menedżer haseł znacznie ogranicza ryzyko wynikające z powtarzania haseł, ale nie eliminuje wszystkich zagrożeń (phishing, złośliwe oprogramowanie na urządzeniu). Przytoczone statystyki pochodzą z publicznych źródeł wymienionych powyżej.