Jak często zmieniać hasło: tylko wtedy, gdy jest powód

Zacznijmy od końca, bo odpowiedź jest krótka i prawie nikt nie podaje jej w całości: wtedy, gdy jest powód. Nie co dziewięćdziesiąt dni.

Nawyk zmieniania hasła według kalendarza siedzi tak głęboko, że brzmi jak higiena, jak mycie zębów. Ale to było zalecenie z datą ważności i ta data minęła: amerykański NIST napisał je w 2003 roku, wycofał w 2017, a autor tamtego dokumentu publicznie przeprosił w tym samym roku. Tę historię opowiadamy w całości w czym jest hasło; tutaj liczy się to drugie, czego prawie nikt nie tłumaczy: co ty masz dziś zrobić ze swoimi hasłami.

Kalendarz nie wie, czy coś ci ukradziono

Problem z rotacją według daty polega na tym, że data nie niesie żadnej informacji.

Jeśli ktoś zdobył twoje hasło we wtorek w lutym, zmiana go 1 kwietnia, bo tak wypada, daruje mu dobre półtora miesiąca dostępu. A jeśli nikt go nie tknął, zmiana przed niczym cię nie ochroniła: zamieniłeś dobre hasło na takie, które prawdopodobnie jest gorsze, bo hasła wymyślane z obowiązku wymyśla się bez przekonania.

I tu tkwi cały mechanizm porażki. Wymuszona rotacja nie tworzy nowych haseł, tworzy warianty. Lato2026! staje się Jesien2026!, a potem Zima2026!, i ten, kto cię atakuje, o tym wie, bo ta seria jest równie przewidywalna jak kalendarz, z którego pochodzi. System jest zadowolony — hasło «zostało zmienione» — a realne bezpieczeństwo spadło, nie wzrosło.

Dlatego NIST w SP 800-63B mówi obie rzeczy naraz: żadnych arbitralnych zmian na czas i wymuszenie zmiany, gdy tylko pojawi się przesłanka naruszenia. Nie chodzi o to, że zmiana jest bez znaczenia. Chodzi o to, że wyzwalaczem ma być fakt, a nie data.

Powody, które naprawdę się liczą

Oto lista. Jeśli przydarzy ci się którakolwiek z tych rzeczy, hasło zmienia się dziś, nie w przyszłym miesiącu:

• Pojawiło się w wycieku. Tej usługi albo dowolnej innej, gdzie używałeś tego samego.
• Użyłeś go ponownie. Jeśli X wyciekło, a masz je jeszcze na czterech stronach, jest pięć haseł do zmiany, nie jedno.
• Wpisałeś je na stronie, która okazała się nie być tą stroną. Pośpieszny e-mail, link, formularz, który był podobny. Nieważne, że zorientowałeś się dwie sekundy później: już je wysłałeś.
• Podzieliłeś się nim. Z partnerką, z kolegą, na czacie w pracy, na kartce. Hasło, które przeszło przez kanał, gdzie nie kontrolujesz, kto czyta, nie jest już twoje.
• Widzisz dziwny ruch. Logowanie z miejsca, w którym nigdy nie byłeś, maile resetujące, o które nie prosiłeś, wysłana wiadomość, której nie napisałeś.
• Urządzenie zostało naruszone. Komputer ze złośliwym oprogramowaniem, zgubiony telefon, laptop, który był w nieznanym serwisie.
• Usługa cię ostrzega. Kiedy firma wysyła takiego maila, zareaguj tego samego dnia. To dosłownie przypadek, który przewiduje SP 800-63B.
• Skończyło się wspólne życie. Były partner, wspólne mieszkanie, wspólnik. Konta, które były dwóch osób, a teraz są jednej.

Zauważ, co je łączy: wszystkie są faktami. Żaden nie brzmi «minęło dziewięćdziesiąt dni».

Na pierwszy jest narzędzie. Jeśli chcesz wiedzieć, czy konkretne hasło znajduje się na listach tych, które już krążą, i przy okazji, jak długo by się broniło, przepuść je przez sprawdzanie: analiza odbywa się w twojej przeglądarce i stamtąd nie wychodzi.

Kiedy jest powód, kolejność ma znaczenie

Zmiana hasła to krok oczywisty i często nie pierwszy. Oto kolejność, która oszczędza robienia tej samej pracy dwa razy:

Najpierw urządzenie. Jeśli podejrzewasz, że jest na nim zainstalowane coś, co czyta to, co piszesz, zmiana hasła z tej samej maszyny sprowadza się do wręczenia mu nowego. Wyczyść je albo najpierw użyj innego urządzenia.

Potem poczta. Twoje konto pocztowe to nie jedno z wielu: to to, które odbiera linki «zapomniałem hasła» ze wszystkich pozostałych. Kto kontroluje pocztę, kontroluje resztę frontowymi drzwiami. Jeśli jest jedno hasło, od którego zacząć, to właśnie to.

Następnie zamknij otwarte sesje. Zmiana hasła nie zawsze wyrzuca tego, kto już jest w środku. Poszukaj w ustawieniach konta opcji wylogowania na wszystkich urządzeniach i użyj jej: inaczej intruz pozostaje połączony w sesji, która twojego hasła już wcale nie potrzebuje.

I na koniec sprawdź, co po sobie zostawił. To krok, który pomija najwięcej osób. Kto wchodzi na konto, nie ogranicza się do patrzenia: zmienia adres odzyskiwania, dodaje telefon, włącza własny drugi składnik, podłącza aplikację, zakłada regułę przekazywania w skrzynce. Jeśli zmienisz hasło i tego nie sprawdzisz, jutro wejdzie z powrotem przez drzwi, które nadal stoją otworem. Przejrzyj metody odzyskiwania, autoryzowane urządzenia, podłączone aplikacje i reguły przekazywania.

Jeszcze jedno, oczywiste i właśnie dlatego najczęściej lekceważone: kiedy zmieniasz, nowe hasło musi być nowe. Nie to samo z inną cyfrą. Wygeneruj je w generatorze i zapisz tam, gdzie nie zależy od twojej pamięci.

Co robisz przez pozostałe trzysta sześćdziesiąt dni

Jeśli wyzwalaczem jest fakt, a fakty są rzadkie, pytanie staje się inne: czyli nie ma nic do roboty? Przeciwnie. To, co rotacja próbowała rozwiązać źle, rozwiązują dobrze cztery rzeczy — i wszystkie są jednorazowe.

Niech będą długie. SP 800-63B stawia długość przed pokrętnością: długie hasło jest warte więcej niż krótkie naszpikowane symbolami. Tam leży większość pracy.

Niech będą inne na każdej stronie. To właśnie zamienia cudzy wyciek w mały incydent zamiast w pożar. Jeśli każde konto ma swoje, wyciek jednego nie dotyka pozostałych; jeśli dzielisz hasło, o bezpieczeństwie twojego banku decyduje usługa, o której już nie pamiętasz.

Niech będą sprawdzane z listami wycieków. To dokładnie ta zamiana, której dokonał NIST: zamiast wymagać symbolu, sprawdzić, czy twoje hasło już nie krąży. Ta weryfikacja rzeczywiście się przeterminowuje — hasło, którego dziś nie ma na listach, może być na nich za rok — i dlatego dobre menedżery powtarzają ją same i cię ostrzegają.

Niech będzie drugi składnik, gdzie tylko się da. Z drugim składnikiem skradzione hasło przestaje być kluczem i staje się połową klucza.

Te cztery razem robią coś, czego rotacja nigdy nie zrobiła: zmieniają hasło dokładnie wtedy, gdy jest powód, bo dowiadujesz się, że jest. Menedżer, który pilnuje list, jest systemem ostrzegania; kalendarz nie ostrzega przed niczym, po prostu mija.

A jeśli w firmie każą co dziewięćdziesiąt dni

Zdarza się, i to często, bo istnieją polityki napisane piętnaście lat temu, do których nikt od tamtej pory nie zajrzał. Dwie rzeczy.

Pierwsza, praktyczna: jeśli musisz zmienić, zmień naprawdę. Wygeneruj całe nowe hasło i wstaw je do menedżera. Sezonowy wariant to jedyna rzecz gorsza od niezmieniania, bo daje poczucie, że coś się zrobiło.

Druga, dla tych, którzy mogą ruszyć politykę: argumentu nie trzeba wymyślać. Jest w SP 800-63B, to oficjalna wytyczna NIST, i mówi wprost, że nie należy wymagać okresowej zmiany haseł, a należy ją wymusić, gdy są przesłanki naruszenia. Kto dziś utrzymuje regułę dziewięćdziesięciu dni, idzie za dokumentem, który sama instytucja, która go wydała, zastąpiła lata temu.

Krótka odpowiedź, jeszcze raz

Jak często zmieniać hasło? Kiedy coś się wydarzy.

A ponieważ «kiedy coś się wydarzy» działa tylko wtedy, gdy się o tym dowiesz, długa odpowiedź brzmi: spraw, by każde hasło było długie, inne i pilnowane — a wtedy w dniu, w którym trzeba będzie jedno zmienić, dowiesz się o tym, będzie to jedno hasło i zajmie ci to dwie minuty.

Reszta to odhaczanie kratki w kalendarzu, żeby poczuć się bezpiecznie.

Źródła: NIST SP 800-63, «Electronic Authentication Guideline» (2003), gdzie pojawiają się reguły składu i zmiana okresowa · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): długość przed złożonością, brak arbitralnej zmiany okresowej, wymuszona zmiana wobec przesłanek naruszenia i porównanie z listami haseł skompromitowanych · wypowiedzi Billa Burra, autora wytycznej z 2003 roku, dla Wall Street Journal w sierpniu 2017.

Zdjęcie: Hatice Baran · Pexels

← Wróć do bloga