Kaj sploh je močno geslo

Modul 2: Gesla in prijava · Čas branja: 9 minut

Učni cilj: Po tej lekciji boste znali razložiti, zakaj sta dolžina in edinstvenost gesla pomembnejša od nenavadnih znakov, ter kaj trenutno priporočilo NIST pravi o geslih.

Ključni pojmi: dolžina, entropija, geselska poved, slovarski napad, brutalna sila (brute force), ponovna uporaba, prisilno menjavanje

Kako se geslo razbije

Pri besedni zvezi "razbiti geslo" si mnogi predstavljajo nekoga, ki na Vaši prijavni strani ugiba geslo. To se res dogaja, vendar ni največja grožnja. Dobra prijavna stran po nekaj neuspelih poskusih upočasni nadaljnje poskuse ali jih začasno blokira. Ugibanje skozi "glavna vrata" je torej počasno.

Bolj nevaren je offline napad. Spletna stran Vašega gesla (če je vse v redu) ne shrani neposredno, ampak shrani razpršeno vrednost (hash): nekakšen prstni odtis, iz katerega gesla ni mogoče neposredno izračunati nazaj. Če uhajajo podatki iz baze spletne trgovine, napadalec te prstne odtise dobi na svoje lastne računalnike. Tam ni nobene omejitve. Preizkusi toliko gesel, kolikor jih njegova oprema zmore, in vsak rezultat primerja z uhajano vrednostjo.

Pri tem uporablja dve metodi:

• Slovarski napad: najprej preizkusi vse, kar ljudje pogosto izberejo. Sezname z milijoni resničnih gesel iz prejšnjih uhajanj podatkov, besede iz slovarjev, imena, kraje, letnice. Poleg tega uporablja stalna pravila: velika začetnica na začetku, letnica na koncu, klicaj na koncu, a postane @, o postane 0.
• Brutalna sila (brute force): nato preizkusi vse mogoče kombinacije znakov, od kratkih do dolgih.

Geslo, kot je Zomer2026!, se zdi močno: velika začetnica, številke, ločilo, deset znakov. Toda to je prav vzorec, ki je zajet v teh pravilih: beseda, letnica, znak. Tako geslo pade že v prvem krogu, veliko preden se sploh začne brutalna sila.

Dolžina premaga nenavadne znake

Kako močno je geslo, je odvisno od tega, koliko možnosti mora napadalec preizkusiti. To število izračunate takole: število možnih znakov na potenco dolžine.

Na navadni tipkovnici je 95 znakov, ki jih lahko natipkate (male in velike črke, številke, ločila in presledek). Naključno geslo z 8 znaki ima tako 95 na potenco 8 možnosti: približno 6,63 × 10^15. To se zdi veliko, vendar je s hitro opremo in šibkim načinom shranjevanja mogoče to preiskati v nekaj dneh.

Vsak dodatni znak pomnoži število možnosti z 95. Dodatna vrsta znakov (na primer dodajanje ločil samo med črke) pa osnovo pomnoži le malo. Zato dolžina prinese veliko več kot zapletenost.

Ta zadnji stolpec je entropija: mera za to, kako nepredvidljivo je nekaj, izražena v bitih. Preprosto povedano: vsak dodatni bit podvoji delo napadalca. Geslo s 65 biti torej ne zahteva malo, temveč približno 4.000-krat več dela kot geslo s 53 biti.

Pomembno: te številke veljajo samo, če je geslo res naključno izbrano. Geslo, ki si ga izmislite sami, skoraj nikoli ni naključno. Bakkerij2026! ima trinajst znakov, vendar je po vzorcu na vsakem seznamu za razbijanje gesel.

Geselska poved

Geselska poved je geslo, sestavljeno iz več posameznih besed, na primer petih ali šestih. Prednost: dolga je, pa jo je vseeno mogoče si zapomniti in natipkati. Nizozemski NCSC priporoča, da izberete štiri do šest besed, ki med seboj nimajo nobene povezave, in pravi, da je dolga poved samo z malimi črkami varnejša od kratkega gesla z vsemi vrstami znakov.

Geselska poved je močna samo, če so besede izbrane naključno:

• Dobro: generator (v Vašem upravitelju gesel) ali kocke s seznamom besed. Znana metoda s petimi kockami uporablja seznam 7.776 besed, ker je 6 na potenco 5 natanko 7.776. Ustvarjalci takega seznama za večino namenov priporočajo šest besed.
• Napačno: znana poved, besedilo pesmi, pregovor ali nekaj o Vas samih. ikhouvanmijnhondbobby je dolgo, vendar so besede med seboj povezane in jih lahko ugane kdor Vas pozna ali bere Vaše družbene medije.

Geselska poved je še vedno geslo. Uporabljate ga na enem mestu in ga ne delite z drugimi.

Edinstvenost je pomembnejša od zapletenosti

Najmočnejše geslo ne pomaga, če ga uporabljate na dvajsetih mestih. V lekciji 1.4 ste spoznali credential stuffing: uhajan e-poštni naslov z geslom se samodejno preizkuša pri e-pošti, računovodstvu, spletnih trgovinah in družbenih medijih. Če uhaja pri najšibkejši od teh dvajsetih storitev, so vse dvajset odprte.

Ponovna uporaba je zato v praksi največja šibkost. In "malo različic" se ne šteje kot edinstveno. Example!Mail in Example!Shop lahko napadalec z enim uhajanim geslom ugane v nekaj poskusih.

Rešitev ni pomnjenje, ampak shranjevanje: upravitelj gesel za vsako storitev ustvari dolgo, naključno geslo in si ga zapomni namesto Vas. To je lekcija 2.2. Tako si morate zapomniti le še nekaj stvari: glavno geslo upravitelja in morda geslo za Vaš računalnik.

Kaj pravi priporočilo NIST

Ameriški NIST (National Institute of Standards and Technology) objavlja najbolj znano priporočilo za prijavljanje: SP 800-63B. Četrta različica je bila dokončno sprejeta 31. julija 2025. Mnoge organizacije po vsem svetu jo upoštevajo. Najpomembnejše točke za gesla:

• Če je geslo edini način prijave, naj ima vsaj 15 znakov. Če je del dvostopenjskega preverjanja, zadostuje vsaj 8.
• Storitev mora dovoliti gesla z vsaj 64 znaki.
• Brez pravil o sestavi: storitev ne sme zahtevati "vsaj ene velike črke, ene številke in enega ločila".
• Brez periodičnega obveznega menjavanja. Geslo spremenite le, če obstaja znak, da je uhajalo.
• Nova gesla preverjati glede na seznam pogosto uporabljenih in uhajanih gesel.
• Dovoliti lepljenje (copy paste) in uporabo upraviteljev gesel.
• Brez varnostnih vprašanj ("ime Vašega prvega hišnega ljubljenčka") in brez namigov za geslo.

Zakaj prisilno menjavanje ni več priporočeno

Dolga leta ste morali na delovnem mestu vsake tri mesece izbrati novo geslo. Zamisel je bila: ukradeno geslo tako velja le kratek čas. V praksi ljudje ravnajo takole: Zomer2026! postane Herfst2026!, nato Winter2026!. Napadalec, ki pozna staro geslo, novo ugane v nekaj poskusih. In kdor mora vedno znova izmisliti novo geslo, si izbere krajše geslo in si ga zapiše na listek.

Prisilno menjavanje torej naredi gesla bolj predvidljiva. Geslo pa spremenite takoj, ko za to obstaja razlog: obvestilo o uhajanju podatkov, nenavadna prijava, sodelavec, ki odhaja in je poznal geslo, ali če ste geslo pomotoma vnesli nekje drugje.

V praksi: pravilnik o geslih na eni strani

Za majhno podjetje, kot je Pekarna Example, zadostuje kratek pravilnik:

1. Vsak račun ima svoje, osebno geslo. Brez skupne prijave za info@example.com, katere geslo pozna pet ljudi.
2. Gesla ustvarja upravitelj gesel: naključna, z vsaj 15 znaki, ali geselska poved z vsaj petimi naključnimi besedami, ki jo je treba natipkati.
3. Nikoli istega gesla na dveh mestih.
4. Dvostopenjsko preverjanje vklopljeno za e-pošto, računovodstvo, banko, gostovanje in registracijo domene (lekcija 2.3).
5. Menjava samo z razlogom, in takrat takoj.
6. Gesla nikoli po e-pošti, klepetu ali na listku ob zaslonu.

Tudi Vaš nadzorni sistem za gostovanje sledi tej liniji. V okolju WebOké lahko na primer pri geslu za DA in pri poštnih nabiralnikih naredite naključno geslo; pri drugih ponudnikih se ta gumb pogosto imenuje "Ustvari" ali "Generate". Takemu generatorju vedno dovolite, da ustvari vsaj 15 znakov; pogosto lahko dolžino izberete sami.

Povzetek

• Napadalci geslo najpogosteje razbijejo brez povezave (offline), po uhajanju podatkov, s pomočjo seznamov in pravil. Predvidljivi vzorci padejo takoj.
• Dolžina in resnična naključnost prineseta veliko več kot nenavadni znaki. Vsak bit entropije podvoji delo napadalca.
• Geselska poved z naključno izbranimi besedami je dolga, pa si jo je vseeno mogoče zapomniti.
• Edinstvenost je pomembnejša od zapletenosti: ponovna uporaba spremeni eno uhajanje v dvajset uhajanj.
• NIST SP 800-63B-4: vsaj 15 znakov, če je geslo edini dejavnik, brez pravil o sestavi, brez periodičnega menjavanja, pa vendar preverjanje glede na uhajana gesla.

Kviz

Naloga

Naloga A2.1: Računanje in presoja. Nikjer ne vnašate lastnega gesla. Prvi del: izračunajte, koliko možnosti ima geselska poved in koliko možnosti ima naključno geslo (podana sta Vam število besed in število znakov), katero od obeh je močnejše in za koliko. Drugi del: ocenite šest izmišljenih vzorčnih gesel: predvidljivo, prekratko, ponovno uporabljeno ali močno. Program preveri odgovore in pri vsakem poda razlago.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Kako spremenim geslo ali omejitve svojega e-poštnega naslova?
• Nizozemski NCSC, Nasveti za izbiro močnega gesla: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nizozemski NCSC, Štirje koraki za varnejša gesla: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (v angleščini): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (v angleščini, seznam besed za uporabo s kockami): https://www.eff.org/dice