Fraza hasłowa vs hasło: entropia i bezpieczeństwo wyjaśnione

Każde hasło ma mierzalną właściwość zwaną entropią — liczbę bitów losowości. Hasło z 50 bitami entropii ma 2^50 możliwości. Przy miliardzie prób na sekundę to około 13 dni. Przy 80 bitach nawet bilion prób na sekundę wymagałby 38 000 lat.

Kluczowy wniosek: entropia zależy od tego, jak hasło zostało wygenerowane, nie jak wygląda. "Tr0ub4dor&3" ma tylko ~28 bitów entropii. Natomiast "correct horse battery staple" daje ~52 bity z listy EFF.

Większość polityk koncentruje się na składzie znaków zamiast na rzeczywistej entropii. "Summer2026!" spełnia wszystkie wymagania, ale pada przy ataku słownikowym w sekundy.

Dla naprawdę losowego hasła: entropia = log₂(C^L). 12-znakowe hasło z zestawu 95 znaków ma ≈ 79 bitów.

Dla fraz: entropia = log₂(W^N). Z listą EFF (7 776 słów): 4 słowa ≈ 51,7 bitów; 5 słów ≈ 64,6 bitów; 6 słów ≈ 77,5 bitów; 7 słów ≈ 90,5 bitów.

Obliczenie zakłada, że atakujący zna twoją metodę generowania — to konserwatywna, realistyczna miara bezpieczeństwa.

Frazy hasłowe oferują unikalną zaletę: zamieniają złożoność znaków na długość, osiągając wysoką entropię przy zachowaniu zapamiętywalności. Sześciowyrazowa fraza ma ~78 bitów entropii — równowartość 12-znakowego losowego hasła, ale znacznie łatwiejsza do zapamiętania.

Zapamiętywalność to nie tylko wygoda — to zaleta bezpieczeństwa. Gdy hasła są trudne do zapamiętania, użytkownicy zapisują je niebezpiecznie lub je powtarzają.

Frazy hasłowe lepiej też opierają się podglądaniu przez ramię.

Metoda Diceware, opracowana przez Arnolda Reinholda w 1995, używa fizycznych kostek do wyboru słów. EFF zaktualizowała listę w 2016.

Losowe hasła osiągają wyższą entropię na znak. 16-znakowe hasło daje ~105 bitów — potrzebujesz 8 słów Diceware, żeby to dorównać.

Dla kont zarządzanych przez menedżer losowe hasła są ściśle lepsze, bo zapamiętywalność nie ma znaczenia.

Losowe hasła są też bardziej kompaktowe, co jest ważne w systemach z niskimi limitami długości.

Główna wada to niemożność zapamiętania.

Używaj fraz dla: hasła głównego menedżera; logowania do komputera; PIN-ów telefonu; szyfrowania dysku; i każdych poświadczeń, gdzie nie możesz polegać na auto-wypełnianiu.

Używaj losowych haseł dla: wszystkich kont w menedżerze; kluczy API; kont serwisowych; haseł baz danych.

Dla maksymalnego bezpieczeństwa łącz oba podejścia: silna fraza jako hasło główne i unikalne losowe hasła dla każdego konta.

Zacznij od minimum 5 słów dla kont osobistych i 6-7 dla celów o wysokiej wartości. Używaj listy EFF lub równoważnej z co najmniej 7 776 wpisami.

Rozważ dodanie jednej lub dwóch modyfikacji: wielka litera losowego słowa, cyfra między słowami lub nietypowy separator.

Nigdy nie wybieraj słów samodzielnie. Ludzki wybór jest silnie skrzywiony ku popularnym słowom. Zawsze używaj kostek lub generatora kryptograficznego.

Zarówno frazy hasłowe, jak i losowe hasła mogą zapewnić doskonałe bezpieczeństwo przy prawidłowym użyciu. Wybór zależy od kontekstu: frazy dla ludzkiej pamięci, losowe hasła dla zarządzania maszynowego.

Niezależnie od metody, najważniejszy czynnik to unikalność. Idealna fraza hasłowa powtórzona na trzech stronach jest znacznie mniej bezpieczna niż trzy przeciętne, ale unikalne hasła.