V dnešní digitálně propojené společnosti jsou naše osobní údaje cenným zbožím, které bývá často zneužíváno pro nekalé účely. Nezbytnou součástí jejich ochrany je proto tvorba silných hesel, kterou však uživatelé na internetu stále podceňují.

O rizicích, kterým uživatel na internetu čelí a která během pandemie vzhledem k rozšíření možností práce z domova přibývají, jsem psal již v dubnu. Vždy se ale vyplatí připomenout dobrou praxi pro tvorbu silných hesel. Už několik let po sobě je totiž stále nejpoužívanějším heslem 123456, za kterým následují další fráze a číselné kombinace, které je možné snadno uhodnout nebo prolomit.

Na potřebu silného heslo přitom poukazují časté zprávy o rozsáhlých únicích uživatelských databází nebo zneužívání účtů nic netušících uživatelů. Pro připomenutí třeba mohutný únik hesel k neuvěřitelným 773 milionům e-mailů po celém světě z roku 2019. V Česku můžeme vzpomenout na případ úniku hesel, e-mailových adres a telefonních čísel internetového obchodu Mall.cz v roce 2017 nebo zneužití zákaznických účtů na Alza.cz v roce 2018.

V bezpečí samozřejmě nejsou ani osobnosti a celebrity, politici nebo podnikatelé. V létě proběhl nečekaný útok na twitterové účty mnoha veřejně známých osob i korporací z technologické sféry. Mezi napadenými byli Elon Musk, Bill Gates, Jeff Bezos nebo firemní profily Apple a Uber. O pozdvižení se postaral i Donald Trump. Ten nejprve jakoukoliv možnost hacknutí zlehčoval, aby byl následně jeho twitterový účet převzat nizozemským hackerem. Americký prezident totiž nepoužíval dvoufázové ověření a jeho heslo bylo maga2020 (tedy jasný odkaz na slogan jeho volební kampaně a rok obhajoby).

Pro dostatečné zabezpečení přístupových hesel se proto vyplatí postupovat dle následujících zásad:

1) Originální a dlouhé heslo

Vytvořit unikátní frázi, kterou si uživatel lehce zapamatuje, je ve své podstatě jednoduché. Tím spíše pro českého uživatele, který může libovolně kombinovat tvary slov s diakritikou nebo bez ní. Není dobré přitom volit předměty, místa a osoby, ke kterým má člověk osobní vztah, nebo vazbu souvisejicí s danou službou. Tím se totiž zjednodušuje práce případným útočníkům. Zároveň je potřeba dbát na dostatečnou délku hesla. Hesla o délce 12–15 znaků se speciálními znaky jsou proto doporučeným způsobem, jak se bránit proti nejčastějším typům hackerských útoků. Na internetu je možné nalézt řadu návodu, jak by se mělo k tvorbě hesla přistupovat (například od poskytovatelů antivirových programů Avast a ESET.

2) Použití generátoru hesel

Vymýšlení silných hesel může být vzhledem k počtu online služeb únavné. Často se tak stává, že uživatel volí stále jednodušší a jednodušší hesla, protože se tím nechce nechat zdržovat. Generátory náhodných hesel mohou tuto činnost usnadnit a zároveň zajistit, že je každé heslo skutečně originální. Je dobré nastavit generátor tak, aby obsahoval aspoň jedno malé i velké písmeno a číslo. Heslo také musí být dostatečně dlouhé.

3) Různá hesla pro různé služby

Důležitým prvkem osobní bezpečnosti na internetu je nepoužívat stejná hesla na více místech. Platí to zejména pro hesla ke službám a aplikacím, kde se shromažďují i další citlivé osobní údaje (tedy například internetové bankovnictví, primární osobní a pracovní mailové schránky, profily na sociálních sítích, účty na e-shopech, přístupy pro elektronický kontakt se státem a další). V případě kompromitace jednoho hesla nesmí dojít ke kompromitaci všech účtů uživatele.

4) Použití správce hesel

Vzhledem k množství nejrůznějších účtů a služeb, které dnes průměrný uživatel běžně využívá, může být tvorba a hlavně následné zapamatování si hesel dost náročným úkolem. Pro usnadnění je možné používat správce hesel, kterých je na trhu celá řada. Programy pro správu hesel také disponují dalšími funkcemi, jako je zasílání bezpečnostních upozornění. Tady doporuřuji nastavit velmi silné heslo, protože jinak stačí prolomit pouze správce hesel a útočník můžeš mít přístup ke všem dostupným heslům.

5) Vícefázové ověření

Kromě hesla je důležité své účty chránit i dalšími přidanými bezpečnostními prvky. Rozšířené a oblíbené zasílání autentifikačních SMS ale není zcela nejbezpečnějším způsobem. Ochranu důležitých přístupů a služeb je proto dobré posílit i jinými bezpečnostními mechanismy, pokud je to možné. Používání technologií jako Authy nebo šifrovaného hardwarového klíče Yubikey výrazně přispívá k silnější ochraně dat uživatele.

6) Pravidelná změna hesel

I při dodržování veškerých zásad se může stát, že heslo unikne na internet (zpravidla v rámci rozsáhlejších útoků na databáze poskytovatelů služeb). Pravidelná změna hesla je tak jednoduchým krokem, kterým se dá předejít nepříjemným situacím v budoucnosti. Je k tomu opět dobré využít náhodný generátor, aby útočník nepřišel na způsoby a pravidla, jakými hesla vytváříte. Na webové stránce Have I been pwned je také vhodné čas od času zkontrolovat, jestli u některého z používaných účtů nedošlo k úniku přístupových údajů.

7) Bezpečné připojení a zařízení

Veškerá snaha o dostatečné zabezpeční hesel je samozřejmě marná, pokud se přihlásíte na nedůvěryhodném zařízení nebo nezabezpečené síti. Vždy si proto dávejte pozor, kde a jak svá hesla zadáváte. Například přihlašovat se do internetového bankovnictví na veřejné WiFi síti se může šeredně vymstít. Rozhodně se také nedoporučuje chodit na stránky bez https (zelený zámeček před www adresou), protože pak vaše přihlašovací hesla mohou bez potíží kolovat po internetu jako prostý text.