Mit jelent valójában az erős jelszó

Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 9 perc

Tanulási cél: E lecke után el tudja magyarázni, miért fontosabb a hossz és az egyediség a furcsa karaktereknél, és mit mond a jelenlegi NIST-irányelv a jelszavakról.

Kulcsfogalmak: hossz, entrópia, jelmondat, szótáralapú támadás, nyers erő (brute force), újrafelhasználás, kötelező jelszócsere

Hogyan törnek fel egy jelszót

A "jelszófeltörésnél" sokan arra gondolnak, hogy valaki az Ön bejelentkezési oldalán próbálgatja a kombinációkat. Ez is előfordul, de nem ez a legnagyobb veszély. Egy jól beállított bejelentkezési oldal bizonyos számú hibás próbálkozás után lelassítja vagy ideiglenesen blokkolja a folyamatot. A bejárati ajtón keresztüli próbálgatás tehát lassú.

Veszélyesebb az offline feltörés. Egy weboldal (ha jól van beállítva) nem magát a jelszót tárolja, hanem egy úgynevezett hash-t: egyfajta ujjlenyomatot, amelyből a jelszó közvetlenül nem számítható vissza. Ha egy webáruház adatbázisa kiszivárog, a támadó megszerzi ezeket az ujjlenyomatokat, és a saját gépein dolgozhat velük. Itt nincs lassítás: annyi jelszót próbál ki, amennyit a berendezése bír, és minden eredményt összehasonlít a kiszivárgott ujjlenyomattal.

Ehhez két módszert használ:

• Szótáralapú támadás: először mindazt kipróbálja, amit az emberek gyakran választanak. Korábbi adatszivárgásokból származó, millió valódi jelszót tartalmazó listák, szótári szavak, nevek, helységnevek, évszámok. Mindehhez rögzített szabályokkal: nagybetű az elején, évszám a végén, felkiáltójel a legvégén, az a helyett @, az o helyett 0.
• Nyers erő (brute force): ezután az összes lehetséges karakterkombinációt kipróbálja, a rövidebbektől a hosszabbak felé haladva.

Egy olyan jelszó, mint a Zomer2026!, erősnek tűnik: nagybetű, számok, írásjel, tíz karakter. Pontosan ez a minta szerepel azonban ezekben a szabályokban: egy szó, egy évszám, egy jel. Egy ilyen jelszó már az első körben elbukik, jóval azelőtt, hogy a nyers erő módszer elindulna.

A hossz legyőzi a furcsa karaktereket

Egy jelszó erőssége attól függ, hány lehetőséget kell a támadónak kipróbálnia. Ezt a számot így számíthatjuk ki: a lehetséges karakterek száma a hosszadik hatványon.

Egy hagyományos billentyűzeten 95 begépelhető karakter található (nagy és kis betűk, számok, írásjelek és a szóköz). Egy 8 karakteres, véletlenszerűen választott jelszónak így 95 a 8. hatványon lehetősége van: körülbelül 6,63 × 10^15. Ez soknak tűnik, de gyors berendezéssel és gyenge tárolási móddal napok alatt végigpróbálható.

Minden további karakter 95-tel szorozza meg a lehetőségek számát. Egy újabb karaktertípus (például írásjelek hozzáadása a csupán betűkből álló jelszóhoz) csak kismértékben növeli az alapot. Ezért a hossz sokkal többet ér, mint a bonyolultság.

Ez az utolsó oszlop az entrópia: annak mértéke, mennyire kiszámíthatatlan valami, bitben kifejezve. Hétköznapi nyelven: minden további bit megduplázza a támadó munkáját. Egy 65 bites jelszó tehát nem egy kicsivel, hanem körülbelül 4000-szer több munkát igényel, mint egy 53 bites.

Fontos: ezek a számok csak akkor érvényesek, ha a jelszót valóban véletlenszerűen választották. Egy jelszó, amit Ön maga talál ki, szinte soha nem véletlenszerű. A Bakkerij2026! tizenhárom karakterből áll, de a mintázata alapján minden feltörési listán szerepel.

A jelmondat

A jelmondat egy olyan jelszó, amely több különálló szóból áll, például ötből vagy hatból. Előnye: hosszú, mégis megjegyezhető és begépelhető. A holland NCSC azt ajánlja, hogy négy és hat szó között válasszon olyan szavakat, amelyeknek semmi közük egymáshoz, és kimondja, hogy egy hosszú, csak kisbetűkből álló mondat biztonságosabb, mint egy rövid, mindenféle karaktert tartalmazó jelszó.

Egy jelmondat csak akkor erős, ha a szavakat véletlenszerűen választották ki:

• Jó megoldás: egy generátor (a jelszókezelőjében) vagy dobókockák egy szólistával. Az ismert, öt dobókockával dolgozó módszer egy 7776 szavas listát használ, mivel a 6 az 5. hatványon pontosan 7776. Az ilyen listák készítői a legtöbb felhasználáshoz hat szót javasolnak.
• Rossz megoldás: egy ismert mondat, egy dalszöveg, egy közmondás vagy valami Önnel kapcsolatos dolog. Az ikhouvanmijnhondbobby hosszú, de a szavak összefüggenek, és kitalálható, ha valaki ismeri Önt, vagy olvassa a közösségi médiáját.

Egy jelmondat továbbra is egy jelszó. Egyetlen helyen használja, és nem osztja meg senkivel.

Az egyediség fontosabb, mint a bonyolultság

A legerősebb jelszó sem segít, ha húsz helyen használja. Az 1.4. leckében találkozott a credential stuffing jelenséggel: egy kiszivárgott e-mail cím és jelszó párost automatikusan kipróbálnak levelezésnél, könyvelésnél, webáruházaknál és közösségi médiában. Ha a leggyengébb szolgáltatónál szivárog ki, mind a húsz fiók nyitva áll.

Az újrafelhasználás ezért a leggyakoribb gyenge pont a gyakorlatban. És "egy kicsit más változatok" sem számítanak egyedinek. Az Example!Mail és az Example!Shop egy kiszivárgott jelszóval rendelkező támadó számára néhány próbálkozással kitalálható.

A megoldás nem a fejben tartás, hanem a tárolás: egy jelszókezelő minden szolgáltatáshoz hosszú, véletlenszerű jelszót készít, és megjegyzi Ön helyett. Erről szól a 2.2. lecke. Ekkor már csak néhány dolgot kell megjegyeznie: a jelszókezelő mesterjelszavát, és esetleg a számítógépe jelszavát.

Mit mond a NIST-irányelv

Az amerikai NIST (National Institute of Standards and Technology) adja ki a bejelentkezésre vonatkozó legismertebb irányelvet: az SP 800-63B-t. A negyedik verzió 2025. július 31-én vált véglegessé. Számos szervezet követi világszerte. A jelszavakra vonatkozó legfontosabb pontok:

• Ha a jelszó az egyetlen bejelentkezési módszer, akkor legalább 15 karakter szükséges. Ha a kétlépcsős azonosítás részeként használják, akkor legalább 8.
• Egy szolgáltatásnak legalább 64 karakter hosszú jelszavakat is lehetővé kell tennie.
• Nincs összetételi szabály: egy szolgáltatás nem írhatja elő, hogy "legalább egy nagybetű, egy szám és egy írásjel" szerepeljen.
• Ne írjon elő rendszeres cserét. Csak akkor kell cserélni, ha van jele annak, hogy a jelszó kiszivárgott.
• Az új jelszavakat egy gyakran használt és kiszivárgott jelszavakat tartalmazó listával kell összevetni.
• A beillesztés és a jelszókezelők használata legyen engedélyezett.
• Ne legyenek biztonsági kérdések ("első háziállatának a neve") és jelszósúgók.

Miért nem javasolják már a kötelező jelszócserét

Évekig az volt a gyakorlat, hogy a munkahelyén háromhavonta új jelszót kellett választania. Az ötlet mögött az állt, hogy egy ellopott jelszó így csak rövid ideig működik. A gyakorlatban azonban ez történik: a Zomer2026!-ból Herfst2026! lesz, majd Winter2026!. Egy támadó, aki ismeri a régi jelszót, néhány próbálkozással kitalálja az újat. És aki folyamatosan új jelszót kénytelen kitalálni, rövidebbeket választ, és felírja egy cetlire.

A kötelező jelszócsere tehát kiszámíthatóbbá teszi a jelszavakat. Azonnal cserélni azonban érdemes, ha van rá ok: egy adatszivárgásról szóló értesítés, egy gyanús bejelentkezés, egy távozó kolléga, aki ismerte a jelszót, vagy ha véletlenül valahol beírta azt.

A gyakorlatban: egy A4-es lapnyi jelszópolitika

Egy olyan kisvállalkozásnak, mint a Example Pékség, egy rövid szabályzat is elegendő:

1. Minden fióknak saját, személyes jelszava van. Nincs megosztott bejelentkezés az info@example.com címhez, amelynek jelszavát öt ember ismeri.
2. A jelszavakat a jelszókezelő hozza létre: véletlenszerű, legalább 15 karakteres, vagy egy legalább öt véletlenszerű szóból álló jelmondat, amelyet be kell gépelni.
3. Soha ne használja ugyanazt a jelszót két helyen.
4. Kétlépcsős azonosítás bekapcsolva a levelezésen, a könyvelésen, a banknál, a tárhelynél és a domainregisztrációnál (2.3. lecke).
5. Csere csak indokolt esetben, de akkor azonnal.
6. A jelszavakat soha ne küldje e-mailben, chatben, és ne írja fel cetlire a képernyő mellé.

A tárhelykezelő felülete is ezt a logikát követi. A WebOké környezetben például a DA-jelszónál és a postafiókoknál is kérhet véletlenszerűen generált jelszót; más felületeken ezt a gombot gyakran "Genereer" vagy "Generate" néven találja. Egy ilyen generátorral mindig legalább 15 karaktert készíttessen; gyakran a hosszt is szabadon megválaszthatja.

Összefoglalás

• A támadók elsősorban offline törnek fel jelszavakat, egy adatszivárgás után, listák és szabályok segítségével. A kiszámítható minták azonnal elbuknak.
• A hossz és a valódi véletlenszerűség sokkal többet ér, mint a furcsa karakterek. Minden entrópiabit megduplázza a munkát.
• Egy véletlenszerűen választott szavakból álló jelmondat hosszú, mégis megjegyezhető.
• Az egyediség fontosabb, mint a bonyolultság: az újrafelhasználás egyetlen szivárgásból húsz szivárgást csinál.
• A NIST SP 800-63B-4: legalább 15 karakter, ha ez az egyetlen tényező, nincs összetételi szabály, nincs rendszeres csere, viszont összevetés a kiszivárgott jelszavak listájával.

Kvíz

Feladat

A2.1 feladat: Számolás és értékelés. Sehol sem kell saját jelszót megadnia. 1. rész: számolja ki, hány lehetősége van egy jelmondatnak és egy véletlenszerű jelszónak (megkapja a szavak és karakterek számát), melyik a kettő közül erősebb, és hányszor. 2. rész: értékeljen hat kitalált példajelszót: kiszámítható, túl rövid, újrafelhasznált vagy erős. A program ellenőrzi, és minden válaszhoz magyarázatot ad.

További olvasnivaló

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Hogyan módosíthatom az e-mail-címem jelszavát vagy korlátait?
• A holland NCSC, Tippek erős jelszó kitalálásához: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• A holland NCSC, Négy lépés a biztonságosabb jelszavakhoz: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (angol nyelven): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (angol nyelven, a dobókockás szólista): https://www.eff.org/dice