Co roku badacze publikują zestawienia najpopularniejszych haseł i co roku wnioski są podobne: użytkownicy wciąż wybierają kombinacje, które atakujący sprawdzają w pierwszej kolejności. Poniższy ranking opiera się na najnowszej dostępnej edycji raportu. Analizie poddano 2,5 TB danych z publicznych źródeł, obejmujących 44 kraje, w tym Polskę.
Ranking
10. 123123
Powtórzenie krótkiej sekwencji nie czyni jej bezpieczniejszą. Dla narzędzi do łamania haseł to jedna z pierwszych prób.
9. secret
Słowo, które trafia nawet do czołówki haseł służbowych, czyli tam, gdzie standardy bezpieczeństwa powinny być najwyższe.
8. 12345
Klasyk, który od dekad nie traci popularności. Łatwy do zapamiętania, jeszcze łatwiejszy do złamania.
7. 111111
Sześć identycznych znaków to minimum wysiłku i maksimum podatności na atak.
6. qwerty1
Pierwszy rząd liter na klawiaturze z dopisaną cyfrą. Taki wzorzec jest dobrze znany słownikom ataków.
5. qwerty123
Wariant poprzedniego hasła, równie przewidywalny. Dodanie kilku cyfr na końcu niczego nie zmienia.
4. password
Najbardziej oczywiste hasło w historii, które mimo upływu lat wciąż pojawia się w każdym zestawieniu.
3. 12345678
Spełnia wymóg ośmiu znaków i na tym jego zalety się kończą.
2. 123456789
Stały bywalec podium, w zestawieniu zarówno haseł prywatnych, jak i służbowych.
1. 123456
Bezkonkurencyjny lider. Według NordPass używa go ponad 3 mln kont osobistych i blisko 1,3 mln kont służbowych na całym świecie. Złamanie go zajmuje mniej niż sekundę.
Nagroda specjalna: „4“ od eMudhra
Poza oficjalną klasyfikacją mamy w tym roku zgłoszenie, którego nie powstydziłby się żaden użytkownik hasła „123456“. Jak opisał Ars Technica, tajnym kluczem jednego z certyfikatów indyjskiej firmy certyfikującej eMudhra była po prostu liczba 4. Pozostałe siedem kluczy było niewiele większych: miały od 3 do 8 bitów, podczas gdy standardowy klucz tego typu liczy około 384 bitów. Badacz Scott Helme odzyskał wszystkie osiem na zwykłym laptopie w czasie krótszym niż sekunda.
Przyczyną był według wyjaśnień firmy błąd w skrypcie generującym klucze, a nie zamierzone działanie. Przeglądarki i platformy, takie jak Chrome, Firefox, Safari czy systemy Microsoftu, przestały ufać tym certyfikatom, ale część narzędzi i urządzeń nadal może je akceptować. Morał jest prosty: nawet dostawcy zabezpieczeń potrafią wybrać „hasło“ gorsze niż „123456“. Jeśli „4“ znalazłoby się w rankingu, zajęłoby miejsce bezdyskusyjnie ostatnie pod względem bezpieczeństwa.
Jak tworzyć bezpieczne hasła
Wybieraj długość, nie ozdobniki. Hasło powinno mieć co najmniej 12 znaków. Dobrym rozwiązaniem są frazy składające się z kilku losowych słów. Używaj unikalnych haseł. Każdy serwis powinien mieć własne hasło, by wyciek z jednego nie otwierał dostępu do pozostałych kont.
Skorzystaj z menedżera haseł. Wygeneruje i zapamięta hasła, których nie sposób odgadnąć, a Ty zapamiętasz tylko jedno hasło główne. Włącz uwierzytelnianie dwuskładnikowe (MevaSearch również je oferuje). Nawet przejęte hasło nie wystarczy atakującemu. Rozważ klucze dostępu (passkeys) lub klucz sprzętowy. Eliminują problem słabych haseł u źródła.
Podsumowanie
Rankingi najgorszych haseł powtarzają się, bo zachowania użytkowników zmieniają się powoli. Wystarczy kilka minut, by to zmienić: sprawdź, czy któreś z Twoich haseł przypomina te z listy, i zastąp je unikalnym, długim i najlepiej wygenerowanym przez menedżer haseł.
W MevaSearch dbamy o Twoją prywatność, ale hasło musisz wybrać sam. Wybierz mądrzej niż eMudhra.
Źródła:
- NordPass
- NordStellar
- Dziennikarze serwisu Onet
- Futurebeat.pl
- Ars Technica
- BleepingComputer
