O parolă lungă și banală rezistă mai bine unui atac decât una scurtă încărcată de simboluri. Iar o parolă folosită pe un singur cont valorează mai mult decât cea mai ingenioasă combinație pusă pe zece conturi deodată.
Lungimea contează mai mult decât simbolurile
Programele de spargere încearcă miliarde de combinații pe secundă. Fiecare caracter adăugat înmulțește numărul de variante posibile, așa că o parolă de 16 caractere cere incomparabil mai mult efort decât una de 8, chiar dacă cea scurtă conține majuscule, cifre și semne.
Trucurile cunoscute nu păcălesc pe nimeni. Înlocuirea lui „a” cu „@” sau adăugarea unui „1” la final se află de mult în dicționarele atacatorilor. O parolă de tipul „P@rola123!” arată complexă, dar este printre primele încercate.
Soluția mai bună este o frază-parolă: patru-cinci cuvinte fără legătură între ele, puse una după alta. Se memorează ușor și are lungimea care face diferența. Nu trebuie să fie un citat, un proverb sau un vers cunoscut.
Reutilizarea parolei este riscul principal
Parolele nu se sparg de obicei una câte una. Se scurg în bloc, când un serviciu este compromis, iar listele de adrese de e-mail și parole circulă apoi printre atacatori. Aceștia le testează automat pe alte site-uri, tehnică numită credential stuffing, adică folosirea în masă a datelor furate.
Dacă aceeași parolă protejează un magazin online mărunt și poșta electronică, o breșă la magazin deschide și poșta. De la poștă se resetează apoi parolele tuturor celorlalte conturi. Din acest motiv, e-mailul și contul bancar merită cele mai bune parole și protecție suplimentară.
Se poate verifica dacă o adresă de e-mail a apărut în scurgeri de date pe site-ul Have I Been Pwned, un serviciu public și gratuit. Dacă apare, parolele asociate trebuie schimbate imediat, începând cu cele reutilizate.
Ce face un manager de parole
Un manager de parole este un seif digital. Păstrează toate datele de autentificare criptate, adică transformate într-o formă ilizibilă fără cheie, și se deschide cu o singură parolă principală. Aplicația generează parole lungi și aleatorii, le completează automat și le sincronizează între telefon și calculator.
Avantajul decisiv este unicitatea. Fiecare cont primește o parolă proprie, pe care utilizatorul nu trebuie să o știe pe de rost. Dacă un site este spart, restul conturilor rămân neatinse.
Completarea automată aduce o protecție în plus. Managerul oferă parola doar pe adresa exactă a site-ului salvat, deci o pagină falsă, făcută să semene cu banca, nu primește nimic. Un om grăbit dă parola pe pagina falsă; aplicația nu o dă.
Pașii de bază pentru configurare
Configurarea durează o după-amiază și nu cere cunoștințe tehnice. Ordinea contează:
- Alegerea aplicației. Există soluții dedicate, unele cu variantă gratuită, și managere integrate în browser sau în telefon. Contează reputația furnizorului, criptarea locală și posibilitatea de a exporta datele.
- Parola principală. Se creează o frază-parolă lungă, folosită nicăieri altundeva. Aceasta este singura parolă care trebuie memorată.
- Autentificarea în doi pași. Se activează pe contul managerului și pe e-mail, de preferință cu o aplicație de coduri sau cu o cheie fizică, nu prin mesaj text.
- Importul parolelor vechi. Managerul poate prelua parolele salvate în browser. După import, acestea se șterg din browser, ca să nu rămână două locuri de stocare.
- Schimbarea treptată. Se începe cu e-mailul, banca, rețelele sociale și magazinele cu card salvat. Restul se schimbă pe măsură ce apar la autentificare.
Ce se întâmplă dacă se pierde parola principală
Majoritatea managerilor serioși nu pot recupera parola principală, tocmai pentru că nu o cunosc. Aplicațiile oferă de regulă un cod de recuperare, generat la creare. Se tipărește sau se notează de mână și se păstrează acasă, într-un loc sigur, separat de dispozitive.
Aceeași grijă se aplică codurilor de rezervă ale autentificării în doi pași. Fără ele, un telefon pierdut poate însemna un cont blocat.
Cât de sigur este, de fapt, un manager
Niciun sistem nu este perfect, iar managerii de parole au fost și ei ținta unor atacuri. Datele stocate rămân însă criptate, deci fără parola principală sunt inutilizabile. Riscul rezidual este mult mai mic decât cel al parolelor reutilizate sau al unui caiet lăsat la vedere.
Criteriul practic de decizie este simplu: dacă o parolă nu poate fi memorată fără să fie reutilizată, ea aparține managerului. Memoria rămâne pentru o singură frază, cea care deschide seiful.
