Képzeld el a helyzetet: elmész egy üzleti útra, felnyitsz egy idegen laptopot, bepötyögöd az e-mail címedet – és rájössz, hogy fogalmad sincs a jelszavadról. A jelszókezelőd a telefonodon van, de az már egy órája lemerült. A megbeszélés pedig húsz perc múlva kezdődik. Pánik.
Ismerős? A legtöbben jártunk már hasonló cipőben. Éveken át ugyanis arra tanítottak minket, hogy megjegyezhetetlen jelszavakat hozzunk létre – és ezt nevezték „biztonságnak”.
Nézzük meg, mi az, ami valójában megvédi a fiókodat, és mi az, ami csupán a biztonság illúzióját kelti.
Miért nem is olyan bonyolult a „bonyolult” jelszó?
Gyakori tévhit, hogy ha egy jelszó tartalmaz nagybetűket, számokat és egy felkiáltójelet, akkor az már biztosan áttörhetetlen. Ez egyáltalán nincs így.
A hackerek programjai ugyanis nem találgatják a jelszavakat, hanem szisztematikusan végigpörgetik az összes lehetséges kombinációt. Egy korszerű, középkategóriás videokártya másodpercenként több milliárd variációt képes leellenőrizni. Egy nyolckarakteres jelszót – még ha ránézésre trükkösnek tűnik is – mindössze néhány óra alatt fel lehet törni.
Karaktercserékkel trükköznél, mint például a „p@ssw0rd” a „password” helyett? A jelszótörő szótárak már ősidők óta tartalmazzák ezeket a mintákat. A program nem butább nálad – csak éppen milliószor gyorsabban dolgozik.
A kutyád vagy macskád neve a születési éveddel kiegészítve? Három másodperc alatt kideríthető, ha a közösségi profiljaid akár csak egy kicsit is nyilvánosak.
Az egyetlen dolog, ami valódi védelmet nyújt, az a hosszúság. Minden egyes plusz karakter exponenciálisan megsokszorozza a lehetséges kombinációk számát. Egy 15 karakteres jelszó kitalálása próbálkozásos (brute force) módszerrel évezredekig tartana. Még akkor is, ha teljesen egyszerű, hétköznapi szavakból áll.
És itt jön a képbe egy fontos részlet, amire sokan nem gondolnak: még a leghosszabb és legbonyolultabb jelszó is fabatkát sem ér, ha te magad adod ki. Például egy adathalász weboldalon, egy hamis bejelentkezési űrlapon, vagy egy Messengeren kapott gyanús linken keresztül. Az emberek az esetek többségében nem a gyenge jelszavak, hanem egyetlen figyelmetlen másodperc miatt veszítik el a fiókjukat. A védelem tehát nemcsak a jelszó hosszán múlik, hanem azon is, hogy hová pötyögöd be azt.
A jelmondat módszer: hosszú, egyszerű és feltörhetetlen
Képzeld el, hogy a !K8&gT#2 helyett mondjuk ezt a jelszót használod:
Papucsos víziló teát iszik a zsiráffal
Ez pontosan 38 karakter. Egy értelmes, vicces kifejezés, amit nagyon könnyű vizuálisan is elképzelni. Egy átlagos hackernek egy ilyen jelszó feltörése nem órákba, hanem szó szerint évezredekbe telne.
A módszer neve passphrase, vagyis jelmondat. Bruce Schneier kriptográfus népszerűsítette még a 2000-es évek elején, de az átlagfelhasználók nagy része a mai napig nem él vele.
Hogyan válassz jó jelmondatot?
Találj ki valami abszurd és személyes dolgot. Ne olyat, hogy „szeretem a macskákat” – ez túl sablonos. Inkább idézz fel egy konkrét, vicces pillanatot az életedből: „Viktor bácsi leejtette a tortát Léna esküvőjén”. Ezt a történetet csak te ismered. Lehetetlen megtalálni az adatbázisokban, számodra mégis bármikor könnyen felidézhető.
Ha egy weboldal kötelezően számokat vagy speciális karaktereket kér, egyszerűen egészítsd ki a mondatot a saját szabályod szerint. Például tegyél egy felkiáltójelet a végére, és cserélj le egyetlen szót egy számra: „Viktor bácsi leejtett 1 tortát Léna esküvőjén!”. A legfontosabb, hogy ez a belső szabály a fejedben mindig egységes legyen, így nem kell külön megjegyezned, mikor mit használtál.
Ha pedig a rendszer nem enged szóközöket, cseréld őket kötőjelre, vagy egyszerűen írd egybe a szavakat: Viktor-bácsi-leejtette-a-tortát.
A kezdőbetűs módszer: amikor a jelszó hossza korlátozott
Néhány webhely – érthetetlen okokból – még ma is legfeljebb 12–16 karakterre korlátozza a jelszavak hosszát. Egy hosszú jelmondatot ide esélytelen beírni, ezért ilyenkor érdemes egy másik megközelítést alkalmazni.
Vegyél egy mondatot, amire biztosan emlékezni fogsz. A legjobb, ha tartalmaz egy számot és valamilyen erős érzelmet is:
„Nyáron, 2019-ben én ugrottam először ejtőernyővel, és nem haltam meg!”
Most egyszerűen csak írd le az egyes szavak kezdőbetűit:
Ny2019béueénhm!
Az eredmény 15 karakter, ami egy teljesen véletlenszerű, értelmetlen karaktersornak tűnik – te viszont a mondat felidézésével könnyedén vissza tudsz emlékezni rá. Ha még egy speciális karaktert is teszel a végére, a jelszó szinte áttörhetetlenné válik a nyers erőn alapuló (brute force) támadásokkal szemben.
Fontos: minél hosszabb a kiinduló mondat, annál jobb. Az „Ép testben ép lélek” csupán az „Étéle” karaktereket adná ki, ami vészesen rövid és gyenge jelszó. A cél a legalább 12–15 karakter.
Egyetlen alapjelszó minden weboldalhoz: kockázatos, de lehet okosan is csinálni
Egy ideális világban minden egyes szolgáltatáshoz teljesen egyedi jelszót használnánk. A valóságban azonban a legtöbben ezt lustaságból vagy kényelmi szempontok miatt nem teszik meg.
Létezik azonban egy köztes, „élhetőbb” megoldás: egyetlen, atombiztos alapjelszó, kiegészítve egy egyedi toldalékkal minden egyes weboldalhoz.
Tegyük fel, hogy a bázis jelszavad a következő: PiroskaSzeretiAPitet
Ezután a különböző szolgáltatásokhoz már csak egy rövid, egyértelmű azonosítót kell hozzátoldanod:
- Google fiók: PiroskaSzeretiAPitet-goo
- Facebook/Instagram: PiroskaSzeretiAPitet-social
- Munkahelyi belépés: PiroskaSzeretiAPitet-work
A módszer Achilles-sarka: ha egy hacker egy adatbázis-szivárgás során megszerzi az egyik jelszavadat, és rájön a logikádra, azonnal ki fogja próbálni a többi kézenfekvő toldalékot is. Hogy ezt megnehezítsd, ne a végére, hanem valahová a közepébe szúrd be az egyedi azonosítót: PiroskaSzereti-goo-APitet. Így a minta máris sokkal kevésbé lesz szembetűnő.
Ez a módszer sem bolondbiztos, de az átlagfelhasználók többségének már bőségesen elegendő védelmet nyújt az automatizált, tömeges támadások ellen.
Jelszókezelő alkalmazások: ha az eddigiek túl bonyolultnak tűnnek
Ha a mondatok és kódok fejben tartása nem a te világod, egyszerűen használj egy jelszókezelő (password manager) alkalmazást. Ezek a programok az összes jelszavadat katonai szintű titkosítással tárolják, neked pedig mindössze egyetlen, bitangerős mesterjelszót kell észben tartanod hozzájuk.
Bitwarden – a legtöbb ember számára ez a legjobb választás. Teljesen ingyenes, nyílt forráskódú, és zökkenőmentesen működik szinte minden platformon és böngészőben. Az adataidat a felhőben tárolja, de olyan erős titkosítással (zero-knowledge), hogy még maguk a fejlesztők sem lennének képesek hozzáférni a jelszavaidhoz.
KeePass – a paranoiásabb felhasználóknak, akik egyáltalán nem bíznak a felhőszolgáltatásokban. A jelszóadatbázist helyileg, a te gépeden, egy titkosított fájlban tárolja. Legnagyobb hátránya: ha a fájl a laptoppal együtt elvész (és nincs róla biztonsági mentésed), a jelszavaidnak is örökre búcsút inthetsz.
Apple Keychain (iCloud-kulcskarika) – ha az Apple zárt ökoszisztémájában éled az életed, és nem is tervezel kilépni belőle. Lopakodóan, a háttérben, zökkenőmentesen működik, és szinte semmilyen külön beállítást nem igényel.
Google Jelszókezelő – pokolian kényelmes, ha amúgy is Chrome-ot és Androidot használsz. Cserébe viszont el kell fogadnod, hogy a teljes digitális életed kulcsait egyetlen gigavállalat kezébe adod.
A jelszókezelők legfőbb kockázata természetesen az, hogy minden tojásodat egyetlen kosárba teszed. Éppen ezért a mesterjelszónak szó szerint feltörhetetlennek kell lennie. Ehhez érdemes a cikkben feljebb ismertetett jelmondat-módszert alkalmazni.
Kétlépcsős azonosítás (2FA): a kötelező életbiztosítás bármilyen jelszó mellé
Sajnos az az igazság, hogy még a legtökéletesebb jelszót is el lehet lopni egy profi adathalász trükkel, egy sunyi billentyűzetfigyelő trójaival (keylogger), vagy egy tömeges adatbázis-szivárgással. A jelszó csupán az első védelmi vonalat jelenti.
A második – és egyben legfontosabb – védelmi vonalat a kétlépcsős azonosítás (2FA) adja. Ennek lényege, hogy a jelszó helyes megadása után a rendszer egy második módszerrel is megerősítést kér a belépéshez: például egy hitelesítő alkalmazásból származó kóddal, egy telefonos felugró (push) értesítéssel, vagy – rosszabb esetben – SMS-ben.
Így még ha a támadó száz százalékig ismeri is a jelszavadat, a telefonod (a második lépcső) fizikai birtoklása nélkül esélye sincs belépni a fiókodba.
Ajánlott kódgeneráló alkalmazások: Aegis Authenticator (Androidra, ingyenes, biztonsági mentési lehetőséggel), illetve a klasszikus Google Authenticator.
Fontos tudni: az SMS-ben érkező azonosító kódok a mobilhálózatok ismert sebezhetőségei (pl. SIM-cserés támadások) miatt ma már a legkevésbé biztonságos megoldásnak számítanak, de természetesen még ez is mérföldekkel jobb a semminél.
Ahol csak lehet, azonnal kapcsold be a kétlépcsős azonosítást! Különösen az elsődleges e-mail címednél, a közösségi oldalaidon és persze a banki fiókjaidnál. Mindössze két percet vesz igénybe a beállítása, és garantáltan kivédi az internetes fenyegetések túlnyomó részét.
Végül: a legnagyobb öngólok, amiket soha ne kövess el
Ne használd ugyanazt a jelszót minden webhelyen. Egy apróbb, sebezhető fórumból származó adatszivárgás révén a hackerek azonnal hozzáférést kaphatnak az e-mailedhez és – rosszabb esetben – a pénzügyeidhez is.
Ne tárold a jelszavaidat nyílt szövegként a telefonod Jegyzetek alkalmazásában. Ha a készüléked illetéktelen kezekbe kerül, onnantól a teljes életed nyitott könyv lesz számukra.
Ne adj valós válaszokat a biztonsági kérdésekre! A „Mi volt az első kutyád neve?” vagy „Melyik városban születtél?” típusú kérdésekre egy kis Facebook-kutatással bárki megtalálhatja a választ. Adj meg valami teljesen értelmetlen, oda nem illő szót: például „KeddTeknős”. A rendszer nem tudja (és nem is akarja) leellenőrizni a valóságtartalmat, a hackerek számára viszont kitalálhatatlan lesz.
Kerüld el messziről, hogy idegen számítógépeken (pl. internetkávézó, szállodai gép) pötyögöd be a legfontosabb jelszavaidat. Ha mégis elkerülhetetlen volt a dolog, amint biztonságos gépre kerülsz, haladéktalanul változtasd meg azt a jelszót!
Összegzés: a 30 perces biztonsági gyorstalpalód mára
Egyik ismerősöm három éven át használta mindenhol ugyanazt a klasszikus jelszót: a lánya nevét és a születési évét. 2023-ban aztán feltörtek egy gyengén védett webáruházat, ahová korábban regisztrált. Két nappal később a Gmail-fiókjából már adathalász leveleket küldözgettek az összes ismerősének, a Facebook-fiókját pedig végleg ellopták. A károk helyreállítása két hétnyi tömény idegeskedésbe és az ügyfélszolgálatokkal való végtelen, reménytelen levelezésbe került.
Ezek után viszont rászánt egyetlen estét a dologra: kitalálta „A narancssárga elefánt polkát táncol pénteken” jelmondatot, bekapcsolta a kétlépcsős azonosítást az e-mailjeinél, és feltelepítette a Bitwardent. Azóta a legkisebb biztonsági problémája sem akadt.
Íme tehát a „házi feladat”, amit érdemes még ma elvégezned:
Találj ki egy abszurd, 5-6 szóból álló mondatot – akár most rögtön, e cikk olvasása közben. Írd le egy cetlire, és tedd el biztonságos helyre. Telepítsd a Bitwardent, vagy legalább kezdd el használni a böngésződ beépített jelszókezelőjét. Végül (és ez a legfontosabb lépés mind közül): azonnal aktiváld a kétlépcsős azonosítást (2FA) az elsődleges e-mail-fiókodban.
Az egész mindössze fél órát vesz igénybe. És ha ezt az egyetlen alkalmat rászánod, máris védettebb leszel az internetezők 90%-ánál, akik a mai napig a jó öreg „qwerty123” kombóval élnek, és kizárólag a vakszerencsében bíznak.
Hidd el, a NarancssárgaElefántPolkátTáncol jelmondat milliószor megbízhatóbb, mint egy megjegyezhetetlen !Xk9@mT2 karaktersorozat. És ami a legjobb: már első olvasásra meg is jegyezted – ugye?
