Title: Bezpečné hesloSecure password
Course: CRP-KYBER21 > Section: Modul 2: Bezpečné hesloModule 2: Secure password

Bezpečné heslo A secure password

Heslem prokazujeme svoji identitu v on-line prostředí. Je tedy stále jedním z nejdůležitějších prvků naší kyberbezpečnosti. Proto je potřeba vytvářet unikátní bezpečná hesla, nepřijít o ně a chovat se k nim tak, aby zůstala doopravdy v bezpečí. Jakmile naše hesla získá někdo další, otevírá se mu přístup do našich nejniternějších zákoutí – stává se námi. V tomto modulu se dozvíme, jak funguje základní princip bezpečnosti hesel, jak se hesla prolamují a jak si správné a silné heslo vyrobit.We use passwords to prove our identity in the online world, which makes them one of the most important elements of our cybersecurity. It is therefore required to create unique and secure passwords, not to lose them and make sure they stay safe at all times. As soon as anyone else obtains our passwords, they gain access into the most private corners of our online identity, effectively becoming us. In this module, we’re going to learn about the basic principles of secure passwords, how passwords get cracked, and how to create a proper strong password for ourselves.

Hesla: kde se vzala a kam jdou? Passwords: Where do they come from? Where are they going?

Známý příběh popisuje důležitost hesel: je jím pohádka Ali Baba a čtyřicet loupežníků. Příběh sleduje dobrodružství chudého dřevorubce Ali Baby, který odhalí tajemství nebezpečných a bohatých loupežníků. Jakmile před jeskyní čtyřiceti zlodějů vysloví zjištěnou kouzelnou frázi „Sezame, otevři se", může vstoupit dovnitř a objevit tam velké a dlouho střežené poklady. V dnešní době jsou poklady digitální povahy chráněny téměř stejným způsobem. Místo drahých drahokamů a orientálních olejů chrání hesla naše citlivá data, jako jsou čísla kreditních karet, obchodní dokumenty nebo osobní údaje. A žádného Ali Babu ve svých digitálních jeskyních rozhodně nechceme. There is an old story which nicely illustrates the importance of passwords: it is the tale of Ali Baba and the Forty Thieves. The story follows a poor woodcutter named Ali Baba, who happens to discover a secret cave full of treasure, used as a hideout by a bunch of dangerous thieves. He overhears the magic words “open sesame” open the cave, and when the opportunity arises and the thieves are gone, he enters the cave himself… In today’s day and age, the digital equivalents of such treasure tend to be protected almost the same way. Instead of expensive diamonds and gems, it’s our sensitive data like debit card numbers, business documents or personal information. And we certainly want no Ali Baba in our digital caves.

Novodobá historie hesel A modern history of passwords

Internet byl v čase jeho budování (a ještě i dlouho potom) místem bez větších omezení nebo bezpečnostních mechanismů. To ovlivnilo také zavedení používaní hesel. Když byla hesla implementována, pojem hackování neexistoval. V té době nikdo netušil, že velká část naší komunikace, práce, nakupování, osobního života či spravování financí bude probíhat online. During the time of its conception (and long after that), the Internet was a place without any major restrictions or security mechanisms. This influenced the birth of passwords: at the time of their first implementation, the concept of hacking did not exist yet. Nobody could imagine at the time that a major part of our communication, work, shopping, personal life and even finance management would take place online.

Víte, že... hesla byla prvotně používaná pouze při dělení výpočetního času na velkých sdílených sálových počítačích? Retrospektivně může být až úsměvné, že první krádež hesla provedl vědec, který chtěl jen strávit více času na sdíleném počítači. Dosáhl toho tak, že vytiskl soubor, který obsahoval všechna uživatelská jména a hesla. Poté se mohl přihlásit pomocí získaných přihlašovacích údajů za své kolegy, aby získal čas navíc na dokončení své práce.Did you know? Back in the day, one of the first uses of passwords was to fairly share the computation time of large, room-sized computers among colleagues? Looking back, it’s almost funny that the first password theft was done by a scientist who merely wanted to spend more time on a shared machine. To achieve this, they printed out a file containing all of the usernames and passwords. This allowed them to log into the computer as one of their colleagues, giving them extra time to finish their work.

Jak se internet rozrůstal a zvyšovala se potřeba soukromí, zvyšovaly se také nároky na hesla a jejich bezpečnost. Metody zpracovávání a uchovávání hesel se rychle zlepšovaly, stávaly se kryptograficky silnějšími a mnohé tehdy ustanovené principy se používají dodnes. Na druhé straně také útoky na hesla byly časem stále sofistikovanější a techničtější. As the internet grew bigger, so did the need for privacy, resulting in increased demands on passwords and their security. The methods for processing and storing passwords were improving at a rapid pace, becoming cryptographically stronger, and many of the foundations established back then still hold true today. On the other hand, attacks towards passwords started becoming more technical and sophisticated as well.

Oficiálně první masový útok na hesla byl proveden v roce 1988 prostřednictvím viru s názvem Morris Worm. Útok byl veden spíše jako experiment, který měl simulovat, co by se přinejhorším mohlo stát, kdyby podobný vir unikl. Výsledek byl velice znepokojivý: během prvních 24 hodin se infikoval každý desátý počítač. The first officially documented large-scale attack at passwords was carried out in 1988 by a virus called Morris Worm. It was originally intended more as an experiment, trying to simulate the worst case scenario of such an outbreak. The result was very concerning: as much as 10% of all online computers got infected within the first 24 hours. That time also saw the first attempts at implementing multi-factor authentication, meant mostly to be used hand-in-hand with the emerging VPN technology.

Hesla budoucnosti Passwords of the future

V dnešní době stále více platí, že zabezpečení jenom kombinací uživatelského jména a hesla, hlavně pro účty s vysokou důležitostí, nemusí stačit a vystavujeme se tak bezpečnostnímu riziku. Odborníci varují před slabinami hesel vycházející z jejich podstaty: mohou být uživateli špatně volena, tedy například krátká, lehko uhodnutelná nebo opakovaně používaná pro různé aplikace. Následně jsou hesla zranitelná vůči útokům například pomocí hrubé síly (příkladem je slovníkový útok, kdy útočník zkouší otestovat všechna známá slova a kombinace slov v konkrétním jazyce a heslo uhodnout), nebo sociálního inženýrství. Z toho důvodu trendy v zabezpečování účtů směrují k používaní vícefaktorového ověřování: tedy že k tradičnímu přihlašovaní jménem a heslem přidáváme ještě další faktor ověření – to vše si dnes ukážeme. These days, it’s true more than ever that securing an account with just a username and password may not be enough, especially for accounts of critical importance. Experts point out that the weaknesses of passwords come from their very essence. They tend to be too short, easy to guess, or re-used for multiple services. Furthermore, passwords are vulnerable to brute-force attacks (like a dictionary attack, which automatically goes through all known words in a given language and tries them, including their combinations), or various forms of social engineering. For these reasons, trends around account security are moving towards the use of multi-factor authentication: on top of your usual username and password, we’re adding an additional factor of authentication. We’ll demonstrate all of this in a few moments.

Vědci se shodují, že v jistém bodě už budou běžná hesla zastaralá. Zároveň odhadují, že metody ověřovaní směřují k technologickému vývoji v oblasti biometrie. Očekává se, že snímače otisků prstů budou součástí jakéhokoliv chytrého telefonu, stejně tak pokročilejší technologie odemykání zařízení obličejem, skenování duhovky či sítnice a velké naděje se vkládají i do neinvazivního ověřování ucha. Je taktéž možno předpokládat, že budou vznikat i zcela nové metody ověřování. Než se tak ale stane, musíme stále svoje tradiční hesla správně tvořit a opečovávat! Scientists agree that at some point, traditional passwords will become obsolete and future authentication methods will be driven by technological advancements in the field of biometrics. It is to be expected that every single smartphone will be equipped not only with a fingerprint scanner, but also with more sophisticated technology like face recognition, iris and retinal scans, and even non-invasive ear scans. It is also safe to assume that new, completely different authentication methods will emerge. Until that happens though, we still need to take proper care of our traditional passwords.

K dalšímu studiuFor next study...
Účet Microsoftu už funguje i bez hesla.You can log into your Microsoft account without using any password.

Jak vytvořit dobré heslo? How to create a good password?

Umění tvořit bezpečná (silná) hesla nespočívá ve využití desítek speciálních znaků a symbolů, ze kterých se nám motá hlava i jazyk. Revolucí v tvorbě hesel jsou takzvaná frázová hesla. O co se jedná? Frázová hesla se skládají z kombinace pro nás zapamatovatelných slov. Například “BotaTancujePolku” nebo “SprávnéŽábyNecvičí” a prolomit je by trvalo až několik milionů let. A strong and secure password does not necessarily mean dozens of special characters that make our heads spin. A significant breakthrough in this area has come in the form of passphrases. What’s it all about? A passphrase consists of a sequence of easily memorable words. For example, “TheShoe’sDancingPolka” or “RealFrogsNeverExcericse”. It might come as a surprise that given current tech, cracking such a password could take several millions of years.

Frázové heslo se může skládat z části básně, scenerie cestou do práce, vzpomínky z dětství. Cokoli, co se nám bude dobře pamatovat, bude dostatečně dlouhé, ale nikdo si to s naší osobou nespojí. Tři až čtyři slova postačí, celkově bychom ale měli použít frázové heslo delší než 12 znaků. Pokud chcete heslo dovést k dokonalosti, přidejte na náhodná místa zástupné znaky (mezera, čísla, interpunkce, symboly) například “trhat.fialky.B00M.dynamitem”. A passphrase could be anything: a part of a poem, the scenery on the way to work, a childhood memory… Anything that’s easy to remember, yet it’s long enough and nobody would associate it with us. Three to four words usually suffice, but the overall length should be at least 12 characters. If you want to perfect your passphrase, spice it up with replacement characters here and there (spaces, punctuation, numbers, special characters), for example: “B00M.goes.the.dynamite”.

Pozor! Při přechodu na nové frázové heslo mají lidé tendenci si jej vytvořit velmi kreativně a komplikovaně – a pak jej zapomenou za pár dní. Nové frázové heslo si raději ze začátku často opakujme, než se spolu sžijeme. Nebo můžeme využít správce hesel, o kterých si řekneme už za chvíli. Beware! When creating a new passphrase, people tend to get too creative and come up with a phrase that is so complicated they forget it in a few days. We should repeat our new passphrase in our heads until it grows on us. Or we could use a password manager, which we’ll learn about shortly.

V čem tento nejnovější trend v tvorbě hesel spočívá?
Je to vlastně poměrně jednoduché. Můžeme si to ukázat na příkladu.

GK2/6@ nebo JezevecZpíváNerad100Let

Které z těchto hesel si za hodinu budete pamatovat líp? What’s with all the hype around passphrases?
It’s actually quite simple. We can illustrate it with an example.

GK2/6@ or TheBadgerSingsFor100Years

Which of these do you think you will remember in an hour?

Zastaralá heslová doporučení Obsolete best practices

Co už neplatí, ale všichni to děláme? Obsolete best practices: what no longer holds true, yet we still do it?

Víme, že o tvorbě správného hesla nejspíše neslyšíte poprvé. I tady se ale trendy mění, tak se pojďme ještě podívat na zastaralá doporučení, která se časem ukázala jako neefektivní, ba někdy i kontraproduktivní – mnohdy se jimi ale stále nevědomky řídíme. Tohle jsou nejznámější a nejčastěji zaužívané heslové retro pravdy, která už nemusí úplně platit... We’re aware it’s unlikely this is the first time you’re hearing about creating a strong password. However, since the rules of the game keep changing, we’re going to take a look at some outdated recommendations that eventually proved to be ineffective, or even worse, counterproductive. These are the most widespread retro rules of thumb which no longer really apply:

Častá změna hesla Changing passwords often

Pravidelná změna hesla se může jevit jako rozumný způsob, jak se vyhnout potenciálnímu riziku ohrožení našeho účtu. Jisté období tento přístup prosazovali i mnohé popřední IT organizace, ale čas ukázal a výzkum potvrdil, že tento přístup přináší více škody než užitku. Stručně řečeno: častá změna hesla způsobuje primárně to, že si vytváříme slabší hesla. Uživatelé pokaždé udělají ve svých heslech jenom drobné, předvídatelné změny (často přidání nebo změnění posledního znaku), které útočník snadno odhalí. Na druhé straně ovšem platí, že když jsme si vědomi, že došlo k úniku našeho hesla například prostřednictvím phishingu (viz modul 4), je nutno heslo skutečně co nejrychleji změnit! Changing your password regularly may sound like a good precaution against having your account compromised. There’s been a time when this practice was even enforced by many leading technology organizations. However, time showed and research confirmed this approach does more harm than good. It turns out that the more often we have to change our password, the weaker replacements we come up with. Users tend to just alter their old password slightly, in predictable ways (often by adding or changing the last character), which is a change easily guessed by an attacker. On the other hand, in case we’re aware of our account actually being compromised (for example, thanks to a successful phishing attempt), it really is necessary to change the password right away.

Nezapisovaní si hesel a pamatováni si hesel nazpaměť Trying to memorize passwords, failing to write them down

Stále platí, že zapsat si heslo od počítače na papírek a přelepit jej na monitor je jeden z největších heslových přešlapů. Není však v našich silách zapamatovat si hesla ke všem účtům (obzvlášť, když se držíme zásady, že pro každý účet máme jiné jedinečné heslo). Je tak vhodné využívat správce hesel, o kterých si ještě povíme. Writing your passwords on a sticky note and slapping it on your monitor has always been a classic security blunder. We don’t have the capacity to memorize all of our passwords though – especially if we adhere to the policy of using a unique password for every account. Therefore it is recommended to offload this responsibility to a password manager, which we’ll discuss later on.

Zaměňovaní některých písmen za podobné číslice či speciální znaky Substituting certain letters with similarly looking numbers or special characters

Mnohdy jsme při tvorbě nového hesla nuceni splnit složité požadavky na kompozici a použit malá a velká písmena, aspoň jednu číslici či speciální znak. Problémem je, že taková pravidla jen zřídka nabádají uživatele k nastavování silnějších hesel a vedou spíše k heslům, která jsou slabá a těžko zapamatovatelná. Často ve snaze splnit požadavky nahrazujeme písmena podobnými čísly nebo speciálním znaky, například velké písmeno E je často nahrazováno číslem 3, nebo namísto písmena „a“ použijeme @ atp. Ale tohle útočníci velmi dobře vědí! Držme se proto při tvorbě hesel zásad dlouhých frázových hesel, protože jsou pro nás lehko zapamatovatelná a jak mnohé výzkumy potvrdili, také bezpečná. When creating a password, oftentimes we’re forced to meet complex requirements. “The password must contain both uppercase and lowercase letters, at least one number and at least one special character.” Sounds familiar? The problem is, such rules rarely lead to passwords that are actually stronger. More often than not, the resulting passwords are harder to remember while still remaining weak. How is that possible? To “cheat” our way through these requirements, we often replace characters from the alphabet with symbols that visually resemble them: the number 3 instead of uppercase “E”, the @ symbol instead of lowercase “a”. And of course, the attackers are well aware of these tricks! Therefore instead of relying on these “cheap” substitutions, we should aim for long passphrases instead, since those are relatively easy to remember and have been proven safe.

Prolomitelnost hesla Crackability of a password

Myslíte si, že vy nebo někdo koho znáte je tak dobrý, že jeho heslo je neprolomitelné? Uděláme vám jasno. Neprolomitelná hesla neexistují. A to zcela vážně. Na planetě Zemi nenajdete osobu, která by takové heslo dokázala vytvořit. Jste překvapení? Zajímá vás na jakém principu hesla fungují? Pojďme na to! Do you think by sticking to best practices mentioned earlier, your password could become uncrackable? Let’s get one thing straight: there is no such a thing as an uncrackable password. Seriously, nobody is capable of creating one, ever. Does it seem surprising? Would you like to know more about how passwords work? Let’s get to it!

Na hesla se totiž nikdy nekoukáme způsobem jestli naše heslo někdo může prolomit, ale za jak dlouho. A to platí u všech různých hesel, které si dokážete představit. Zjednodušeně můžeme říct, že existují dva hlavní způsoby, jak prolomit heslo. Sociálním inženýrstvím, tudíž kdy útočníkovi nějakým způsobem prozradíme své heslo sami, nebo útok takzvaně hrubou silou. Dále si rozebereme jednotlivé způsoby, jakou roli při nich hraje složitost hesla a jak se proti nim bránit. Keep in mind it’s never a question of IF a password can be cracked, it’s a question of HOW LONG it would take. This applies to any password you could possibly imagine. Simply put, there are two main ways of cracking a password: either by social engineering, where we’re ultimately tricked into revealing the password ourselves, or by utilizing brute force. We’re about to go into each approach in more detail, discussing the role a password’s strength plays and the ways of protecting ourselves.

Víte že... jednou z metod, jak prolomit něčí heslo, může být kombinace sociálního inženýrství a využití speciálních zařízení? Útočník se může na pracoviště dostat např. metodou zvanou tailgating (viz modul 4), nenápadně se dostat k našemu zařízení a mezi počítač a klávesnici napojit takzvaný keylogger, malou nenápadnou krabičku, která se skryje za počítač a dokáže zaznamenávat všechny znaky, které píšeme na klávesnici – hesla nevyjímaje. Did you know? When trying to crack someone’s password, social engineering techniques might be combined with the use of a specialized device. For example, an attacker could gain entry to our workplace by means of tailgating (see module no. 4). They could sneak all the way through to our desk and attach a keylogger between our computer and the keyboard. This little device, barely noticeable when hidden properly, starts to record every key we press from now on – including every password we enter.

Prolamování sociálním inženýrstvím Cracking using social engineering

Sociálnímu inženýrství se budeme podrobně věnovat v modulu 4, nyní nám bude stačit vědět, že se jedná o určitý druh manipulace, kterého se na nás útočník dopouští. Často používanou technikou sociálního inženýrství je odeslání falešného e-mailu s odkazem na podvodnou přihlašovací stránku. Pokud podvod zavčas neodhalíme a formulář na heslo vyplníme, naše heslo je v útočníkových rukou. V případě prolamování hesla sociálním inženýrstvím nehraje roli síla našeho hesla. Heslo může mít třeba bilion znaků nebo být učebnicovým frázovým heslem, pokud ho ale vyplníme sami a dobrovolně, je nám to k ničemu. Na závěr je nutno dodat, že tento způsob prolomení hesla může trvat jen pár minut a záleží jen na naší schopnosti útočníkovy podvodné techniky rozpoznat. The topic of social engineering is explored in-depth in module 4. The takeaway for now is that it is, at its core, basically a form of manipulation. An example of a widespread technique is sending bulk e-mail messages linking to a deceptive login page. If we fail to spot the scam, fill out our login credentials and submit the page, our password is now in the attacker’s hands. In case of such social engineering techniques, the strength of our password plays no role whatsoever. We may be using a textbook example of a strong passphrase, we may be using a string of hundreds of random characters – it’s all for nothing if we voluntarily hand it over ourselves. Cracking a password in this matter could take mere minutes, and our only means of protection is our own ability to recognize these deceptive techniques.

Pozor! Co si z této větve prolamování hesel odnést? Útočník nemusí disponovat nijak velkou technickou znalostí. Složitost našeho hesla nehraje roli, protože jej útočníkovi sdělíme sami. Jedinou účinnou obranou je rozpoznávání technik sociálního inženýrství a zdravá nedůvěra. Věnujte proto zvýšenou pozornost tomuto tématu v modulu Sociální inženýrství. Attention! What is the takeaway about this technique? The attacker doesn’t require any sophisticated technology on their side. The strength of our password doesn’t play a role, because we disclose it ourselves. The only effective defense is the ability to spot social engineering attempts, combined with a healthy amount of paranoia. Therefore, please pay close attention to this topic in the Social engineering module.

Útoky hrubou silou Cracking using brute force

Útoky hrubou silou (brute-force) nejsou o manipulování s uživatelem. Pokud někdo bude chtít zkusit hrubou silou prolomit vaše heslo, nepotřebuje ani vědět kdo přesně jste. Hezký názorný příklad je, když se někomu například nechce platit za internet a zkouší prolomit naše heslo na Wi-Fi. Brute-force attacks are not about manipulating the user in any way. If someone attempts to crack your password using brute force, they don’t even need to know who you are. A nice real world example is a neighbor unwilling to pay for their own internet connection, trying to guess the password to our Wi-Fi.

Jak samotný útok probíhá? Existuje hned několik variant. Pro nás je však důležité, že prakticky všechny fungují na principu do jisté míry náhodného generování znaků na různé pozice. Pro tento účel existují takzvaní boti, kteří jsou schopni vyzkoušet několik tisíc hesel za pár vteřin. What does the attack itself look like, exactly? Multiple variants exist – for our purposes though, the important part is they all work on the principle of generating more or less random strings of characters. There are bots out there automating this process, able to try several thousands of passwords in a few seconds.

Představme si tento útok na konkrétním případu: Let’s illustrate with an example:

Uživatel Bořivoj má na svém mobilním zařízení nastavený PIN kód pro odemknutí mobilu. Ten je 2233. Pomocí útoku hrubou silou lze k jeho telefonu připojit malé šikovné zařízení, které velmi dobře dělá svoji práci. Začne logicky vyplňovat pozice na PIN kódu dle instrukcí svého stvořitele. Začne 1111, pokračuje 2222, za nějakou dobu už je na pozici 1122. Za jak dlouho se dostane k PIN kódu Bořka? Jediné, co tento útok hrubou silou zpomalí je fakt, že telefony po několika neúspěšných přihlášení na chvíli odstaví tuto možnost (například na 90 vteřin). Hrubou silou by se tedy útočník do telefonu mohl dostat i v řádech hodin. The user has a PIN lock set up on his phone. The PIN is 2233. A neat little device could be attached to his phone; a device very efficient at the one task it was designed for. It starts guessing the PIN code by trying 1111, proceeding with 2222, incrementing the number the way it was programmed to. Soon we’re at 1122; how long would it take to reach the correct PIN? The only thing standing in this gadget’s way and slowing the attack down is a safety mechanism implemented by most phones: a few unsuccessful attempts in a row disable PIN entry for a short period of time (for example, 90 seconds).

Takže příště, až telefon někde zapomeneme nebo ztratíme, měli bychom myslet na fakt, že hesla nejsou všespásná a útoky hrubou silou jsou při některých případech poměrně nepříjemné. We should keep that in mind the next time we leave our phone laying around.

Dobrou zprávou je, že na většinu našich online účtů by takovýto útok nefungoval, a to například díky vícefaktorové autentizaci, o které se ještě dočtete. Zjednodušeně: pro náš případ by scénář fungoval tak, že i kdyby útočníci uhodli naše heslo, než by se mohli do účtu připojit, nám by přišel požadavek na ověření na mobilní zařízení a věděli bychom, že je něco špatně. V tomto případě je nutné tento přístup zamítnout a neprodleně změnit heslo. Ideálně takové, co by programu útočníka trvalo prolomit pár milionů let! The good news is such an attack wouldn’t work on most of our online accounts, one of the reasons being multi-factor authentication. Even if the attacker managed to guess the correct password, they wouldn’t be allowed through until we authorize this login attempt via a notification on our phone. This would give us a heads up that something’s going on, and a chance to take action and change our password immediately – preferably to one bots would need millions of years to crack.

Pozor! Co si z této větve prolamování hesel odnést? Útoky hrubou silou mohou probíhat absolutně bez našeho vědomí nebo kontaktu s útočníkem. Jejich úspěšnost záleží zcela na složitosti našeho hesla. Proti útokům hrubou silou se lze velmi efektivně bránit vícefaktorovým ověřováním. Attention! What is the takeaway about this technique? Brute-force attacks could take place completely without our knowledge, or any contact with the attacker whatsoever. Their chances at success depend directly on the password’s strength. An example of a very effective method of brute-force attack prevention is multi-factor authentication.

VŽDY PREFERUJTE DÉLKU PŘED SLOŽITOSTÍ! ALWAYS PREFER LENGTH OVER COMPLEXITY!

Vyzkoušejte si... jak dlouho by trvalo prolomit vaše heslo. Využít můžete nástroj Kaspersky Password Check. Ač se jedná o bezpečný nástroj, nikdy nedoporučujeme v podobných on-line nástrojích zkoušet svá pravá hesla. Můžete zkusit podobné o stejné délce a typu znaků. Poté můžete zvážit, zda není na místě heslo vyměnit za silnější, třeba frázové. Try it yourself… How long would it take to crack your password? Find out using an online tool such as Kaspersky Password Check. And keep in mind, even though this particular tool is safe, generally it’s not recommended to enter our real passwords into such online tools – it’s safer to try similar passwords with the same length and “structure”. Depending on the result, you might want to consider replacing your password with a stronger one, ideally a long passphrase.

Vícefaktorové ověřování Multi-factor authentication

Útočníci neustále přicházejí s novými a sofistikovanějšími metodami, jak se dostat k našim přihlašovacím údajům a jak se nabourat do našich účtů. Používat pouze hesla ne vždy stačí. Proto pro ochranu účtů s vysokým stupněm důležitosti musíme být ještě o krok napřed. K tomu nám dokáže pomoct právě vícefaktorové ověřovaní nebo autentizace, která přidává další krok do procesu přihlašování se k účtu. Takových kroků při přihlašování může být více, ale většinou se využívá jeden navíc – tedy dohromady dva a mluvíme tak o dvoufaktorovém ověřování (2FA). Attackers keep coming up with increasingly sophisticated methods of obtaining our credentials and breaking into our accounts. It is not always enough to rely on passwords alone. Especially with our most important accounts, we need to take it one step further. A valuable tool at our disposal is multi-factor authentication (or verification), adding an extra step to the login process. In general, we could add multiple steps (or factors) to the login process. In practice we’re usually adding just one – making it two, and calling it two-factor authentication (2FA).

Proč se nám tato práce navíc při každém přihlašování vyplatí? Dvoufaktorové ověření poskytuje pokročilejší vrstvu ochrany, která je klíčová u aplikací jako je například internetové bankovnictví. Dvoufaktorové ověření přidává další faktor ověření totožnosti přihlašujícího. Základním pilířem tohoto ověřování je fakt, že přídavný faktor je pro útočníka velmi náročné získat nebo duplikovat, ať už z pohledu limitovaného času nebo osobní vzdálenosti. Z toho důvodu se útočník už nemůže dostat v přihlašovaní dál, i když se mu třeba podařilo uloupit naše heslo. Why does this increased effort during every login pay off? Two-factor authentication offers an additional layer of protection, which is key for accounts of critical importance (like our online banking). It adds an extra factor of verifying one’s identity when signing in – a factor that is very difficult for an attacker to obtain or spoof due to limited time or physical distance, preventing them from proceeding further even if they may have managed to steal our password.

Jak na vícefaktorové ověřování v praxi? How to use multi-factor authentication in practice?

Po zadání a úspěšném ověření našeho uživatelského jména a hesla se nám zobrazí výzva k další formě prokázání totožnosti, například pomocí PINu z ověřovací aplikace nebo otisku prstu. Po zdárném ověření dalšího požadovaného faktoru získáme přístup ke svému účtu. Toto sekundární ověření může mít mnoho podob a pro zjednodušení je dělíme do 3 kategorií faktorů: After entering and verifying our login credentials, we’re presented with another prompt to prove our identity. It may be a PIN generated by an external authentication app, or we might be asked to scan our fingerprint. Only after successfully verifying this additional factor, we are granted access to our account. This secondary verification could take many forms, and for the sake of simplicity, we distinguish three types of factors:

- Faktor znalosti (něco, co znáte): typický pro jednofaktorové ověření, tedy nejčastěji kombinace uživatelského jména a hesla, PIN nebo bezpečnostní otázky. The factor of knowledge (something you know): The basis of single-factor authentication. In addition to knowing our password, we may need to know a PIN or the answer to a security question.
- Faktor vlastnictví (něco, co máte): například důvěryhodné zařízení, telefon, jednorázové heslo zaslané SMSkou, platební karta, klíč, nebo bezpečnostní hardwarový token. The factor of possession (something you have): A trusted device, a phone, a code sent via SMS, a debit card, or a hardware token.
- Faktor biometrie (něco, co jste): nejpoužívanější jsou otisk prstu, sken očnice, rozpoznání obličeje či hlasu. The factor of inherence (something you are): Fingerprint scan, eye scan, face and voice recognition are among the most common.

Pravděpodobně jste se již v běžném životě setkali s vícerými zmíněnými ověřovacími mechanismy. Faktor znalosti, tedy například heslo, je nejpoužívanější. Jako druhý faktor se často využívá jednorázového hesla poslaného SMSkou nebo potvrzení přihlášení přes aplikaci na mobilním telefonu. Stále častěji díky vybavenosti mobilních zařízení používá i faktor biometrie, tedy například otisk prstu. Rozšířený je také faktor vlastnictví, tedy například potvrzení na druhém zařízení. Aby dvoufaktorové ověřování poskytovalo požadovanou úroveň zabezpečení, je nutné kombinovat dva odlišné faktory. Použití dvou různých obyčejných hesel za sebou se tedy nepovažuje za dvoufaktorové ověření. Zároveň je třeba vzít do úvahy, že některé mechanismy ověření jsou silnější než jiné. You have likely come across many of the aforementioned authentication methods in your everyday life. The good old password is a classic example of the factor of knowledge. A common way of introducing a second factor might be a verification code sent via SMS or the need to confirm the login attempt through a smartphone app. Both are examples of the factor of ownership. Thanks to the ever-increasing capabilities of most phones on the market, the factor of biometrics is on the rise, usually in the form of a fingerprint scanner. In order for two-factor authentication to provide the desired level of protection, it is required to combine different factors. This means having to enter two ordinary passwords in a row, for example, is not considered 2FA. At the same time, we should keep in mind that certain factors are inherently more secure than others.

Vyzkoušejte si... přidat dvoufaktorové ověřování ve svém účtu Microsoft (O365). Try for yourself: How about adding two-factor authentication to your Microsoft account (O365)? <school-specific> Jednoduchý návod na oficiálních stránkách vás procesem lepšího zabezpečení účtu povede krok po kroku. Zvládne to i úplný začátečník. Pokud chcete takto zabezpečit i jiné služby a aplikace, je obvykle oficiální návod nejlepším místem, kde začít: najdete tam nejen informaci o tom, zda daná služba 2FA podporuje, ale jak tuto funkci případně zapnout. This simple guide on the official Microsoft website will walk you through improving your account’s security step by step, even if you’re a complete beginner. Should you want to secure your accounts on other services the same way, an official guide is usually the best place to start. It tells you not only if the service in question supports 2FA, but also more importantly, how to enable it in case it does.

Tak si to shrneme: využití jakékoli formy dvoufaktorového ověření nás dostane mimo dosah většiny útoků. Přitom stačí udělat při přihlašování jenom o jeden krok navíc. I dvoufaktorové ověření muže být samozřejmě prolomeno, ale útočník už musí vynaložit mnohem větší úsilí než v případě obyčejného hesla. Zároveň je v současnosti nastavení 2FA jednodušší než kdy dříve, takže je na čase začít tuto bezpečnostní metodu využívat. Let’s summarize: Using any form of two-factor authentication puts us out of reach of most attacks, at the small cost of just one extra step during login. Of course, even accounts protected by 2FA can be compromised, but it requires a substantial increase in effort on the attacker’s side (compared to a plain old password). These days, setting up 2FA is easier than ever, so there’s no better time to start taking advantage of the extra peace of mind it gives us.

Správce hesel Password manager

Kolik máme na internetu různých účtů a k nim hesel? Schválně, zkuste si je někdy spočítat. No a v ideálním případě byste měli mít na každé z nich unikátní dlouhé heslo. Je opravdu reálné si je všechna pamatovat? Pokud to zvládáte, jste zázrak přírody. How many different online accounts do we have? And how many passwords? Go ahead, try and count them. And then consider that ideally, you should use a unique, long and secure password for each of them. How can you memorize all of them? You cannot. And if you can, you’re a freak of nature.

Řešení existuje v podobě velmi pohodlného a bezpečného nástroje jménem správce hesel. Co je jeho úkolem? Jedná se vlastně o jakýsi trezor, který zašifrovaně střeží naše hesla. Funguje jako databáze, kam si hesla ukládáme. Správců hesel existuje celá řada: může být ve formě doplňku do prohlížeče, může to být ale i zašifrovaná databáze u vás na počítači. Většina správců hesel pak dokonce za nás i hesla při přihlašování vyplňuje, takže je ve správci nemusíme zdlouhavě dohledávat. For the rest of us humans, there is a solution in the form of a very convenient and safe tool called a password manager. What purpose does it serve? It’s basically a vault of sorts, providing us with a safe, encrypted storage for our passwords. There are quite a number of them: some come in the form of a browser extension, others provide an encrypted database stored locally on your computer. Most password managers even fill out online login forms for us, so we don’t have to waste time looking them up.

Víte že... ukládání hesla do prohlížeče (třeba do Google Chrome nebo Mozilla Firefox) není to samé, co skutečný správce hesel? Ne že by se snad prohlížeče nesnažily takto uložená hesla zabezpečit... Správa hesel ovšem není primární funkce vašeho prohlížeče a svá hesla chcete svěřit nástroji, který se tomu věnuje prioritně – má tedy odladěné šifrování a další náležitosti. Navíc, pokud hesla uložená ve webovém prohlížeči nejsou chráněna master heslem (viz dále), jsou uložena ve formě prostého (nezašifrovaného) textu – každý si je tak může jednoduše přečíst v nastavení prohlížeče. Beware! Using your web browser (like Google Chrome or Mozilla Firefox) to save your passwords is not the same thing as using a dedicated password manager. Not to say browsers don’t make any effort to safeguard them, but taking care of your passwords is not their primary purpose. You’re better off relying on a tool designed specifically to solve this problem – and therefore comes with a state-of-the-art implementation of all of the security essentials, such as encryption. Moreover, if passwords saved in the browser aren’t protected by a master password (more on that later), they are stored in plain text form – they are not encrypted and anyone could simply read them in the browser’s settings.

Všichni správci hesel mají jedno společné: do všech se přihlašujete jedním heslem, takzvaným master heslem. Od momentu, kdy si správce hesel zařídíte, je to jediné heslo, které je si třeba pamatovat. Je jako velký zlatý klíč k vaší pokladnici. Správce hesel po uložení hesla zašifruje, takže i kdyby se k vaší databázi dostal někdo cizí, bez master hesla nezmůže doopravdy nic. Toto heslo tedy musí být opravdu silné. All password managers have one thing in common: we use a single password to access them. We call this the master password. From the moment you set up a password manager, this is the one and only password you will ever need to remember. It’s like a shiny golden key to your treasure chest. A password manager encrypts all of the passwords it’s storing, so even if someone gained access to its database… without your master password, they’re out of luck. Therefore it should be stressed, more than ever, that you should try making your master password as secure as possible.

Pozor! Své master heslo opravdu nikdy nikdy nesmíte zapomenout. Jinak se do svého trezoru a ke svým uloženým heslům nedostanete. U těch správců hesel, které nabízejí 2FA, rozhodně doporučujeme této možnosti využít. Beware! You really should never ever forget your master password. If you do, there’s no way to access your vault ever again, and your stored passwords are gone for good. If your password manager offers two-factor authentication, we strongly recommend enabling it.

Vyzkoušejte si... správce hesel! Jenže kterého? Doporučit jednoho správce hesel není zrovna lehký úkol: přicházejí v různých podobách. Mohou být zdarma i placení, mohou fungovat jako samostatný program na vašem zařízení (tzv. on-device) nebo v cloudu a jako doplněk do prohlížeče. Mezi nejvyužívanější správce (a mezi nejdůvěryhodnější dle aktuálních testů) patří například KeePassXC (on-device), Bitwarden (dostupná verze zdarma nenabízí 2FA) nebo často využívaný LastPass (dostupná verze zdarma, umožňuje i některé typy 2FA). Na co se zaměřit, když správce budete vybírat, vám přiblíží tento článek. Try for yourself... a password manager! But which one? It’s not easy to just pick and recommend a clear winner, as they come in many forms. There are free and paid options. Some are stand-alone applications installed on your device, others are cloud-based with most functionality provided by a browser extension. Among the most popular (and trusted, according to recent surveys) are KeePassXC (on-device), Bitwarden (the free plan does not offer 2FA) and LastPass, to name a few. There are numerous up-to-date articles and guides online to help you choose, for example this recent comparison by WIRED magazine.

Rozhodovací paralýza? Instalace a používání každého z nich se liší: pokud se necítíte na to sami vybírat z dostupných možností, určitě neprohloupíte, když zvolíte LastPass a budete se řídit tímto podrobným návodem.

Heslové desateroThe 10 rules about passwords

V závěru tohoto modulu je připravený ještě jeden bonus.
Heslové desatero připomínající nejdůležitější zásady práce s hesly, které si můžete uložit nebo vytisknout. As we’re reaching the end of this module, we’re including a small bonus.
The 10 brief rules to keep in mind, reminding us of the basic principles and best practices concerning passwords.

Pozor! Co dělat, když se něco pokazí? V případě, že došlo k bezpečnostnímu incidentu nebo máte podezření, že mohlo být narušeno vaše kyberbezpečí, obracejte se na Attention! What to do in case something goes wrong? In case of a security incident, or if you suspect your online safety might have been compromised, reach out to <school-specific>.