Hasło może wyglądać na skomplikowane, ale to jeszcze nie znaczy, że jest naprawdę bezpieczne. Wielka litera, cyfra i znak specjalny często dają użytkownikowi poczucie bezpieczeństwa, ale w praktyce nie zawsze przekładają się na realną odporność na atak. Hasło typu Firma2026! spełnia wiele typowych wymagań formularzy, jednak nadal jest przewidywalne, krótkie i oparte na schemacie, który łatwo odgadnąć.
Dlatego przy ocenie siły hasła warto patrzeć nie tylko na to, czy zawiera cyfry i znaki specjalne, ale przede wszystkim na jego entropię. Entropia hasła to szacunkowa miara losowości i trudności odgadnięcia hasła. Wyrażana jest w bitach. Im wyższa wartość entropii, tym większa liczba możliwych kombinacji i tym trudniejsze jest złamanie hasła metodą brute-force.
W prostych słowach: entropia pokazuje, jak duży problem obliczeniowy musiałby rozwiązać atakujący, aby odgadnąć hasło.
Dlaczego zwykła ocena hasła „na oko” jest zawodna?
Wielu użytkowników ocenia hasło wizualnie. Jeśli widzą wielką literę, cyfrę i symbol, uznają je za bezpieczne. Niestety takie podejście jest bardzo mylące.
Przykład:
P@ssw0rd!
Na pierwszy rzut oka hasło wygląda lepiej niż zwykłe password. Ma wielką literę, znak specjalny i cyfrę. Problem w tym, że jest oparte na jednym z najpopularniejszych słów używanych jako hasło. Dodatkowo zawiera przewidywalne zamiany znaków:
azamienione na@ozamienione na0- znak specjalny dodany na końcu
- wielka litera na początku
Takie schematy są dobrze znane i uwzględniane w atakach słownikowych. Oznacza to, że hasło może spełniać wymogi formularza, ale nadal być słabe.
Podobny problem dotyczy haseł typu:
Krakow2026!Firma123!Admin2025!Qwerty!234ImieData!
One nie są losowe. Są przewidywalne. A w bezpieczeństwie haseł losowość ma ogromne znaczenie.
Czym jest entropia hasła?
Entropia hasła to sposób oszacowania, ile możliwych kombinacji trzeba byłoby sprawdzić, aby odgadnąć hasło. Wartość ta jest podawana w bitach, ponieważ w informatyce bity są podstawową jednostką informacji.
Im wyższa entropia, tym większa liczba potencjalnych haseł, które atakujący musiałby przetestować.
Dla hasła generowanego losowo entropię można oszacować wzorem:
entropia = długość hasła × log₂(liczba możliwych znaków)
W tym wzorze znaczenie mają dwa parametry:
- długość hasła
- wielkość zestawu znaków, z którego hasło zostało wygenerowane
Jeżeli hasło składa się tylko z małych liter, zestaw znaków ma 26 znaków. Jeśli dodamy wielkie litery, zestaw rośnie do 52 znaków. Po dodaniu cyfr mamy 62 znaki. Po dodaniu znaków specjalnych zestaw może mieć około 90–100 znaków, zależnie od tego, jakie symbole dopuszcza generator lub dany system.
Co oznaczają bity bezpieczeństwa?
Bity bezpieczeństwa pokazują skalę trudności odgadnięcia hasła. Jeżeli hasło ma 40 bitów entropii, oznacza to około 2^40 możliwych kombinacji. Jeżeli ma 80 bitów entropii, oznacza to około 2^80 kombinacji.
To bardzo ważne, ponieważ skala jest wykładnicza. Każdy dodatkowy bit entropii podwaja liczbę możliwych kombinacji.
Oznacza to, że różnica między 50 a 60 bitami nie jest kosmetyczna. To nie jest wzrost o 20 procent. To wzrost liczby kombinacji ponad tysiąc razy, ponieważ 10 dodatkowych bitów oznacza 2^10, czyli 1024 razy więcej możliwości.
Przykładowo:
- 40 bitów to około
2^40kombinacji - 60 bitów to około
2^60kombinacji - 80 bitów to około
2^80kombinacji - 100 bitów to około
2^100kombinacji - 120 bitów to około
2^120kombinacji
Im wyższa liczba bitów, tym trudniejsze staje się odgadnięcie hasła metodą brute-force.
Przykład: długość hasła i zestaw znaków
Załóżmy, że generator haseł korzysta z zestawu 62 znaków:
- małe litery: 26 znaków
- wielkie litery: 26 znaków
- cyfry: 10 znaków
Razem daje to 62 możliwe znaki.
Jeśli hasło ma 8 znaków, jego entropia wynosi około:
8 × log₂(62) ≈ 48 bitów
Jeśli hasło ma 12 znaków:
12 × log₂(62) ≈ 71 bitów
Jeśli hasło ma 16 znaków:
16 × log₂(62) ≈ 95 bitów
Jeśli hasło ma 20 znaków:
20 × log₂(62) ≈ 119 bitów
Widać tu bardzo ważną rzecz: samo wydłużenie hasła znacząco zwiększa jego bezpieczeństwo. Dlatego długie, losowe hasło często jest lepsze niż krótkie hasło z wieloma symbolami.
Długość hasła kontra znaki specjalne
Znaki specjalne są przydatne, bo zwiększają zestaw możliwych znaków. Nie należy ich jednak traktować jako magicznego zabezpieczenia. Krótkie hasło ze znakiem specjalnym nadal może być słabe, jeśli jest przewidywalne.
Hasło:
Kot!123
jest krótkie i oparte na prostym słowie. Znak ! nie sprawia automatycznie, że staje się ono bezpieczne.
Z kolei długie, losowe hasło z liter i cyfr, na przykład:
N7qL9xM2vT8pR4sZ
może być znacznie bezpieczniejsze, mimo że nie zawiera znaków specjalnych. Wynika to z długości i losowości.
Najlepsze efekty daje połączenie kilku cech:
- odpowiednia długość
- losowość
- brak słów słownikowych
- brak danych osobowych
- unikalność dla każdego konta
- możliwie duży zestaw znaków
Dlaczego entropia dotyczy głównie haseł losowych?
Trzeba pamiętać, że wzór na entropię dobrze opisuje hasła generowane losowo. Jeśli użytkownik sam wymyśla hasło, realna entropia może być dużo niższa niż wynikałoby to z samej długości i użytych znaków.
Przykład:
MojaFirma2026!
Teoretycznie takie hasło ma małe litery, wielkie litery, cyfry i znak specjalny. Ma też sensowną długość. Ale w praktyce jest słabe, jeśli nazwa firmy jest znana albo łatwa do powiązania z użytkownikiem. Atakujący nie musi wtedy sprawdzać wszystkich możliwych kombinacji. Może użyć słownika, danych publicznych, nazwy domeny, imienia, miejscowości albo popularnych schematów.
Dlatego prawdziwie wysoka entropia wymaga losowości. Hasło powinno być wygenerowane tak, aby nie wynikało z żadnego ludzkiego wzorca.
Jak interpretować wynik entropii?
Nie ma jednej granicy, która pasuje do każdego zastosowania, ale można przyjąć praktyczny podział:
- poniżej 50 bitów: hasło słabe
- 50–70 bitów: hasło średnie
- 70–90 bitów: hasło dobre
- 90–120 bitów: hasło bardzo mocne
- powyżej 120 bitów: hasło ekstremalnie mocne
Dla zwykłych kont internetowych warto celować w hasła, które mają co najmniej 70–90 bitów entropii. Dla poczty, kont firmowych, VPN, paneli administracyjnych, serwerów, systemów CRM i kont technicznych lepiej stosować hasła powyżej 100 bitów.
W praktyce dla większości użytkowników dobrym wyborem będzie losowe hasło o długości 16–20 znaków. Dla zastosowań technicznych można stosować hasła jeszcze dłuższe, szczególnie jeśli są przechowywane w menedżerze haseł i nie trzeba ich ręcznie wpisywać.
Czy 128 znaków ma sens?
Hasła o długości 128, 256 czy 512 znaków robią wrażenie, ale nie zawsze są potrzebne. W wielu serwisach wystarczy hasło 16–24 znaki. Bardzo długie hasła mają sens przede wszystkim tam, gdzie hasło nie jest wpisywane ręcznie albo gdzie działa jako sekret techniczny.
Przykładowe zastosowania bardzo długich haseł:
- konta administracyjne
- systemy wewnętrzne
- hasła techniczne
- konta serwisowe
- VPN
- panele serwerowe
- urządzenia sieciowe
- tymczasowe sekrety
- konfiguracje aplikacji
- środowiska developerskie
Trzeba też pamiętać, że nie każdy system obsługuje bardzo długie hasła. Niektóre formularze mają limit długości, inne nie akceptują części znaków specjalnych. Dlatego hasło powinno być dopasowane do miejsca, w którym będzie używane.
Entropia a brute-force
Brute-force to metoda polegająca na sprawdzaniu kolejnych możliwych kombinacji. Im więcej kombinacji, tym dłużej trwa atak.
Entropia nie mówi dokładnie, ile czasu zajmie złamanie hasła, bo to zależy od wielu czynników:
- szybkości sprzętu atakującego
- rodzaju algorytmu hashowania
- tego, czy atak odbywa się online czy offline
- limitów logowania
- blokady konta po błędnych próbach
- użycia GPU lub farm obliczeniowych
- jakości zabezpieczeń po stronie serwera
Mimo to entropia jest bardzo użyteczna, bo pozwala porównywać hasła między sobą. Hasło o entropii 100 bitów jest matematycznie znacznie trudniejsze do odgadnięcia niż hasło o entropii 50 bitów.
Dlaczego generator z obliczaniem entropii jest przydatny?
Zwykły generator haseł tworzy losowy ciąg znaków. To już duży krok w stronę bezpieczeństwa. Jednak generator pokazujący entropię daje użytkownikowi coś więcej: informację, jak mocne jest wygenerowane hasło.
Dzięki temu użytkownik widzi:
- długość hasła
- wielkość zestawu znaków
- szacowaną entropię w bitach
- opisowy poziom bezpieczeństwa
- skalę możliwych kombinacji
To zmienia sposób patrzenia na hasła. Użytkownik nie musi zgadywać, czy hasło jest mocne. Widzi konkretną wartość liczbową i może świadomie dobrać długość hasła do zastosowania.
Przykładowy wynik może wyglądać tak:
zestaw znaków: 62 • długość: 128 • entropia: 762 bity • EKSTREMALNIE MOCNE
Taki komunikat jasno pokazuje, że hasło jest nie tylko długie, ale również matematycznie bardzo trudne do odgadnięcia.
Entropia nie zastępuje dobrych praktyk
Wysoka entropia jest bardzo ważna, ale nie rozwiązuje wszystkich problemów bezpieczeństwa. Nawet bardzo mocne hasło może zostać przejęte, jeśli użytkownik poda je na fałszywej stronie, zapisze w publicznym pliku albo użyje tego samego hasła w wielu miejscach.
Dlatego silne hasło powinno być częścią większego zestawu zasad:
- każde konto powinno mieć osobne hasło
- hasła warto przechowywać w menedżerze haseł
- do ważnych kont należy włączyć 2FA
- haseł nie należy wysyłać mailem ani komunikatorem
- nie należy zapisywać haseł w plikach tekstowych na pulpicie
- po wycieku hasło trzeba zmienić wszędzie tam, gdzie było użyte
- konta administracyjne powinny mieć szczególnie mocne hasła
Entropia pomaga zrozumieć siłę hasła, ale bezpieczeństwo zależy również od sposobu jego przechowywania i używania.
Generator haseł
Na stronie LM-ADS dostępny jest generator haseł, który pozwala tworzyć losowe i silne hasła:
https://www.lm-ads.com/password_gen.php
Narzędzie umożliwia wybór długości hasła oraz typów znaków. Dodatkowo pokazuje szacowaną entropię w bitach, dzięki czemu użytkownik może od razu sprawdzić, jak mocne jest wygenerowane hasło.
To rozwiązanie przydaje się zarówno użytkownikom prywatnym, jak i firmom, administratorom oraz osobom odpowiedzialnym za bezpieczeństwo kont, systemów i infrastruktury IT.
Podsumowanie
Entropia hasła pokazuje, jak trudne jest hasło do odgadnięcia. Wyrażana jest w bitach i zależy przede wszystkim od długości hasła oraz liczby znaków, z których hasło zostało wygenerowane.
Najważniejsze wnioski są proste:
- długie hasła są bezpieczniejsze niż krótkie
- losowość jest ważniejsza niż „sprytne” zamiany liter na symbole
- każdy dodatkowy bit entropii podwaja liczbę możliwych kombinacji
- hasła tworzone przez człowieka zwykle mają niższą realną entropię
- generator haseł z obliczaniem entropii pozwala ocenić siłę hasła bardziej świadomie
Dobre hasło powinno być długie, losowe i unikalne. Entropia pozwala zobaczyć tę siłę w liczbach, a nie tylko oceniać hasło na oko. Dzięki temu łatwiej zrozumieć, dlaczego jedno hasło jest słabe, inne dobre, a jeszcze inne ekstremalnie mocne.
