Jak neustále (ne)vymýšlet originální hesla

Co mělo nejzásadnější vliv na současnou podobu Internetu? Ne, není to CSS. Není to ani W3C. Jsou to webové formuláře.

Asi nejčastějším zástupcem rodiny formulářů jen ten s titulkem Zaregistrujte se. Zároveň umí být i účinnou bariérou. Snad chápete, jak odrazující vliv má na mě věta: „Zvolte si uživatelské jméno – minimálně 4 znaky.“ Proč právě čtyři? Proč ne třeba třicet sedm? Nechme to být, volba uživatelského jména není tématem článku. Tím je totiž volba hesla.

Univerzální nebo originální heslo?

Vymyslet univerzální heslo, které by akceptovalo 99 % webových aplikací, není problém. Zkušenost říká, že takové heslo musí mít 8 alfanumerických znaků, různou velikost písmenek a musí se v něm vyskytovat číslice, ne však na první pozici.

Kdyby byl svět ideální, tak by heslo po zadání do formuláře putovalo šifrovaným kanálem https k serveru, kde by se uložil jeho otisk. Jenže svět zdaleka ideální není a hesla bývají na serverech nezabezpečená. Vidí je provozovatel aplikace, vidí je správce hostingu. A také hacker, který se do serveru právě naboural.

Tedy – používat všude stejné heslo je hloupost! To se pak nemůžete divit, když vám někdo „zkontroluje“ poštu nebo vybere bankovní účet. Na druhou stranu, vymyslet a hlavně pamatovat si hromadu odlišných hesel, to je úkol vpravdě nadlidský. Nejen pro nás sklerotiky.

Kam nemůže paměť, tam zkusím fintu

Před dvěma lety jsem hledal způsob, jak na hesla šikovně vyzrát, a řešení se ukázalo být docela prosté: vezmu své oblíbené heslo (dostatečně dlouhé) a doménu serveru, kam se registruji (např. amazon.com) a z těchto dvou údajů „vypočítám“ nové heslo, splňující zmíněné univerzální požadavky. V řeči programátorů jde zhruba o toto: substr(md5(master_password + domain), 0, 8).

Podstatné je, že z vypočítaného hesla nelze zpětně odvodit vstupní „oblíbené“ heslo, a tedy ani hesla pro jiné servery.

Cestu od myšlenky k realizaci mi parádně zkrátili pánové programátoři, kteří tentýž nápad uskutečnili přede mnou 🙂 Za nejpropracovanější považuji Password Generator od Chrise Zarate. Vyzkoušejte si ho!

Zvolíte si své hlavní heslo (políčko Master password) a zadáte doménu (Site name). A pak už stačí jen stisknout tlačítko „Generate“. Je to bezpečné, výpočet se provádí přímo v prohlížeči a vůbec žádná data se nikam neodesílají. Jde o jakýsi mobilní generátor, dostupný odkudkoliv z internetu.

Ale to ještě není vše. Můžete si vygenerovat favelet, který bude sám vyplňovat registrační a přihlašovací formuláře. Hlavní heslo přitom bude zapsáno v bookmarku a nebude se posílat do internetu. Už to prostě nemůže být pohodlnější.

poznámka: sám používám mírně modifikovanou verzi (genpass.js). Liší se ve způsobu detekce domény a převedení binární MD5 na text.