Zjistěte za pár sekund, jak snadno by hacker prolomil vaše heslo. Bezplatný nástroj odhalí i úniky z databází

Stačí jedno pole na webu, pár úhozů na klávesnici a okamžitě vidíte, jestli vaše heslo odolá útoku, nebo jestli už dávno koluje v rukou útočníků.

Zdroj fotografie: Unsplash

Řeč je o veřejně dostupném nástroji od NordPassu, který na jediné stránce kombinuje dvě důležité funkce. Nejprve odhadne, jak dlouho by útočníkovi trvalo prolomit zadané heslo hrubou silou. Zároveň ho porovná s databázemi uniklých hesel a v případě shody vás na to upozorní. Celý proces zabere jen několik sekund. Nemusíte se registrovat ani nic platit. Zadáte heslo a dostanete výsledek. A právě ten může být nepříjemným vystřízlivěním.

Co přesně nástroj ukáže a jak to funguje

Po zadání hesla se zobrazí orientační odhad času, který by útočník teoreticky potřeboval k jeho prolomení. NordPass uvádí následující příklad: jednoduché sedm znaků dlouhé heslo bez velkých písmen a speciálních symbolů lze prolomit za 0,29 sekundy. Pokud přidáte dva znaky, odhadovaná doba se prodlouží přibližně na pět let. Rozdíl je obrovský, přestože jde jen o dva znaky navíc.

Vedle odhadu času nástroj řeší i druhou, neméně důležitou otázku: zda se vaše heslo už neobjevilo v některém z veřejně známých úniků dat. K tomu využívá databázi Have I Been Pwned, která shromažďuje informace o miliardách kompromitovaných účtů a uniklých hesel z celého světa. Pokud se v ní vaše heslo najde, nejde jen o horší výsledek v bezpečnostním hodnocení. Je to důvod k okamžité změně hesla.

Jak je to s bezpečností samotného zadávání

Přirozeně se nabízí otázka: není riskantní zadávat své heslo na cizí webové stránce? NordPass tvrdí, že zadané heslo neopouští prohlížeč a nikam se neukládá. Podobný přístup deklarují také Bitwarden u svého veřejného testeru a Security.org u svého nástroje.

Při porovnávání hesla s databází uniklých údajů se navíc využívá takzvaná k-anonymita. Server v takovém případě obdrží pouze krátkou část hashe hesla, nikoli samotné heslo. Díky tomu lze ověřit, zda se heslo nachází v databázi známých úniků, aniž by bylo nutné odesílat jeho plnou podobu.

Přesto doporučujeme zachovat opatrnost. Heslo k hlavnímu e-mailu, internetovému bankovnictví nebo samotnému správci hesel raději do veřejných testerů vůbec nezadávejte. Bezpečnější je využít kontrolu přímo ve správci hesel nebo v systémovém nástroji, který pracuje s uloženými údaji. Veřejný tester může posloužit pro orientační kontrolu méně důležitých hesel, ale ani u nich není vhodné zadávat heslo, které skutečně používáte.

NordPass není jediný, ale je nejkompletnější

Na trhu najdete i další bezplatné nástroje. Bitwarden nabízí veřejný tester síly hesla, který pracuje lokálně v prohlížeči. Výsledný čas prolomení přitom výslovně označuje za hypotetický odhad. Kontrolu proti uniklým heslům ale řeší samostatně prostřednictvím funkce Data Breach report, která je dostupná uvnitř trezoru.

Security.org zase nabízí přehlednou kalkulačku síly hesla a doporučuje používat hesla o délce 16 až 20 znaků. Kontrolu zadaného hesla proti databázi úniků však na své veřejné stránce oficiálně neposkytuje.

Srovnání v kostce:

Nástroj	Odhad času prolomení	Kontrola úniků	Nutná registrace
NordPass	✔	✔	Ne
Bitwarden (web)	✔	✘ (jen v trezoru)	Ne / Ano
Security.org	✔	✘	Ne

Pro rychlou jednorázovou kontrolu je NordPass nejkomplexnější volbou. Pokud ale chcete pravidelně kontrolovat všechna uložená hesla, praktičtější je využít přímo správce hesel, například Bitwarden, 1Password nebo vestavěné řešení od Googlu či Applu. Google Password Manager i Apple Password Monitoring dokážou uložená hesla průběžně kontrolovat a upozornit vás na bezpečnostní problémy. Nemusíte tak pokaždé ručně testovat jednotlivá hesla.

Co dělat, když výsledek dopadne špatně

Pokud nástroj vyhodnotí vaše heslo jako slabé, řešení je jednoduché: vyměnit ho za silnější. Jestliže navíc zjistí, že se heslo objevilo v databázi uniklých údajů, je situace ještě naléhavější. Takové heslo byste už neměli používat u žádné služby. Útočníci totiž běžně zkoušejí uniklá hesla také na dalších webech a službách. Tato metoda se označuje jako credential stuffing.

Tři kroky, které dávají smysl:

• Okamžitě změnit heslo na dotčeném účtu a nahradit ho novým, dostatečně silným a jedinečným.
• Zkontrolovat, zda stejné heslo nepoužíváte také jinde. Pokud ano, změňte ho i u všech ostatních účtů.
• Zapnout dvoufaktorové ověření všude, kde je to možné.

Podle doporučení NordPassu by mělo mít kvalitní heslo alespoň 12 znaků. Security.org doporučuje mířit spíše na 16 až 20 znaků. Nejdůležitější ale je, aby bylo každé heslo jedinečné a nepoužívali jste stejnou kombinaci pro více účtů.

Zapamatovat si desítky různých a dostatečně silných hesel je prakticky nemožné. Právě proto existují správci hesel. Stačí si zapamatovat jedno silné hlavní heslo a o vytvoření i bezpečné uložení ostatních se postará generátor.

Jediný rychlý test vám může odhalit problém, o kterém jste dosud neměli tušení. A zabere to skutečně jen několik sekund.