Ce înseamnă cu adevărat o parolă puternică

Modulul 2: Parole și autentificare · Timp de citire: 9 minute

Obiectivul lecției: După această lecție veți putea explica de ce lungimea și unicitatea sunt mai importante decât caracterele ciudate și ce spune ghidul NIST actual despre parole.

Noțiuni cheie: lungime, entropie, frază de acces, atac de tip dicționar, forță brută, reutilizare, schimbare obligatorie

Cum este spartă o parolă

Când se vorbește despre "spargerea unei parole", mulți se gândesc la cineva care ghicește parola pe pagina dumneavoastră de autentificare. Acest lucru se întâmplă, dar nu este cea mai mare amenințare. O pagină de autentificare bine configurată încetinește sau blochează temporar accesul după un anumit număr de încercări greșite. Ghicirea prin "ușa din față" este deci un proces lent.

Mai periculoasă este spargerea offline. Un site web nu păstrează (dacă este bine configurat) parola dumneavoastră propriu-zisă, ci un hash: un fel de amprentă digitală din care parola nu poate fi recalculată direct. Dacă baza de date a unui magazin online este compromisă, atacatorul ajunge în posesia acestor amprente pe propriile calculatoare. Acolo nu există nicio limitare. El încearcă atâtea parole câte permite echipamentul său și compară fiecare rezultat cu amprenta scursă.

Pentru aceasta folosește două metode:

• Atacul de tip dicționar: mai întâi tot ce aleg oamenii frecvent. Liste cu milioane de parole reale din scurgeri anterioare, cuvinte din dicționare, nume, locuri, ani. Împreună cu reguli fixe: literă mare la început, an adăugat la final, semn de exclamare la sfârșit, a devine @, o devine 0.
• Forța brută: apoi toate combinațiile posibile de caractere, de la scurt la lung.

O parolă precum Vara2026! pare puternică: literă mare, cifre, semn de punctuație, zece caractere. Dar este exact tiparul care se regăsește în acele reguli: un cuvânt, un an, un semn. O astfel de parolă cade în prima rundă, cu mult înainte să înceapă forța brută.

Lungimea învinge caracterele ciudate

Puterea unei parole depinde de câte posibilități trebuie să încerce un atacator. Acest număr se calculează astfel: numărul de caractere posibile ridicat la puterea lungimii.

Pe o tastatură obișnuită există 95 de caractere pe care le puteți tasta (litere mari și mici, cifre, semne de punctuație și spațiul). O parolă aleatorie de 8 caractere are astfel 95 la puterea 8 posibilități: aproximativ 6,63 × 10^15. Pare mult, dar cu echipamente rapide și o metodă slabă de stocare, acest lucru poate fi parcurs în câteva zile.

Fiecare caracter în plus înmulțește numărul cu 95. Un tip suplimentar de caracter (de exemplu adăugarea semnelor de punctuație la litere simple) înmulțește baza doar puțin. De aceea lungimea aduce mult mai mult decât complexitatea.

Ultima coloană reprezintă entropia: o măsură a cât de imprevizibil este ceva, exprimată în biți. În termeni simpli: fiecare bit în plus dublează munca atacatorului. O parolă de 65 de biți costă deci nu puțin mai mult, ci de aproximativ 4.000 de ori mai multă muncă decât una de 53 de biți.

Important: aceste cifre sunt valabile doar dacă parola a fost aleasă cu adevărat aleatoriu. O parolă pe care o inventați dumneavoastră nu este aproape niciodată aleatorie. Brutarie2026! are treisprezece caractere, dar ca tipar se regăsește în fiecare listă de spargere.

Fraza de acces

O frază de acces este o parolă formată din mai multe cuvinte separate, de exemplu cinci sau șase. Avantajul: lungă, dar totuși ușor de memorat și de tastat. Autoritatea națională de securitate cibernetică din Țările de Jos recomandă alegerea a patru până la șase cuvinte fără nicio legătură între ele și afirmă că o frază lungă formată doar din litere mici este mai sigură decât o parolă scurtă cu toate tipurile de caractere.

O frază de acces este puternică doar dacă cuvintele sunt alese aleatoriu:

• Corect: un generator (din managerul dumneavoastră de parole) sau zaruri împreună cu o listă de cuvinte. Metoda cunoscută cu cinci zaruri folosește o listă de 7.776 de cuvinte, deoarece 6 la puterea 5 este exact 7.776. Creatorii unei astfel de liste recomandă pentru majoritatea utilizărilor șase cuvinte.
• Greșit: o frază cunoscută, versurile unui cântec, o zicală sau ceva despre dumneavoastră. iubescfoartemultcainelemeubobby este lungă, dar cuvintele sunt legate între ele și pot fi ghicite de cineva care vă cunoaște sau vă citește rețelele sociale.

O frază de acces rămâne totuși o parolă. O folosiți într-un singur loc și nu o împărtășiți.

Unicitatea este mai importantă decât complexitatea

Cea mai puternică parolă nu ajută la nimic dacă o folosiți în douăzeci de locuri diferite. În lecția 1.4 ați văzut credential stuffing: o adresă de e-mail scursă împreună cu parola este încercată automat la e-mail, contabilitate, magazine online și rețele sociale. Dacă este compromisă la cel mai slab dintre aceste douăzeci de servicii, toate douăzeci devin accesibile.

Reutilizarea este de aceea cea mai mare vulnerabilitate în practică. Iar "câteva variații" nu înseamnă unicitate. Exemplu!Mail și Exemplu!Magazin pot fi ghicite în câteva încercări de un atacator care deține deja o parolă scursă.

Soluția nu este memorarea, ci păstrarea: un manager de parole creează pentru fiecare serviciu o parolă lungă și aleatorie și o reține pentru dumneavoastră. Despre acest subiect este lecția 2.2. Va trebui să mai memorați doar câteva lucruri: parola principală a managerului și, eventual, parola calculatorului dumneavoastră.

Ce spune ghidul NIST

Institutul american NIST (National Institute of Standards and Technology) publică cel mai cunoscut ghid pentru autentificare: SP 800-63B. A patra versiune a devenit definitivă la 31 iulie 2025. Multe organizații din întreaga lume îl urmează. Punctele principale pentru parole:

• Dacă parola este singura metodă de autentificare, atunci minimum 15 caractere. Dacă face parte dintr-o autentificare în doi pași, atunci minimum 8.
• Un serviciu trebuie să permită parole de cel puțin 64 de caractere.
• Fără reguli de compoziție: un serviciu nu are voie să impună "cel puțin o literă mare, o cifră și un semn de punctuație".
• Fără schimbare periodică obligatorie. Schimbarea se face doar dacă există un indiciu că parola a fost compromisă.
• Verificarea parolelor noi față de o listă de parole frecvent utilizate și compromise.
• Permiterea lipirii (paste) și a managerelor de parole.
• Fără întrebări de securitate ("numele primului animal de companie") și fără indicii pentru parolă.

De ce schimbarea obligatorie nu mai este recomandată

Timp de mulți ani, la locul de muncă trebuia aleasă o nouă parolă la fiecare trei luni. Ideea: o parolă furată funcționează astfel doar o perioadă scurtă. În practică, oamenii procedează astfel: Vara2026! devine Toamna2026!, apoi Iarna2026!. Un atacator care deține parola veche ghicește noua parolă din câteva încercări. Iar cine trebuie să inventeze mereu o parolă nouă alege parole mai scurte și le notează pe o bucată de hârtie.

Schimbarea obligatorie face deci parolele mai previzibile. Schimbarea imediată rămâne însă necesară când există un motiv: o notificare privind o scurgere de date, o autentificare suspectă, un coleg care pleacă și cunoștea parola, sau dacă ați introdus-o din greșeală undeva.

În practică: o politică de parole pe o singură pagină

Pentru o afacere mică precum Brutăria Exemplu este suficientă o politică scurtă:

1. Fiecare cont are propria parolă, personală. Fără autentificare partajată pentru info@example.com ale cărei parole le cunosc cinci persoane.
2. Parolele sunt create de managerul de parole: aleatorii, minimum 15 caractere, sau o frază de acces de minimum cinci cuvinte aleatorii pe care trebuie să le tastați.
3. Niciodată aceeași parolă în două locuri.
4. Autentificare în doi pași activată pentru e-mail, contabilitate, bancă, găzduire (hosting) și înregistrarea domeniului (lecția 2.3).
5. Schimbare doar când există un motiv, și atunci imediat.
6. Parolele nu se trimit niciodată prin e-mail, chat sau pe o bucată de hârtie lipită de ecran.

Și panoul dumneavoastră de găzduire (hosting) urmează aceeași linie. În mediul WebOké, de exemplu, puteți genera o parolă aleatorie atât pentru parola DA, cât și pentru căsuțele poștale; la alți furnizori, acest buton se numește adesea "Generare" sau "Generate". Asigurați-vă întotdeauna că un astfel de generator creează cel puțin 15 caractere; adesea puteți alege chiar dumneavoastră lungimea.

Rezumat

• Atacatorii sparg parolele mai ales offline, după o scurgere de date, cu liste și reguli. Tiparele previzibile cad imediat.
• Lungimea și aleatoriul real aduc mult mai mult decât caracterele ciudate. Fiecare bit de entropie dublează munca.
• O frază de acces formată din cuvinte alese aleatoriu este lungă, dar totuși ușor de memorat.
• Unicitatea este mai importantă decât complexitatea: reutilizarea transformă o singură scurgere în douăzeci de scurgeri.
• NIST SP 800-63B-4: minimum 15 caractere ca unic factor, fără reguli de compoziție, fără schimbare periodică obligatorie, dar cu verificare față de parole compromise.

Test (quiz)

Exercițiu

Exercițiul A2.1: Calcul și evaluare. Nu introduceți nicăieri o parolă proprie. Partea 1: calculați câte posibilități au o frază de acces și o parolă aleatorie (veți primi numărul de cuvinte și caractere), care dintre cele două este mai puternică și de câte ori. Partea 2: evaluați șase parole exemplu fictive: previzibile, prea scurte, reutilizate sau puternice. Programul verifică răspunsurile și oferă o explicație pentru fiecare.

Lecturi suplimentare

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează în mod similar.

• Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
• Cum schimb parola sau limitele adresei mele de e-mail?
• Autoritatea națională de securitate cibernetică din Țările de Jos, Sfaturi pentru conceperea unei parole puternice: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Autoritatea națională de securitate cibernetică din Țările de Jos, Patru pași pentru parole mai sigure: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (în engleză): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (în engleză, lista de cuvinte pentru metoda cu zaruri): https://www.eff.org/dice