Što je zapravo jaka lozinka

Modul 2: Lozinke i prijava · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti zašto su duljina i jedinstvenost važnije od neobičnih znakova, te što trenutačna smjernica NIST-a kaže o lozinkama.

Ključni pojmovi: duljina, entropija, lozinkana rečenica, rječnički napad, brute force (grubom silom), ponovna upotreba, obvezna promjena

Kako se lozinka probija

Kad čujemo "probijanje lozinke", mnogi pomisle na nekoga tko sjedi na Vašoj stranici za prijavu i pokušava pogoditi lozinku. To se događa, ali nije najveća prijetnja. Dobra stranica za prijavu usporava nakon nekoliko pogrešnih pokušaja ili privremeno blokira pristup. Pogađanje kroz "ulazna vrata" ide sporo.

Opasnije je offline probijanje. Web stranica (ako je sve u redu) ne čuva Vašu lozinku izravno, nego hash: svojevrsni otisak prsta iz kojeg se lozinka ne može izravno izračunati natrag. Ako procuri baza podataka neke web trgovine, napadač te otiske ima na vlastitim računalima. Tamo nema usporavanja. Isprobava onoliko lozinki koliko njegova oprema može podnijeti i svaki rezultat uspoređuje s procurjelim otiskom.

Pritom koristi dvije metode:

• Rječnički napad: prvo sve ono što ljudi često biraju. Popisi s milijunima stvarnih lozinki iz prijašnjih curenja podataka, riječi iz rječnika, imena, mjesta, godine. Uz to i ustaljena pravila: veliko slovo na početku, godina na kraju, uskličnik na kraju, a postaje @, o postaje 0.
• Brute force (gruba sila): zatim sve moguće kombinacije znakova, od kratkih prema dugima.

Lozinka poput Zomer2026! djeluje jako: veliko slovo, brojevi, interpunkcijski znak, deset znakova. No, to je točno onaj obrazac koji se nalazi u tim pravilima: riječ, godina, znak. Takva lozinka pada već u prvom krugu, davno prije nego što počne brute force.

Duljina pobjeđuje neobične znakove

Koliko je lozinka jaka ovisi o tome koliko mogućnosti napadač mora isprobati. Taj broj izračunava se ovako: broj mogućih znakova na potenciju duljine.

Na običnoj tipkovnici postoji 95 znakova koje možete utipkati (velika i mala slova, brojevi, interpunkcijski znakovi i razmak). Nasumična lozinka od 8 znakova ima dakle 95 na potenciju 8 mogućnosti: otprilike 6,63 × 10^15. To zvuči puno, ali uz brzu opremu i slab način pohrane to se može probiti unutar nekoliko dana.

Svaki dodatni znak množi taj broj sa 95. Dodatna vrsta znaka (na primjer, dodavanje interpunkcijskih znakova samo slovima) množi osnovu samo malo. Zato duljina donosi puno više od složenosti.

Taj zadnji stupac je entropija: mjera koliko je nešto nepredvidivo, izražena u bitovima. Jednostavnim riječima: svaki dodatni bit udvostručuje posao napadača. Lozinka od 65 bitova dakle ne zahtijeva malo više, nego otprilike 4.000 puta više posla od lozinke od 53 bita.

Važno: ovi brojevi vrijede samo ako je lozinka doista nasumično odabrana. Lozinka koju sami smislite gotovo nikad nije nasumična. Bakkerij2026! ima trinaest znakova, ali po obrascu se nalazi u svakom popisu za probijanje lozinki.

Lozinkana rečenica

Jedna lozinkana rečenica je lozinka sastavljena od nekoliko zasebnih riječi, na primjer pet ili šest. Prednost: duga je, a ipak se može zapamtiti i utipkati. Nizozemski NCSC preporučuje odabir četiri do šest riječi koje međusobno nemaju nikakve veze, i navodi da je dugačka rečenica sa samo malim slovima sigurnija od kratke lozinke sa svim vrstama znakova.

Lozinkana rečenica jaka je samo ako su riječi odabrane nasumično:

• Dobro: generator (u Vašem upravitelju lozinki) ili kockice s popisom riječi. Poznata metoda s pet kockica koristi popis od 7.776 riječi, jer je 6 na potenciju 5 točno 7.776. Autori takvog popisa za većinu primjena preporučuju šest riječi.
• Pogrešno: poznata rečenica, tekst pjesme, poslovica ili nešto o Vama osobno. ikhouvanmijnhondbobby je dugačka, ali su riječi povezane i lako ih je pogoditi onima koji Vas poznaju ili čitaju Vaše društvene mreže.

Lozinkana rečenica i dalje je lozinka. Koristite je samo na jednom mjestu i ne dijelite je.

Jedinstvenost je važnija od složenosti

Najjača lozinka ne pomaže ako je koristite na dvadeset mjesta. U lekciji 1.4 vidjeli ste credential stuffing: procurjela e-mail adresa zajedno s lozinkom automatski se isprobava na pošti, knjigovodstvu, web trgovinama i društvenim mrežama. Ako procuri kod najslabijeg od tih dvadeset servisa, svih dvadeset postaju otvoreni.

Ponovna upotreba stoga je najveća slabost u praksi. A "malo različite varijante" ne broje se kao jedinstvene. Example!Mail i Example!Shop napadaču s jednom procurjelom lozinkom lako su pogodive u nekoliko pokušaja.

Rješenje nije pamćenje, nego pohrana: upravitelj lozinki za svaku uslugu izrađuje dugačku, nasumičnu lozinku i pamti je umjesto Vas. To je tema lekcije 2.2. Tada trebate zapamtiti tek nekoliko stvari: glavnu lozinku upravitelja i eventualno lozinku svog računala.

Što kaže smjernica NIST

Američki institut NIST (National Institute of Standards and Technology) objavljuje najpoznatiju smjernicu za prijavu: SP 800-63B. Četvrta verzija postala je konačna 31. srpnja 2025. Mnoge organizacije diljem svijeta slijede je. Najvažnije točke za lozinke:

• Ako je lozinka jedini način prijave, mora imati najmanje 15 znakova. Ako je dio dvofaktorske autentifikacije, najmanje 8.
• Usluga mora dopustiti lozinke od najmanje 64 znaka.
• Bez pravila o sastavu: usluga ne smije zahtijevati "najmanje jedno veliko slovo, jedan broj i jedan interpunkcijski znak".
• Ne tražiti periodičnu promjenu. Promjena samo ako postoji naznaka da je lozinka procurila.
• Nove lozinke provjeravati u odnosu na popis često korištenih i procurjelih lozinki.
• Dopustiti lijepljenje (paste) i upravitelje lozinki.
• Bez sigurnosnih pitanja ("ime Vašeg prvog kućnog ljubimca") i bez naznaka (hintova) za lozinku.

Zašto se obvezna promjena više ne preporučuje

Godinama ste na poslu morali birati novu lozinku svaka tri mjeseca. Ideja je bila: ukradena lozinka tako vrijedi samo kratko. U praksi ljudi rade ovo: Zomer2026! postaje Herfst2026!, zatim Winter2026!. Napadač sa starom lozinkom novu pogodi u nekoliko pokušaja. A tko god stalno mora smišljati novu lozinku, bira kraće lozinke i zapisuje ih na papirić.

Obvezna promjena dakle čini lozinke predvidljivijima. Lozinku svakako mijenjate odmah kad postoji razlog: obavijest o curenju podataka, neobična prijava, kolega koji odlazi, a poznavao je lozinku, ili ako ste je slučajno negdje upisali.

U praksi: politika lozinki na jednoj stranici

Za malu tvrtku poput Pekare Example dovoljna je kratka politika:

1. Svaki račun ima vlastitu, osobnu lozinku. Nema dijeljene prijave za info@example.com čiju lozinku zna pet osoba.
2. Lozinke izrađuje upravitelj lozinki: nasumične, najmanje 15 znakova, ili lozinkana rečenica od najmanje pet nasumičnih riječi koju morate utipkati.
3. Nikad ista lozinka na dva mjesta.
4. Dvofaktorska autentifikacija uključena na pošti, knjigovodstvu, banci, hostingu i registraciji domene (lekcija 2.3).
5. Promjena samo kad postoji razlog, i to odmah.
6. Lozinke nikad putem e-pošte, chata ili na papiriću na ekranu.

I Vaš kontrolni panel za hosting slijedi ovu smjernicu. U okruženju WebOké možete, na primjer, kod DA lozinke i kod poštanskih sandučića dati da se izradi nasumična lozinka; u drugim kontrolnim panelima ta se tipka često zove "Genereer" ili "Generate". Takav generator uvijek neka izradi najmanje 15 znakova; često možete sami odabrati duljinu.

Sažetak

• Napadači uglavnom probijaju lozinke offline, nakon curenja podataka, pomoću popisa i pravila. Predvidljivi obrasci padaju odmah.
• Duljina i prava nasumičnost donose puno više od neobičnih znakova. Svaki bit entropije udvostručuje posao.
• Lozinkana rečenica od nasumično odabranih riječi je duga, a ipak se može zapamtiti.
• Jedinstvenost je važnija od složenosti: ponovna upotreba pretvara jedno curenje podataka u dvadeset curenja.
• NIST SP 800-63B-4: najmanje 15 znakova kao jedini faktor, bez pravila o sastavu, bez periodične promjene, ali provjera u odnosu na procurjele lozinke.

Kviz

Zadatak

Zadatak A2.1: Računanje i procjena. Nigdje ne upisujete vlastitu lozinku. Dio 1: izračunajte koliko mogućnosti ima lozinkana rečenica, a koliko nasumična lozinka (dobit ćete brojeve riječi i znakova), koja je od njih dvije jača i koliko puta. Dio 2: procijenite šest izmišljenih primjera lozinki: predvidljiva, prekratka, ponovno korištena ili jaka. Program provjerava odgovore i uz svaki daje objašnjenje.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
• Kako promijeniti lozinku ili ograničenja svoje e-mail adrese?
• Nizozemski NCSC, Savjeti za smišljanje jake lozinke: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Nizozemski NCSC, Četiri koraka za sigurnije lozinke: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (na engleskom): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (na engleskom, popis riječi za kockice): https://www.eff.org/dice