Jake lozinke i menadžeri lozinki: kako da rešite problem jednom zauvek

Hajde da odmah raščistimo najvažniju stvar: napadači uglavnom ne „pogađaju" lozinke gledajući u vaš login ekran. Oni uzmu baze lozinki procurele iz velikih hakovanja — takvih naloga ima na milijarde, proverite se na haveibeenpwned.com — i automatski ih isprobavaju na stotinama drugih sajtova. To se zove credential stuffing. Ako istu lozinku koristite za email, Facebook i WordPress admin, dovoljno je da procuri sa najslabijeg sajta pa da padnu svi ostali.

Šta lozinku čini jakom (a šta ne)

Zaboravite pravilo „veliko slovo, broj i znak" — P@ssw0rd1! ispunjava sva ta pravila, a alat za razbijanje je lomi za sekunde jer su takve zamene prve na spisku. Ono što stvarno odlučuje je dužina i nasumičnost:

• Lozinka od 8 znakova, ma koliko „komplikovana", danas se grubom silom razbija za nekoliko sati na jačem hardveru.
• Nasumična lozinka od 16+ znakova je praktično nesalomiva — govorimo o milijardama godina.
• Ako lozinku morate da pamtite, koristite frazu od 4-5 nasumičnih reči: „tramvaj-jastuk-limun-sever" je i duža i lakša za pamćenje od „Kr7#mQ2!".
• Najbitnije pravilo od svih: jedna lozinka = jedan nalog. Bez izuzetka.

Menadžer lozinki: rešenje koje sve ovo čini lakim

Niko ne može da pamti 80 različitih nasumičnih lozinki — i ne treba. Menadžer lozinki (Bitwarden, 1Password, KeePassXC) pamti ih umesto vas, šifrovane jednom glavnom lozinkom koju jedinu morate da znate. Uz to: generiše nasumične lozinke jednim klikom, automatski ih popunjava u browseru, sinhronizuje se između računara i telefona i upozorava ako se neka od vaših lozinki pojavila u procurelim bazama. Bitwarden je open-source i besplatan za sve osnovne funkcije — nulti trošak, ogroman dobitak.

Ali da li je bezbedno držati sve na jednom mestu?

Legitimna briga. Odgovor: da, jer menadžeri koriste „zero-knowledge" arhitekturu — vaše lozinke su šifrovane vašom glavnom lozinkom pre nego što napuste uređaj, pa ni sam servis ne može da ih pročita. Alternativa nije „lozinke na sto mesta", nego u praksi tri varijante iste slabe lozinke svuda. Glavnu lozinku napravite kao dugu frazu, uključite 2FA na sam menadžer — i taj jedan nalog čuvajte kao ključeve od kuće.

Šta ovo znači za vaš sajt

Kao vlasnik sajta imate nekoliko naloga čiji pad znači katastrofu: hosting panel, registar domena, WordPress admin, poslovni email i FTP/baza. Za svaki od njih: nasumična lozinka iz menadžera od 20+ znakova, plus 2FA gde god postoji. Brute-force pokušaje na login stranu ionako ne treba da dočekujete sami — naši hosting paketi uključuju WAF koji automatske napade blokira pre nego što stignu do sajta, a WordPress hosting dodaje i dnevni backup za slučaj da sve ostalo zakaže. Sat vremena da postavite menadžer i promenite ključne lozinke — verovatno najbolje uložen sat u bezbednost vašeg biznisa ove godine.