Vodič za lozinke: Neka imaju više od 15 znakova, ne klonirajte ih, a evo kad ih mijenjati

Unatoč sve većem usvajanju biometrije i naprednih metoda autentifikacije, lozinke i dalje ostaju temeljna zaštitna brana između naših podataka i potencijalnog napadača. Zašto? Zato što su jednostavne, univerzalne i ne traže posebnu tehnologiju, objašnjava naš sugovornik Roland Lipošinović, stručnjak za korporativnu sigurnost u Infobipu:

Biometrija je korisna, ali kad jednom procuri otisak prsta ili lice, to se ne može promijeniti. Lozinka može.

Povodom Svjetskog dana lozinki (da, i to postoji), koji se obilježava svakog prvog četvrtka u svibnju, Roland nam je pripremio praktičan vodič za sigurnije digitalno ponašanje. S njim smo prošli kroz ključne sigurnosne prakse, najčešće greške koje korisnici rade pri kreiranju lozinki, a zamolili smo ga i da nam pomogne razriješiti dilemu je li sigurnije koristiti Prijavu putem Googlea ili ipak kreirati zasebnu lozinku za svaku platformu.

Stručnjak za korporativnu sigurnost odgovorio nam je na nekoliko ključnih pitanja:

Zašto su lozinke još uvijek toliko važne, unatoč razvoju biometrije i drugih metoda autentifikacije?

Jer su jednostavne, fleksibilne i ne zahtijevaju skupu tehnologiju. Biometrija (otisak prsta, prepoznavanje lica) ovisi o hardveru koji može zakazati ili biti hakiran. Kad se biometrija kompromitira, ne možeš promijeniti lice. Lozinku promijeniti je brzo, jednostavno i jeftino.

Koje su najčešće greške koje ljudi rade prilikom kreiranja lozinki?

Korištenje prečaca. Evo najgorih grešaka koje su, nažalost, sveprisutne, a kriminalci su jako svijesni njihova postojanja:

• Jednostavne ili predvidljive lozinke – 123456, password, qwerty (da, čak i u 2025.) ili bilo koji slijedni niz znakova sa tipkovnice npr. asdfghjk
• Korištenje osobnih podataka – rođendana, imena djece, imena kućnih ljubimaca, ili drugih informacija lako dostupnih sa socijalnih medija
• Korištenje riječi iz riječnika i popularnih naziva – kao imena klubova, poznatih brandova, nazive mjeseci ili godišnjih doba (!Listopad!2024“)
• Ponovno korištenje iste lozinke na više mjesta – jer tko može zapamtiti 50 lozinki? (Spoiler: password manager može.)
• Kratke lozinke – danas bi 12 znakova trebalo biti minimum, čak dolazimo u vrijeme kad bi preporučio 15+. Realnost je da lozinke često procure, pogotovo kad se dogodi računalni incident i onda kriminalci isprobavaju te lozinke na svim drugim popularnim mjestima – lozinke koje imaju veći broj znakova znatno je teže razbiti

Koliko znakova i koji tipovi znakova čine sigurnu lozinku u 2025.?

Sigurna lozinka 2025. godine treba imati:

• Najmanje 12 znakova (minimum za sigurnost), preporuka je ići na 15+
• Mješavinu velikih slova, malih slova, brojeva i specijalnih znakova (poput @$!%*?&).

Primjer dobre lozinke:
T3!aZq#9pW7%uR@1

Još bolje – koristi passphrase: rečenicu od više riječi, poput:
IskreLete@Podne9146!

Koliko su sigurne opcije Prijava putem Google/Facebook računa koje nude mnoge aplikacije?

Slično ko vožnja taksijem: sigurno je – ako vjeruješ vozaču i autu.

• Prednosti: Google, Apple i slični ulažu ogromne resurse u sigurnost
• Rizici: Ako ti se Google račun kompromitira, napadač ima pristup svemu gdje si koristio Sign in with Google.

Još su sigurnije ako imaš jaku lozinku + dvofaktorsku autentifikaciju (2FA) na glavnom računu.

Koliko često bismo trebali mijenjati lozinke – i kada je to zapravo nužno?

Ako je lozinka dobra (vidi gore), postoji 2FA – treba je mijenjati kada za to postoji stvaran razlog – npr. neki od servisa gdje se koristi je imao računalni incident ili bilo koji drugi razlog koji bi ukazivao na to da je lozinka kompromitirana. Zbog predostrožnosti, ako su ispunjeni svi uvjeti za sigurnu lozinku i jer nije jednostavno pratiti tko je imao računalni incident, a neki možda ni ne objave – 1 godišnje za mir u duši.

Kako znati da nam je neka lozinka kompromitirana?

Signali kompromitacije:

• Prijave iz čudne lokacije (Indonezija u 3 ujutro, a ti spavaš u Zagrebu).
• Dobivaš emailove o resetiranju lozinke koje nisi sam inicirao.
• Servis koji koristiš javlja da je došlo do sigurnosnog incidenta.
• Nađeš svoju email adresu i lozinku na stranicama poput HaveIBeenPwned.

Ako vidiš bilo koji od ovih znakova – odmah mijenjati lozinku.

Što bi svaka tvrtka trebala poduzeti u vezi politike lozinki svojih zaposlenika?

Minimalne preporuke 2025.:

• Preporučena upotreba password managera.
• Obavezna dvofaktorska autentifikacija za sve korporativne račune.
• Minimalna duljina lozinki od 12 znakova
• Redovita obuka zaposlenika o prijetnjama i najboljim praksama zaštite.

Nije dovoljno samo reći stavite jaku lozinku – treba omogućiti alate i edukaciju kako bi ljudi to mogli i stvarno učiniti.