Jak tworzyć silne hasła i włączyć MFA
Konto e-mail strzeże dostępu do wszystkich innych kont — to na nie przychodzą linki do resetowania haseł. W tej lekcji zbudujesz fundament swojego bezpieczeństwa: długie hasła, menedżer i drugi składnik logowania.
Dlaczego ochrona zaczyna się od haseł?
Twoje konto e-mail to klucz uniwersalny. Kto je przejmie, może zresetować hasła do banku, sklepu i mediów społecznościowych — bo wszędzie pyta się „nie pamiętasz hasła?" i link trafia właśnie na pocztę. Dlatego poczta zasługuje na najsilniejsze zabezpieczenie ze wszystkich kont.
Regularnie wyciekają bazy haseł z różnych serwisów. Przestępcy nie łamią ich ręcznie — biorą wycieknięte pary login + hasło i sprawdzają je automatycznie w dziesiątkach innych usług. Taki atak nazywa się credential stuffing i działa zaskakująco dobrze, bo ludzie powtarzają hasła. Stąd pierwsza zasada: jedno konto — jedno, niepowtarzalne hasło.
Zasada długości: dłuższe znaczy silniejsze
Programy do łamania haseł testują kombinacje po miliony na sekundę. Każdy dodatkowy znak w haśle wielokrotnie zwiększa liczbę możliwych kombinacji — dlatego długość bije skomplikowanie. Ośmioznakowe hasło z cyfrą i symbolem pada szybko; szesnastoznakowa fraza z prostych słów może być poza zasięgiem praktycznego ataku.
Najwygodniejszą techniką jest hasło-fraza: kilka losowych, niepowiązanych
słów połączonych myślnikami lub spacjami, np. Sok-Rower-Biblioteka-42.
Taką frazę łatwo zapamiętać i wpisać, a jest długa — i to długość robi robotę.
- Celuj w 12–16 znaków lub więcej dla ważnych kont (poczta, bank, chmura).
- Unikaj imion, dat urodzenia, słów ze słownika i sekwencji typu
qwertyczy12345. - Nie dopisuj roku na końcu starego hasła — to pierwszy wzór, który testują automaty.
Menedżer haseł — pamięć, która nie zawodzi
Nikt nie zapamięta pięćdziesięciu różnych, długich haseł — i nie musi. Menedżer haseł to zaszyfrowany sejf, który pamięta je za Ciebie. Ty pamiętasz tylko jedno hasło główne (najlepiej długą frazę), a menedżer generuje losowe hasła dla każdego serwisu i sam je wypełnia.
Ma on jeszcze jedną, rzadko docenianą zaletę: wypełnia hasło tylko na właściwej stronie. Jeśli wylądujesz na podrobionym loginie banku, menedżer milczy — to wczesne ostrzeżenie przed phishingiem, o którym mowa w następnej lekcji. Menedżery są wbudowane w popularne przeglądarki i systemy telefonów; wersje chmurowe potrafią dodatkowo synchronizować sejf między urządzeniami.
Czym jest MFA — drugi zamek do drzwi
Uwierzytelnianie wieloskładnikowe (MFA, często nazywane 2FA) wymaga przy logowaniu dwóch różnych rodzajów dowodu. Są trzy kategorie:
- coś, co wiesz — hasło, PIN,
- coś, co masz — telefon z aplikacją, klucz sprzętowy,
- coś, kim jesteś — odcisk palca, rozpoznawanie twarzy.
Gdy włączysz MFA, samo hasło nie wystarczy do wejścia na konto. Nawet jeśli wycieknie lub zostanie odgadnięte, atakujący zatrzyma się na drugim składniku. Przy konfiguracji serwis da Ci też kody zapasowe — jednorazowe hasła awaryjne. Zapisz je na kartce lub w menedżerze i trzymaj offline; bez nich utrata telefonu może oznaczać utratę konta.
Dlaczego aplikacja jest lepsza niż SMS
Kod z SMS-a można przechwycić: oszuści wyłudzają u operatora duplikat karty SIM ofiary (tzw. SIM swapping) i przejmują numer telefonu. Aplikacja uwierzytelniająca generuje kody lokalnie w Twoim telefonie, co ok. 30 sekund, bez połączenia z siecią — nie ma czego przechwycić w transmisji. Jeszcze silniejsze są klucze sprzętowe i passkeys, które potwierdzają logowanie kryptograficznie.
| Składnik | Jak działa | Odporność na ataki |
|---|---|---|
| Aplikacja uwierzytelniająca | Generuje kody offline, co ok. 30 s | Wysoka |
| SMS z kodem | Kod wysyłany na numer telefonu | Średnia — podatna na SIM swapping |
| Klucz sprzętowy / passkey | Kryptograficzne potwierdzenie urządzeniem | Bardzo wysoka |
- Zaloguj się do poczty e-mail i wejdź w ustawienia konta, do sekcji Bezpieczeństwo.
- Znajdź opcję „weryfikacja dwuetapowa" lub „uwierzytelnianie dwuskładnikowe" i rozpocznij konfigurację.
- Jako metodę wybierz aplikację uwierzytelniającą i zeskanuj kod QR telefonem.
- Wygeneruj kody zapasowe i zapisz je w bezpiecznym miejscu offline.
- Wyloguj się i zaloguj ponownie — sprawdź, czy logowanie z drugim składnikiem działa sprawnie.