Τι είναι πραγματικά ένας ισχυρός κωδικός πρόσβασης

Ενότητα 2: Κωδικοί πρόσβασης και σύνδεση · Χρόνος ανάγνωσης: 9 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε γιατί το μήκος και η μοναδικότητα είναι πιο σημαντικά από περίεργους χαρακτήρες, και τι λέει η τρέχουσα οδηγία NIST για τους κωδικούς πρόσβασης.

Βασικές έννοιες: μήκος, εντροπία, φράση πρόσβασης, επίθεση λεξικού, brute force, επαναχρησιμοποίηση, υποχρεωτική αλλαγή

Πώς σπάει ένας κωδικός πρόσβασης

Όταν ακούμε για το «σπάσιμο» ενός κωδικού πρόσβασης, πολλοί φαντάζονται κάποιον να δοκιμάζει κωδικούς στη σελίδα σύνδεσής σας. Αυτό συμβαίνει, αλλά δεν είναι η μεγαλύτερη απειλή. Μια καλή σελίδα σύνδεσης επιβραδύνει ή μπλοκάρει προσωρινά μετά από κάποιες λανθασμένες προσπάθειες. Η μαντεψιά από την «μπροστινή πόρτα» είναι επομένως αργή.

Πιο επικίνδυνο είναι το offline σπάσιμο. Ένας ιστότοπος δεν αποθηκεύει (αν όλα γίνονται σωστά) τον κωδικό πρόσβασής σας αυτούσιο, αλλά ένα hash: ένα είδος αποτυπώματος από το οποίο δεν μπορείτε να υπολογίσετε απευθείας τον κωδικό. Αν διαρρεύσει η βάση δεδομένων ενός ηλεκτρονικού καταστήματος, ο επιτιθέμενος αποκτά αυτά τα αποτυπώματα στους δικούς του υπολογιστές. Εκεί δεν υπάρχει πέδηση. Δοκιμάζει όσους κωδικούς αντέχει ο εξοπλισμός του και συγκρίνει κάθε αποτέλεσμα με το αποτύπωμα που διέρρευσε.

Για αυτό χρησιμοποιεί δύο μεθόδους:

• Επίθεση λεξικού: πρώτα δοκιμάζει ό,τι επιλέγουν συχνά οι άνθρωποι. Λίστες με εκατομμύρια πραγματικούς κωδικούς από προηγούμενες διαρροές, λέξεις από λεξικά, ονόματα, τοποθεσίες, χρονολογίες. Μαζί με σταθερούς κανόνες: κεφαλαίο γράμμα στην αρχή, χρονολογία στο τέλος, θαυμαστικό στο τέλος, το a γίνεται @, το o γίνεται 0.
• Brute force: έπειτα όλοι οι πιθανοί συνδυασμοί χαρακτήρων, από τους κοντύτερους προς τους μακρύτερους.

Ένας κωδικός πρόσβασης όπως Zomer2026! φαίνεται ισχυρός: κεφαλαίο γράμμα, αριθμοί, σημείο στίξης, δέκα χαρακτήρες. Όμως είναι ακριβώς το μοτίβο που περιλαμβάνεται σε αυτούς τους κανόνες: μια λέξη, μια χρονολογία, ένα σύμβολο. Ένας τέτοιος κωδικός πέφτει στον πρώτο γύρο, πολύ πριν ξεκινήσει καν το brute force.

Το μήκος νικά τους περίεργους χαρακτήρες

Το πόσο ισχυρός είναι ένας κωδικός πρόσβασης εξαρτάται από το πόσες δυνατότητες πρέπει να δοκιμάσει ένας επιτιθέμενος. Αυτός ο αριθμός υπολογίζεται ως εξής: αριθμός πιθανών χαρακτήρων υψωμένος στη δύναμη του μήκους.

Σε ένα συνηθισμένο πληκτρολόγιο υπάρχουν 95 χαρακτήρες που μπορείτε να πληκτρολογήσετε (κεφαλαία και πεζά γράμματα, αριθμοί, σημεία στίξης και το κενό διάστημα). Ένας τυχαίος κωδικός πρόσβασης 8 χαρακτήρων έχει τότε 95 στη δύναμη 8 δυνατότητες: περίπου 6,63 × 10^15. Αυτό φαίνεται πολύ, αλλά με γρήγορο εξοπλισμό και αδύναμο τρόπο αποθήκευσης, αυτό εξαντλείται μέσα σε λίγες ημέρες.

Κάθε επιπλέον χαρακτήρας πολλαπλασιάζει τον αριθμό επί 95. Ένα επιπλέον είδος χαρακτήρα (για παράδειγμα η προσθήκη σημείων στίξης σε έναν κωδικό μόνο με γράμματα) πολλαπλασιάζει τη βάση μόνο λίγο. Γι' αυτό το μήκος αποδίδει πολύ περισσότερο από την πολυπλοκότητα.

Αυτή η τελευταία στήλη είναι η εντροπία: ένα μέτρο του πόσο απρόβλεπτο είναι κάτι, εκφρασμένο σε bits. Σε απλά λόγια: κάθε επιπλέον bit διπλασιάζει τη δουλειά του επιτιθέμενου. Ένας κωδικός πρόσβασης 65 bits κοστίζει επομένως όχι λίγο, αλλά περίπου 4.000 φορές περισσότερη δουλειά από έναν κωδικό 53 bits.

Σημαντικό: αυτοί οι αριθμοί ισχύουν μόνο αν ο κωδικός πρόσβασης έχει επιλεγεί πραγματικά τυχαία. Ένας κωδικός πρόσβασης που εσείς σκαρφίζεστε σχεδόν ποτέ δεν είναι τυχαίος. Ο Bakkerij2026! έχει δεκατρείς χαρακτήρες, αλλά ως προς το μοτίβο βρίσκεται σε κάθε λίστα σπασίματος κωδικών.

Η φράση πρόσβασης

Μια φράση πρόσβασης είναι ένας κωδικός πρόσβασης που αποτελείται από μερικές ξεχωριστές λέξεις, για παράδειγμα πέντε ή έξι. Το πλεονέκτημα: είναι μακρύς, αλλά παραμένει εύκολος στην απομνημόνευση και στην πληκτρολόγηση. Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC) συνιστά να επιλέγετε τέσσερις έως έξι λέξεις που δεν έχουν καμία σχέση μεταξύ τους, και αναφέρει ότι μια μακριά φράση με μόνο πεζά γράμματα είναι ασφαλέστερη από έναν σύντομο κωδικό πρόσβασης με όλα τα είδη χαρακτήρων.

Μια φράση πρόσβασης είναι ισχυρή μόνο αν οι λέξεις έχουν επιλεγεί τυχαία:

• Σωστά: μια γεννήτρια (στον διαχειριστή κωδικών πρόσβασής σας) ή ζάρια με μια λίστα λέξεων. Η γνωστή μέθοδος με πέντε ζάρια χρησιμοποιεί μια λίστα 7.776 λέξεων, επειδή το 6 στη δύναμη 5 είναι ακριβώς 7.776. Οι δημιουργοί μιας τέτοιας λίστας συνιστούν για τις περισσότερες χρήσεις έξι λέξεις.
• Λάθος: μια γνωστή φράση, στίχοι τραγουδιού, μια παροιμία ή κάτι σχετικό με εσάς. Το agaposkyloBobby είναι μακρύ, αλλά οι λέξεις σχετίζονται μεταξύ τους και είναι εύκολο να μαντευτούν από όποιον σας γνωρίζει ή διαβάζει τα social media σας.

Μια φράση πρόσβασης παραμένει κωδικός πρόσβασης. Τη χρησιμοποιείτε σε ένα μόνο σημείο και δεν τη μοιράζεστε.

Η μοναδικότητα είναι πιο σημαντική από την πολυπλοκότητα

Ο ισχυρότερος κωδικός πρόσβασης δεν βοηθά αν τον χρησιμοποιείτε σε είκοσι σημεία. Στο μάθημα 1.4 είδατε το credential stuffing: μια διαρρεύσασα διεύθυνση email με κωδικό πρόσβασης δοκιμάζεται αυτόματα σε email, λογιστικά προγράμματα, ηλεκτρονικά καταστήματα και social media. Αν διαρρεύσει στην πιο αδύναμη από αυτές τις είκοσι υπηρεσίες, τότε και οι είκοσι ανοίγουν.

Η επαναχρησιμοποίηση είναι επομένως η μεγαλύτερη αδυναμία στην πράξη. Και «λίγες παραλλαγές» δεν μετράνε ως μοναδικότητα. Οι κωδικοί Example!Mail και Example!Shop μπορούν να μαντευτούν από έναν επιτιθέμενο που έχει έναν διαρρεύσαντα κωδικό, μέσα σε λίγες προσπάθειες.

Η λύση δεν είναι η απομνημόνευση, αλλά η αποθήκευση: ένας διαχειριστής κωδικών πρόσβασης δημιουργεί για κάθε υπηρεσία έναν μακρύ, τυχαίο κωδικό πρόσβασης και τον θυμάται για εσάς. Αυτό είναι το μάθημα 2.2. Τότε χρειάζεται να θυμάστε μόνο λίγα πράγματα: τον κύριο κωδικό πρόσβασης του διαχειριστή και ενδεχομένως τον κωδικό πρόσβασης του υπολογιστή σας.

Τι λέει η οδηγία NIST

Ο αμερικανικός οργανισμός NIST (National Institute of Standards and Technology) δημοσιεύει την πιο γνωστή οδηγία για τη σύνδεση: το SP 800-63B. Η τέταρτη έκδοση οριστικοποιήθηκε στις 31 Ιουλίου 2025. Πολλοί οργανισμοί παγκοσμίως την ακολουθούν. Τα κυριότερα σημεία για τους κωδικούς πρόσβασης:

• Αν ο κωδικός πρόσβασης είναι ο μοναδικός τρόπος σύνδεσης, τότε τουλάχιστον 15 χαρακτήρες. Αν αποτελεί μέρος ελέγχου ταυτότητας δύο παραγόντων (2FA), τότε τουλάχιστον 8.
• Μια υπηρεσία πρέπει να επιτρέπει κωδικούς πρόσβασης τουλάχιστον 64 χαρακτήρων.
• Καμία υποχρεωτική σύνθεση κανόνων: μια υπηρεσία δεν επιτρέπεται να απαιτεί «τουλάχιστον ένα κεφαλαίο γράμμα, έναν αριθμό και ένα σημείο στίξης».
• Να μην απαιτείται περιοδική αλλαγή. Αλλαγή μόνο όταν υπάρχει ένδειξη ότι ο κωδικός πρόσβασης έχει διαρρεύσει.
• Έλεγχος νέων κωδικών πρόσβασης σε σχέση με λίστα συχνά χρησιμοποιούμενων και διαρρευσάντων κωδικών.
• Να επιτρέπεται η επικόλληση και η χρήση διαχειριστών κωδικών πρόσβασης.
• Καμία ερώτηση ασφαλείας («το όνομα του πρώτου σας κατοικίδιου») και κανένα υπόδειγμα κωδικού πρόσβασης.

Γιατί δεν συνιστάται πλέον η υποχρεωτική αλλαγή

Επί χρόνια έπρεπε να επιλέγετε νέο κωδικό πρόσβασης στη δουλειά σας κάθε τρεις μήνες. Η ιδέα: ένας κλεμμένος κωδικός πρόσβασης λειτουργεί τότε μόνο για λίγο. Στην πράξη, οι άνθρωποι κάνουν το εξής: το Zomer2026! γίνεται Herfst2026!, μετά Winter2026!. Ένας επιτιθέμενος με τον παλιό κωδικό πρόσβασης μαντεύει τον νέο μέσα σε λίγες προσπάθειες. Και όποιος πρέπει συνεχώς να σκέφτεται νέο κωδικό πρόσβασης, επιλέγει πιο σύντομους και τους γράφει σε ένα χαρτάκι.

Η υποχρεωτική αλλαγή κάνει επομένως τους κωδικούς πρόσβασης πιο προβλέψιμους. Παρ' όλα αυτά, αλλάζετε αμέσως όταν υπάρχει λόγος: μια ειδοποίηση για διαρροή, μια παράξενη σύνδεση, ένας συνάδελφος που αποχωρεί και γνώριζε τον κωδικό πρόσβασης, ή αν τον πληκτρολογήσατε κατά λάθος κάπου.

Στην πράξη: μια πολιτική κωδικών πρόσβασης σε μία σελίδα Α4

Για μια μικρή επιχείρηση όπως ο Φούρνος Example αρκεί μια σύντομη πολιτική:

1. Κάθε λογαριασμός έχει δικό του, προσωπικό κωδικό πρόσβασης. Όχι κοινόχρηστη σύνδεση για το info@example.com της οποίας τον κωδικό γνωρίζουν πέντε άτομα.
2. Οι κωδικοί πρόσβασης δημιουργούνται από τον διαχειριστή κωδικών πρόσβασης: τυχαίοι, τουλάχιστον 15 χαρακτήρες, ή μια φράση πρόσβασης τουλάχιστον πέντε τυχαίων λέξεων που πρέπει να πληκτρολογήσετε.
3. Ποτέ ο ίδιος κωδικός πρόσβασης σε δύο σημεία.
4. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA) σε email, λογιστικά, τράπεζα, hosting και καταχώριση domain (μάθημα 2.3).
5. Αλλαγή μόνο όταν υπάρχει λόγος, και τότε αμέσως.
6. Ποτέ μην στέλνετε κωδικούς πρόσβασης μέσω email, chat ή σε χαρτάκι κολλημένο στην οθόνη.

Και ο πίνακας hosting σας ακολουθεί αυτή τη λογική. Στο περιβάλλον του WebOké, για παράδειγμα, μπορείτε να δημιουργήσετε τυχαίο κωδικό πρόσβασης για τον κωδικό DA και για mailboxes· σε άλλους πίνακες αυτό το κουμπί ονομάζεται συχνά «Genereer» ή «Generate». Αφήστε μια τέτοια γεννήτρια να δημιουργεί πάντα τουλάχιστον 15 χαρακτήρες· συχνά μπορείτε να επιλέξετε εσείς το μήκος.

Σύνοψη

• Οι επιτιθέμενοι σπάνε κωδικούς κυρίως offline, μετά από διαρροή, με λίστες και κανόνες. Τα προβλέψιμα μοτίβα πέφτουν αμέσως.
• Το μήκος και η πραγματική τυχαιότητα αποδίδουν πολύ περισσότερο από περίεργους χαρακτήρες. Κάθε bit εντροπίας διπλασιάζει τη δουλειά.
• Μια φράση πρόσβασης από τυχαία επιλεγμένες λέξεις είναι μακριά αλλά παραμένει εύκολη στην απομνημόνευση.
• Η μοναδικότητα είναι πιο σημαντική από την πολυπλοκότητα: η επαναχρησιμοποίηση μετατρέπει μία διαρροή σε είκοσι διαρροές.
• NIST SP 800-63B-4: τουλάχιστον 15 χαρακτήρες ως μοναδικός παράγοντας, καμία υποχρεωτική σύνθεση κανόνων, καμία περιοδική αλλαγή, αλλά έλεγχος σε σχέση με διαρρευσάντες κωδικούς πρόσβασης.

Κουίζ

Άσκηση

Άσκηση A2.1: Υπολογισμός και αξιολόγηση. Δεν συμπληρώνετε πουθενά δικό σας κωδικό πρόσβασης. Μέρος 1: υπολογίστε πόσες δυνατότητες έχουν μια φράση πρόσβασης και ένας τυχαίος κωδικός πρόσβασης (σας δίνονται οι αριθμοί λέξεων και χαρακτήρων), ποιος από τους δύο είναι ισχυρότερος και πόσες φορές. Μέρος 2: αξιολογήστε έξι εικονικούς κωδικούς πρόσβασης παραδείγματος: προβλέψιμος, πολύ σύντομος, επαναχρησιμοποιημένος ή ισχυρός. Το πρόγραμμα ελέγχει και δίνει εξήγηση για κάθε απάντηση.

Για περαιτέρω μελέτη

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
• Πώς αλλάζω τον κωδικό πρόσβασης ή τα όρια της διεύθυνσης email μου;
• Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Συμβουλές για τη δημιουργία ενός ισχυρού κωδικού πρόσβασης: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Τέσσερα βήματα για ασφαλέστερους κωδικούς πρόσβασης: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (στα αγγλικά): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (στα αγγλικά, η λίστα λέξεων με ζάρια): https://www.eff.org/dice