Lekce 1.5

Hesla, úniky dat a správce hesel

Jak server ukládá hesla, co se stane, když jeho databáze unikne, proč je opakované heslo horší než slabé a jak pomůže správce hesel a passkey.

Cvičení 1

Audit hesel

Co si vyzkoušíte

Zjistíte, jestli se váš e-mail objevil v úniku dat a jak na tom jsou hesla uložená v prohlížeči. Nic neměníte, jen zjišťujete stav. Žádná hesla si nikam nevypisujte, zapisujte jen počty a názvy služeb.

Kontrolu uložených hesel najdete v prohlížeči tady:

Prohlížeč Kde je kontrola hesel
Chrome chrome://password-manager/checkup
Edge edge://wallet/passwords
Firefox about:logins, upozornění u jednotlivých záznamů
Safari na Macu v aplikaci Hesla, v části Zabezpečení

Zadání

  1. Na haveibeenpwned.com zadejte svůj osobní e-mail. Vyzkoušejte také školní. V kolika únicích se objevil?
  2. U jednoho úniku si přečtěte popis: kdy se stal, jaké údaje unikly a jestli popis zmiňuje, jak byla hesla uložená. Podle výkladu zařaďte, jestli šlo o čitelnou podobu, rychlý hash bez soli, nebo pomalou funkci. Když e-mail v žádném úniku není, vyberte si libovolný únik ze seznamu na stránce Breaches.
  3. Otevřete kontrolu hesel ve svém prohlížeči. Kolik hesel označí jako uniklá, kolik jako opakovaná a kolik jako slabá? Zapište jen počty. Pokud hesla v prohlížeči neukládáte, sepište si na papír pět svých nejdůležitějších účtů a vyznačte, které mají stejné heslo.
  4. Najděte v prohlížeči generátor hesel, nebo použijte generátor Bitwardenu (na stránce musíte sjet kousek dolů na Free Password Generator). Vygenerujte heslo o dvaceti znacích a heslovou frázi z pěti slov. Kterou z nich byste radši opisovali do telefonu?
  5. Podle výsledků vyberte tři účty, kterým byste měli změnit heslo jako prvním, a u každého napište proč. Pokud mezi nimi je heslo k e-mailu, zdůvodněte i jeho pořadí.

Bonus

  1. Na passkeys.directory najděte tři služby, které používáte a které nabízejí passkey.
  2. Vyzkoušejte si Pwned Passwords ručně. Spočítejte hash SHA-1 hesla heslo123:
Windows
Get-FileHash -Algorithm SHA1 -InputStream ([IO.MemoryStream]::new([Text.Encoding]::UTF8.GetBytes('heslo123')))
Linux
echo -n 'heslo123' | sha1sum
Mac
echo -n 'heslo123' | shasum

Prvních pět znaků hashe doplňte na konec adresy https://api.pwnedpasswords.com/range/ a adresu otevřete v prohlížeči. Najděte ve výpisu zbytek hashe. Kolikrát heslo uniklo a co z toho server o vašem hesle mohl zjistit?