Názory k článku
Heslo novo123 je nové nbusr123

Nepoužívej hesla, nepoužívej hesla, nepoužívej hesla. Ale je to marný, je to marný, je to marný. Aspoň že nezaplatili.

Máte pravdu - proto mám všude administrátorské účty bez hesla... ;D

Tohle je dost relativní věc, nemyslíš? Nezaplatit je skvělé, ale kdybych byl jejich pacientem a byla tam má zdravodní citlivá data?

Ak by aj zaplatili tak to dopadne rovnako. Alebo sa domnievate že zlodej dodrží slovo a ukradnuté dáta už nikdo neuvidí?

Jenže zloděj slovo dodržel. Nezaplatili, takže data zveřejnil.

Zřejmě se domnívali, že když nezaplatí, tak je nezveřejní :-D

Nebylo by to prvně, co data po zaplacení zveřejněna nebyla. Je to problematická situace, ke které nemělo dojít, ale když už došlo, není tak jednoduché plácnout od stolu, že se nemá zaplatit.

Pouzivani hesel je celkem bezproblemova zalezitost, pokud system a jeho clovek nejsou vypatlani.

Samozrejme, ideal to neni, ale rozhodne neplati "nepouzivej hesla".

Jistě že taky mám hesla, jenže heslo jakožto "něco co vím" má velmi omezené použití protože člověk má dosti omezenou paměť, i několik unikátních pinů může být problém natož desítky kvalitních unikátních hesel, takže si hesla někam zaznamená a z "něco vím" se stane "něco mám" A pro "něco mám" existuje spousta lepších věcí než sekvence osmi/deseti/dva­nácti znaků kde musí/nesmí být… Jsem přesvědčený že většina průniků skrz slabá hesla je právě skrz místa kde by se to dalo řešit zcela bez hesel.

Není i třeba RSA 2048 takové "heslo" o velikosti 256 bajtů?

Hesla a klíče bych nemíchal. Obojí je nějaké tajemství. V případě klíče můžeme požadovat nějakou strukturu, kterou bychom stěží mohli chtít po člověku – prvočísla, přesnou délku, absenci podobnosti (vizte related key attack). Naopak u hesel předpokládáme, že si je aspoň někteří uživatelé budou chtít zvolit sami, a zmíněné požadavky na hesla znějí absurdně.

Ostatně v moderní kryptografii při šifrování heslem nepoužíváme toto heslo jako klíč. Spíš to heslo použijeme k odvození klíče, a k tomu použijeme vhodný algoritmus, který ztíží bruteforce. Naopak u klíčů bruteforce by neměl jít už kvůli délce.

Dalo by se to tak říct. Narozdíl od reálného hesla má ale mnohem vyšší entropii (je generován vždy alespoň z části náhodně - u RSA v podstatě výsledek dvou náhodných prvočísel) a délku. A kryptografické algoritmy jsou speciálně proto navrženy tak, aby neexistovaly o moc lepší způsoby než bruteforce.

21. 6. 2026, 07:15 editováno autorem komentáře

Kryptografii nerozumím, takže budu rád, když mě někdo případně opraví, ale měl jsem za to, že klíč má tu výhodu, že nemusí opustit Vaše zařízení - kdežto heslo se z podstaty musí posílat sem a tam.

I autentizace klíčem může být udělaná tak, že klíč opustí vaše zařízení. A naopak i autentizace heslem může být udělaná tak, že heslo vaše zařízení neopustí.

Ani to neplatí, existují protokoly jako https://en.wikipedia.org/wiki/Secure_Remote_Password_protocol kde nejen že server nemá heslo (nebo to, čím se autentizuje), ale ani nechodí po síti.

V princípe ak to zakodujete cez base 64 dostanete náhodne 44 znakove heslo.

Ne, pořád to bude BASE64 zakódovaný klíč.

Aj keď ňom zmenim 4 písmenká? Je to úplne jedno, sú to iba názvy. Či z toho urobíte kľúč cez SHA alebo cez Base 64 je iba otázka implementácie.

Spíš bych řekl, že to záleží na použití. Pokud to nechám dekódovat a použiju to jako RSA klíč, pak ano, je to klíč. Pokud to proženu přes scrypt/Argon2 a výsledný klíč použiju třeba do AES-GCM, pak je to heslo. Pravda, poněkud zvláštní heslo, ale při tomto použití to heslo je.

Z 256B (2048b) pomocí base64 neuděláte 44 znaků

Ale jo, jsou způsoby, jak z hesla udělat klíč, a v principu by to mělo jít i naopak. Byť u RSA klíče mi to přijde poněkud nepraktické, má požadavky na strukturu, které u hesla nemají moc význam. Spíš bych vzal náhodných 16B (128b)* a zakódoval je pomocí base64 či base32 nebo něčeho podobného. (S base32 to heslo nebude o tolik delší na znaky, a paradoxně to může znamenat i méně úderů do kláves, protože nestřídáme malá a velká písmena.)

*) Případně 32B (256b), pokud se obáváte kvantových počítačů a Groverova algoritmu.

Farmaceutické společnosti ke kvalitnímu heslu gratulujeme a třeba se teď ze zveřejněných dat dozvíme i nějaké pikantnosti, např. nepublikované výsledky studií, které nevyznívaly zrovna ve prospěch jejich přípravků :) Tj. všechno zlé by mohlo být pro něco dobré.

To heslo je take pekne lahko zapametatelne a to sa mi paci, nie je potrebne mat cely pocitac polepeni zltymi listkami z heslami ako je to v praci bezne vidiet :-)

Lepítka jsou takový cold storage pass manager
V práci nic moc, ale doma lepší, než "hesla.txt" na ploše.

A brutalne horsi nez passwordmanager. Navic podstatne mene pohodlne.

Záleží, jak to posuzujete. Co se týče dostupnosti, tak to lepítko má spoustu výhod - offline storage, automaticky vyřešený řízený (based na physical security) emergency access, za celkem sane podmínek (případná webka směrem na xicht, ne na monitor) jsou odolné proti veškerým online útokům...

Není to odolné proti phishingu, což je ten největší problém.

Překvapuje mě jak málo Apple zapromoval a jak málo BFU používá jejich Passwords appku. Je skvělá v jednoduchosti, v provázanosti, sdílení v rodině apod. Děti i přítelkyni jsem onboardoval během 5 minut. Drasticky se redukoval počet email ze si dítě resetovalo google heslo. Tohle byla pro celý IT sektor marketingove prováhana šance.

kdyz jsem to naposled resil tak z toho sly vyexportovat hesla jen skrz mac.. nebo muzes po jednom z jejich ... nevsedniho? windows doplnku. dekuji nechci :)

A mate nekdo magnet link? :D

Google velice rado zaindexuje falesne dalnicni znamky.. ale na tohle se mu moc nechce odpovidat