Vlákno názorů k článku
Heslo novo123 je nové nbusr123 od NikdeKde - Nepoužívej hesla, nepoužívej hesla, nepoužívej hesla. Ale je...

Nepoužívej hesla, nepoužívej hesla, nepoužívej hesla. Ale je to marný, je to marný, je to marný. Aspoň že nezaplatili.

Máte pravdu - proto mám všude administrátorské účty bez hesla... ;D

Tohle je dost relativní věc, nemyslíš? Nezaplatit je skvělé, ale kdybych byl jejich pacientem a byla tam má zdravodní citlivá data?

Ak by aj zaplatili tak to dopadne rovnako. Alebo sa domnievate že zlodej dodrží slovo a ukradnuté dáta už nikdo neuvidí?

Jenže zloděj slovo dodržel. Nezaplatili, takže data zveřejnil.

Zřejmě se domnívali, že když nezaplatí, tak je nezveřejní :-D

Nebylo by to prvně, co data po zaplacení zveřejněna nebyla. Je to problematická situace, ke které nemělo dojít, ale když už došlo, není tak jednoduché plácnout od stolu, že se nemá zaplatit.

Pouzivani hesel je celkem bezproblemova zalezitost, pokud system a jeho clovek nejsou vypatlani.

Samozrejme, ideal to neni, ale rozhodne neplati "nepouzivej hesla".

Jistě že taky mám hesla, jenže heslo jakožto "něco co vím" má velmi omezené použití protože člověk má dosti omezenou paměť, i několik unikátních pinů může být problém natož desítky kvalitních unikátních hesel, takže si hesla někam zaznamená a z "něco vím" se stane "něco mám" A pro "něco mám" existuje spousta lepších věcí než sekvence osmi/deseti/dva­nácti znaků kde musí/nesmí být… Jsem přesvědčený že většina průniků skrz slabá hesla je právě skrz místa kde by se to dalo řešit zcela bez hesel.

Není i třeba RSA 2048 takové "heslo" o velikosti 256 bajtů?

Hesla a klíče bych nemíchal. Obojí je nějaké tajemství. V případě klíče můžeme požadovat nějakou strukturu, kterou bychom stěží mohli chtít po člověku – prvočísla, přesnou délku, absenci podobnosti (vizte related key attack). Naopak u hesel předpokládáme, že si je aspoň někteří uživatelé budou chtít zvolit sami, a zmíněné požadavky na hesla znějí absurdně.

Ostatně v moderní kryptografii při šifrování heslem nepoužíváme toto heslo jako klíč. Spíš to heslo použijeme k odvození klíče, a k tomu použijeme vhodný algoritmus, který ztíží bruteforce. Naopak u klíčů bruteforce by neměl jít už kvůli délce.

Dalo by se to tak říct. Narozdíl od reálného hesla má ale mnohem vyšší entropii (je generován vždy alespoň z části náhodně - u RSA v podstatě výsledek dvou náhodných prvočísel) a délku. A kryptografické algoritmy jsou speciálně proto navrženy tak, aby neexistovaly o moc lepší způsoby než bruteforce.

21. 6. 2026, 07:15 editováno autorem komentáře

Kryptografii nerozumím, takže budu rád, když mě někdo případně opraví, ale měl jsem za to, že klíč má tu výhodu, že nemusí opustit Vaše zařízení - kdežto heslo se z podstaty musí posílat sem a tam.

I autentizace klíčem může být udělaná tak, že klíč opustí vaše zařízení. A naopak i autentizace heslem může být udělaná tak, že heslo vaše zařízení neopustí.

Ani to neplatí, existují protokoly jako https://en.wikipedia.org/wiki/Secure_Remote_Password_protocol kde nejen že server nemá heslo (nebo to, čím se autentizuje), ale ani nechodí po síti.

V princípe ak to zakodujete cez base 64 dostanete náhodne 44 znakove heslo.

Ne, pořád to bude BASE64 zakódovaný klíč.

Aj keď ňom zmenim 4 písmenká? Je to úplne jedno, sú to iba názvy. Či z toho urobíte kľúč cez SHA alebo cez Base 64 je iba otázka implementácie.

Spíš bych řekl, že to záleží na použití. Pokud to nechám dekódovat a použiju to jako RSA klíč, pak ano, je to klíč. Pokud to proženu přes scrypt/Argon2 a výsledný klíč použiju třeba do AES-GCM, pak je to heslo. Pravda, poněkud zvláštní heslo, ale při tomto použití to heslo je.

Z 256B (2048b) pomocí base64 neuděláte 44 znaků

Ale jo, jsou způsoby, jak z hesla udělat klíč, a v principu by to mělo jít i naopak. Byť u RSA klíče mi to přijde poněkud nepraktické, má požadavky na strukturu, které u hesla nemají moc význam. Spíš bych vzal náhodných 16B (128b)* a zakódoval je pomocí base64 či base32 nebo něčeho podobného. (S base32 to heslo nebude o tolik delší na znaky, a paradoxně to může znamenat i méně úderů do kláves, protože nestřídáme malá a velká písmena.)

*) Případně 32B (256b), pokud se obáváte kvantových počítačů a Groverova algoritmu.