Hasło, które dziecko zapamięta, a nikt inny nie zgadnie
Darmowy generator haseł i poradnik dla rodzica. Wylosuj mocne hasło dla dziecka, a potem przeczytaj, jak nauczyć je dbać o swoje konta: od pierwszego hasła do gry po weryfikację dwuetapową. Bez straszenia, za to z gotowymi zdaniami do rozmowy.
Generator haseł
Powstaje w Twojej przeglądarce. Nic nie wysyłamy.
Słowa łatwiej zapamiętać i przepisać niż ciąg znaków. Każde słowo losujemy w całości z listy kilkuset słów, więc daje więcej niż jeden znak, ale mniej niż tyle znaków, ile ma liter. Dlatego słów potrzeba kilka: pięć słów z liczbą to więcej niż 8 losowych znaków.
Gdy hasło zapamięta za Ciebie menedżer haseł. Takiego hasła nie trzeba znać na pamięć, wystarczy jedno mocne hasło główne.
Losujemy funkcją crypto.getRandomValues wbudowaną w przeglądarkę. Generator nie zapisuje haseł i niczego nie wysyła. Po załadowaniu strony działa nawet bez internetu.
Pięć zasad, które naprawdę działają
Część starych porad o hasłach (zmieniaj co miesiąc, zamieniaj „a” na „@”) robi więcej szkody niż pożytku. Oto, co warto wiedzieć dziś.
Wymyślone przez człowieka: wygląda na trudne
To imię Zosia, rok urodzenia i zamiana liter na cyfry. Programy do zgadywania haseł sprawdzają takie wzory na samym początku, więc dziesięć znaków nic tu nie daje. Generator nie ocenia takich haseł, bo mierzy tylko losowość, a tu jej prawie nie ma.
Wylosowane: wygląda na proste, jest mocne
Pięć losowych słów i liczba. Łatwo wyobrazić je sobie jako zabawną scenkę, a w generatorze dostaje ocenę mocne (50 bitów), czyli więcej niż 8 losowych znaków (49 bitów), które trudno zapamiętać.
1. Losowość ponad udziwnienia
Siłę daje to, że hasło jest wylosowane, a nie wymyślone. Każde dodatkowe losowe słowo lub znak mnoży liczbę możliwości. Zamiana „a” na „@” w wymyślonym słowie prawie nic nie dodaje.
2. Jedno konto, jedno hasło
Gdy jedna strona wycieknie, ktoś spróbuje tego samego hasła na poczcie, w grze i w sklepie. Inne hasło do każdego konta zamyka tę drogę.
3. Menedżer haseł zamiast pamięci
Nikt nie zapamięta trzydziestu różnych haseł. Menedżer haseł pamięta je za Ciebie, a Ty znasz tylko jedno, naprawdę mocne hasło główne.
4. Drugi klucz do ważnych kont
Przy weryfikacji dwuetapowej samo hasło nie wystarczy do zalogowania. Włącz ją przynajmniej na poczcie, bo przez pocztę resetuje się wszystkie inne hasła.
5. Zmieniaj, gdy jest powód
Nie trzeba zmieniać haseł co miesiąc. Zmień od razu, gdy serwis zgłosi wyciek, gdy ktoś podejrzał hasło albo gdy coś na koncie wygląda dziwnie.
Czego nie wpisywać w hasło
- imienia, nazwiska, daty urodzenia
- imienia zwierzaka i ulubionej drużyny
- nazwy szkoły i klasy
- „123456”, „qwerty”, „haslo”
Hasło to klucz. Drugi krok to zamek w drzwiach
Uwierzytelnianie wieloskładnikowe (w aplikacjach zwykle „weryfikacja dwuetapowa” albo „2FA”) oznacza, że do logowania potrzeba dwóch różnych rzeczy. Nawet jeśli ktoś pozna hasło, bez drugiej nie wejdzie.
Trzy rodzaje „składników”
Które metody wybrać, od najmocniejszych
- NAJLEPIEJ
Klucze dostępu (passkeys) i fizyczne klucze bezpieczeństwa. Logujesz się odciskiem palca lub kodem telefonu, a klucz działa tylko na prawdziwej stronie serwisu. Fałszywa strona nic z niego nie wyciągnie.
- BARDZO DOBRZE
Aplikacja uwierzytelniająca (np. Google Authenticator, Microsoft Authenticator, Aegis) albo potwierdzenie logowania w aplikacji serwisu. Kod zmienia się co kilkadziesiąt sekund.
- LEPIEJ NIŻ NIC
Kod SMS. Słabszy, bo SMS można przechwycić albo wyłudzić, ale nadal o wiele lepszy niż samo hasło.
Od czego zacząć
Poczta e-mail. To klucz do resetu wszystkich innych haseł.
Konto Google lub Apple, do którego podpięty jest telefon dziecka.
Konta w grach i sklepach z aplikacjami, zwłaszcza z podpiętą kartą.
Bank i media społecznościowe rodzica.
Najważniejsza zasada dla całej rodziny
Kod z SMS-a albo z aplikacji nie jest dla nikogo. Nie dla „pomocy technicznej gry”, nie dla „kolegi, który da skina”, nie dla „pracownika banku”. Prawdziwy serwis nigdy o niego nie prosi.
Jeśli ktoś prosi Cię o kod, który przyszedł na telefon, to znaczy, że próbuje wejść na Twoje konto. Przyjdź wtedy do mnie, razem to sprawdzimy.
Po włączeniu 2FA serwis pokaże kody zapasowe. Wydrukujcie je albo zapiszcie w menedżerze haseł. Przydadzą się, gdy telefon zginie.
Hasło to sekret przed obcymi, nie przed rodzicem
Nie chodzi o to, żeby zaglądać dziecku w konta. Chodzi o to, żeby dziecko wiedziało, że w razie kłopotu ma do kogo przyjść, a Ty wiedziała lub wiedział, jak pomóc. Zakres samodzielności rośnie razem z dzieckiem.
Rodzic trzyma klucze, dziecko poznaje słowo „hasło”
- Wszystkie konta zakładasz i prowadzisz Ty. Dziecko nie potrzebuje własnych haseł.
- Ucz pojęcia przez zabawę: hasło jest jak tajne słowo do domku na drzewie.
- Pierwsza zasada: gdy coś na ekranie prosi o hasło, wołamy dorosłego.
Hasło to takie tajne słowo, które otwiera drzwi do gry. Znamy je my dwoje. Jak ktoś inny o nie pyta, przychodzisz do mnie.
Pierwsze własne hasło, wymyślone razem
- Ułóżcie razem hasło ze słów (np. przyciskiem „Dla dziecka 7-9 lat” w generatorze) i narysujcie scenkę, która je przypomina.
- Dziecko zna swoje hasło i wpisuje je samo. Ty przechowujesz kopię zapasową w rodzinnym menedżerze haseł lub w zaklejonej kopercie. Dziecko o tym wie.
- Kopia zapasowa służy do ratunku, gdy hasło się zapomni albo ktoś przejmie konto. Nie do czytania wiadomości.
- Ćwiczcie zasadę: hasła nie mówimy kolegom, nawet najlepszym przyjaciołom.
To jest Twoje hasło. Kolegom go nie mówimy, nawet najlepszym. Ja mam kopię w sejfie, jak klucz zapasowy do domu. Nie używam go, żeby Cię sprawdzać, tylko żeby pomóc, gdy coś się zatnie.
Dziecko zarządza, rodzic jest planem awaryjnym
- Pokaż dziecku menedżer haseł i pomóż mu ułożyć jedno mocne hasło główne.
- Włączcie razem weryfikację dwuetapową na poczcie i kontach w grach.
- Umówcie się, że kody zapasowe leżą w rodzinnym bezpiecznym miejscu. Codzienne hasła zna już tylko dziecko.
- Rozmawiajcie o wyłudzeniach: fałszywe strony logowania, „darmowa waluta w grze”, prośby o kod.
Twoje hasła są Twoje. Umówmy się tylko na jedno: jeśli ktoś się do Ciebie włamie albo coś Cię zaniepokoi, mówisz mi od razu. Nie będzie kary, będzie plan.
Pełna samodzielność, rozmowa zamiast reguł
Nastolatek prowadzi swoje konta sam. Twoja rola to raz na jakiś czas zapytać, czy ma włączoną weryfikację dwuetapową na poczcie i czy wie, co zrobić po wycieku. Dobrze działa wspólny przegląd Waszych kont, w którym rodzic też pokazuje swoje ustawienia.
Zabawa na 10 minut: Fabryka haseł
Wygenerujcie hasło ze słów, a potem wymyślcie z niego najdziwniejszą historyjkę, jaką się da. Im zabawniejsza, tym łatwiej zapamiętać.
„Pingwin jechał tramwajem 27 z miską budyniu, aż wpadła w niego kometa uczepiona latawca.” Narysujcie to. Rysunek zostaje w domu, hasło w głowie, a przy okazji dziecko uczy się, że dobre hasło nie musi być nudne.
Ważne: do zabawy użyjcie hasła ćwiczebnego. Prawdziwe hasło wygenerujcie od nowa, gdy nikt nie patrzy.
Lista na jeden wieczór
Zróbcie ją razem, przy herbacie, a nie jako kontrolę. Zaznaczenia zapisują się tylko w tej przeglądarce, nigdzie ich nie wysyłamy.
Ktoś przejął konto? Spokojnie, po kolei
Pierwsza reakcja rodzica decyduje o tym, czy następnym razem dziecko przyjdzie od razu, czy będzie ukrywać problem. Najpierw podziękuj, że powiedziało.
Co zrobić w pierwszej godzinie
Zmień hasło na przejętym koncie z innego, zaufanego urządzenia. Jeśli się nie da, użyj opcji „odzyskaj konto” w serwisie.
Wyloguj wszystkie sesje w ustawieniach bezpieczeństwa konta.
Zmień to samo hasło wszędzie, gdzie było użyte. Zacznij od poczty.
Włącz weryfikację dwuetapową, jeśli jej nie było.
Sprawdź, co się zmieniło: e-mail i telefon do odzyskiwania, podpięte karty, wysłane wiadomości.
Zgłoś incydent w serwisie, a oszustwo lub wyłudzenie także w CERT Polska.
Inne trudne sytuacje w sieci, np. niepokojąca wiadomość od obcej osoby, opisaliśmy w planach działania „Co zrobić, gdy…”.
Jak sprawdzić, czy adres był w wycieku
Serwis Have I Been Pwned pokazuje, w których znanych wyciekach pojawił się dany adres e-mail. Wpisujesz tylko adres, nigdy hasło.
Wiele menedżerów haseł i przeglądarek ostrzega też samo, gdy zapisane hasło trafiło do wycieku.
Gdzie zgłosić i gdzie szukać pomocy
- incydent.cert.pl - zgłoszenie oszustwa, wyłudzenia, fałszywej strony
- 116 111 - bezpłatny Telefon Zaufania dla Dzieci i Młodzieży, gdy ktoś straszy dziecko albo szantażuje je przejętym kontem
- Policja - gdy doszło do szantażu, kradzieży pieniędzy albo podszywania się pod dziecko
Dobrze, że mi o tym mówisz. To nie Twoja wina, takie rzeczy zdarzają się też dorosłym. Teraz razem to naprawimy.
Najczęstsze wątpliwości
Czy wolno mi znać hasła dziecka?
U młodszych dzieci kopia zapasowa haseł u rodzica to rozsądne zabezpieczenie, pod warunkiem że dziecko o niej wie i że służy do pomocy, a nie do sprawdzania wiadomości. Z wiekiem oddawaj dziecku coraz więcej samodzielności. Zaufanie, które zbudujesz teraz, zadziała, gdy za kilka lat nie będziesz znać już żadnych haseł.
Dlaczego na tej stronie nie ma „sprawdzarki siły hasła”?
Celowo. Nie chcemy uczyć nawyku wpisywania prawdziwego hasła na stronach, które do tego nie służą. Lepiej wygenerować nowe, mocne hasło, niż sprawdzać stare.
Czy zapisywanie haseł w przeglądarce jest bezpieczne?
Wbudowane menedżery haseł w przeglądarkach i telefonach są dziś dobrym wyborem dla większości rodzin, zwłaszcza gdy konto, do którego są przypięte, ma weryfikację dwuetapową. To zdecydowanie bezpieczniejsze niż jedno hasło wszędzie albo karteczka przy monitorze.
Co z kartką z hasłami?
Kartka w szufladzie w domu jest lepsza niż słabe hasło powtarzane wszędzie. Złodziej z drugiego końca świata nie ma dostępu do Twojej szuflady. Nie przyklejaj jej tylko do laptopa i nie noś w plecaku dziecka.
Jak „siła” w generatorze jest liczona?
Pokazujemy, ile bitów losowości ma wygenerowane hasło. Każdy dodatkowy bit podwaja liczbę możliwości, które musiałby sprawdzić ktoś zgadujący. Jedno słowo z naszej listy daje około 8,8 bitu, jeden losowy znak około 6,1 bitu, liczba na końcu około 6,5 bitu.
Progi: poniżej 40 bitów - słabe, 40-49 - przyzwoite, jeśli konto ma weryfikację dwuetapową, 50-64 - mocne, od 65 - bardzo mocne. Przykłady: 5 słów z liczbą to 50 bitów, 8 losowych znaków to 49 bitów, 7 słów z liczbą to 68 bitów. To miara sposobu losowania, a nie ocena hasła wymyślonego samodzielnie.
Moje dziecko ma 8 lat i chce konto w grze z czatem. Od czego zacząć?
Sprawdź wymagany wiek w regulaminie gry i ustawienia rodzicielskie. Załóżcie konto razem, na Twój adres e-mail, z hasłem wymyślonym wspólnie i włączoną weryfikacją dwuetapową. Rozmowę o tym, kto jest kim w sieci, warto odbyć, zanim dziecko pierwszy raz napisze na czacie.
Hasła to jeden temat. Cyfrowy sekret to cała rozmowa.
W kursie Bezpieczny Start dla rodziców dzieci 7-9 lat moduł „Mój cyfrowy sekret” prowadzi przez rozmowę o hasłach i prywatności krok po kroku, z materiałami do wydruku i zabawami z Netusiem.