Cum alegi parola master pentru un manager de parole: o frază lungă, ușor de ținut minte și greu de ghicit

Parola master este ușa de la tot ce ții într-un manager de parole: conturile firmei, ale asociației, ale familiei. Restul parolelor le generează seiful și nu trebuie să le ții minte, dar pe aceasta o ții minte tu. De aceea trebuie să fie, în același timp, o parolă puternică și una pe care nu o uiți. Articolul arată cum se alege o parolă master bună, ce greșeli se fac cel mai des și ce se întâmplă, tehnic, între momentul în care o tastezi și momentul în care se deschide seiful de parole.

De ce parola master contează mai mult decât oricare alta

La un manager de parole zero-knowledge, parola master nu este o parolă obișnuită, pe care serverul o compară cu o copie. În SpokPass, din parola master și din email se derivă, în browser, cu Argon2id (64 MiB de memorie, 3 iterații), cheia care desface cheia seifului. Parola master nu pleacă de pe dispozitiv, nici la înregistrare, nici la autentificare, iar cheia seifului este un număr aleatoriu de 32 de octeți, cu care se criptează datele cu AES-256-GCM.

Avantajul este că nici serverul, nici cei care îl administrează nu pot deschide seiful. Prețul este că întreaga securitate stă pe parola ta: dacă este ușor de ghicit, un atacator care ajunge la datele criptate le poate încerca pe un calculator propriu, oricât de bună ar fi criptarea. Argon2id încetinește fiecare încercare și o face costisitoare ca memorie, dar nu salvează o parolă de felul „Firma2026!". Lungimea și caracterul aleatoriu sunt cele care contează.

Ce înseamnă o parolă master bună

Regulile sunt aceleași ca pentru orice parolă puternică, dar aici se aplică fără excepții. Pe cele pentru parolele generate le-am detaliat în Parola puternică: cum o creezi cu un generator de parole. Pentru parola master, ele se reduc la patru:

• Lungă. Fiecare caracter adăugat înmulțește numărul de combinații. O frază de 25-30 de caractere bate orice cuvânt scurt „complicat".
• Aleatorie. Cuvintele nu trebuie să formeze o expresie cunoscută, un citat sau o propoziție cu sens, pentru că atacatorii încearcă întâi expresiile cunoscute.
• Unică. Nu o folosești nicăieri altundeva. Dacă ar ajunge într-o listă furată de la un alt serviciu, seiful ar fi deschis cu ea.
• Doar în capul tău. Nu stă în email, în mesagerie, într-o foaie de calcul sau într-o notiță de pe telefon.

Parola puternică de tip frază: cum o construiești

Cea mai practică formă este fraza de acces: mai multe cuvinte obișnuite, alese la întâmplare. Ideea este simplă: un creier reține bine cuvinte și imagini, dar prost un șir de caractere fără sens, iar un calculator care ghicește se oprește greu la o combinație lungă de cuvinte.

Pașii

1. Alege cinci sau șase cuvinte la întâmplare: dintr-o carte deschisă la o pagină oarecare, cu zaruri sau cu o listă de cuvinte. Nu le alege tu „frumos", pentru că omul alege previzibil.
2. Pune-le într-o ordine care nu formează o propoziție cu sens. Poți adăuga un separator, de pildă liniuță.
3. Leagă-le mental de o imagine absurdă, ca să le ții minte. Imaginile ciudate se rețin mai bine decât cele logice.
4. Tastează-le de zece-douăzeci de ori în primele zile. Memoria motorie face restul.

Matematica e ușor de verificat: dacă alegi șase cuvinte la întâmplare dintr-o listă de 7.776 (cât au listele clasice pentru zaruri), ai 7.776 la puterea a șasea combinații, adică aproximativ 77 de biți de entropie. Un singur cuvânt cu o cifră și un semn adăugate nu se apropie de așa ceva, chiar dacă bifează toate cerințele unui formular.

Greșeli frecvente la alegerea parolei master

Un cuvânt cu podoabe

Numele firmei, al animalului sau al străzii, cu o majusculă, un an și un semn de exclamare, este exact tiparul pe care programele de ghicit îl încearcă primul. Evaluarea puterii din SpokPass se uită tocmai la astfel de tipare, nu doar la numărul de caractere.

Date personale

Data nașterii, numele copiilor, numărul de telefon sau adresa se pot afla ușor din rețele sociale sau din documente. O parolă master nu trebuie să conțină nimic ce un cunoscut ar putea ghici.

Aceeași parolă ca la email

Dacă parola master este și parola emailului, un incident la un serviciu terț îți compromite și seiful. În plus, emailul este locul unde ajung mesajele de recuperare ale altor conturi. Despre păcălelile care urmăresc exact aceste parole, vezi Phishing: cum recunoști un mesaj fals.

Notarea într-un fișier de pe același dispozitiv

O parolă master scrisă într-un document „ca să nu o uit" anulează tot rostul seifului. Dacă ai nevoie de o plasă de siguranță, aceasta este kitul de recuperare, nu un fișier cu parola.

Ce se întâmplă când tastezi greșit

SpokPass limitează ghicitul direct: după 5 parole greșite, contul se blochează pentru 5 ore, iar contorul este ținut în baza de date, nu în memoria unei instanțe. Mai există limitare pe adresa IP. Aceste măsuri apără contul de un atacator care încearcă parole pe site, dar nu schimbă regula de mai sus: cine ar avea o copie a datelor criptate și le-ar încerca offline nu e oprit de ele, așa că parola trebuie să reziste prin ea însăși.

La capătul celălalt, auto-blocarea se declanșează implicit după 15 minute de inactivitate, ca seiful deschis pe un calculator uitat să nu rămână deschis. Pe un dispozitiv partajat sau într-un birou deschis poți scurta intervalul.

Plasa de siguranță: kitul de recuperare

La înregistrare primești un cod de recuperare, afișat o singură dată, de forma SPOK urmat de șase grupe de patru caractere. Cu el seiful se poate deschide pe o a doua cale, independentă de parola master. Păstrează-l tipărit, într-un loc fizic sigur, separat de dispozitiv. Cum funcționează, pas cu pas, e explicat în Ai uitat parola master?. Dacă pierzi și kitul, și parola, nu există nicio portiță: nici noi, nici altcineva nu putem decripta seiful.

Când schimbi parola master

Nu are rost o schimbare periodică fără motiv. O schimbi când:

• ai tastat-o pe un dispozitiv care nu e al tău sau despre care nu ești sigur;
• i-ai spus-o cuiva, chiar de încredere;
• ai folosit-o, din greșeală, și în alt serviciu;
• ai primit un mesaj suspect și ai răspuns cu date.

În SpokPass, schimbarea parolei master reînvelește cheia seifului, adică 32 de octeți, nu recriptează cele câteva mii de intrări. Este rapidă și nu riscă datele.

Ce urmează după parola master

Când parola master este bună, restul vine de la sine: generezi parole unice pentru fiecare cont, le păstrezi în seif și nu le mai tastezi de la memorie. Dacă lucrezi într-o firmă, vezi cum se organizează conturile în Seif de parole pentru firmă. Și, dacă ți se pare mult efort pentru o singură parolă, gândește-te că tocmai ea îți scutește de efort alte sute.

Nu uita ce nu există încă: autentificarea în doi pași pe contul SpokPass, extensia de browser cu completare automată și verificarea parolelor compromise sunt planificate, nu disponibile. De aceea parola master face singură cea mai mare parte din muncă. Prețurile le găsești pe pagina planurilor: Personal costează 20 de lei pe lună sau 199 pe an, fără TVA. SpokPass face parte din ecosistemul SpokApp; dacă firma ta pune la treabă programe sau agenți AI cu acces la conturi, ghidul date și accese în siguranță când implementezi AI în firmă completează ce ai citit aici.