Jak by měla být hesla bezpečně uložena a manipulována?

Question

Accepted Answer

Hesla musí být uložena bezpečně — **nikdy v otevřeném textu**, ale **hashována** silným, pomalým, solovaným algoritmem pro hashování hesel (bcrypt, Argon2, scrypt). Správné zacházení s hesly je kritické, protože úniky hesel jsou velmi škodlivé a časté.

## Nikdy neukládat otevřený text; správně hashovat

```text
❌ NEVER store passwords in plaintext (a breach exposes all passwords directly)
❌ Don't use fast/general hashes (MD5, SHA-256) alone — too fast → easily brute-forced
✅ HASH with a dedicated PASSWORD HASHING algorithm: BCRYPT, ARGON2, or scrypt:
  → SLOW by design (resistant to brute-force/GPU cracking)
  → SALTED (a unique random salt per password) → prevents rainbow-table attacks and
    identical passwords hashing the same
```

```js
// hashing with bcrypt (handles salting automatically)
const hash = await bcrypt.hash(password, 12);   // store the hash (with salt + cost)
// verifying at login
const valid = await bcrypt.compare(inputPassword, storedHash);   // compare securely
```

## Proč tyto algoritmy

```text
SALT → unique random value per password → identical passwords get DIFFERENT hashes;
  defeats precomputed (rainbow table) attacks
SLOW (work factor) → deliberately expensive to compute → brute-forcing millions of
  guesses becomes impractical (tunable cost factor as hardware improves)
→ bcrypt/Argon2/scrypt are designed for passwords; general hashes (SHA) are NOT.
```

## Další postupy pro hesla

```text
✓ Enforce reasonable strength (length over complexity); check against breached-password lists
✓ MULTI-FACTOR authentication (MFA) → strong protection even if a password leaks
✓ HTTPS for transmission; rate-limit / lock out brute-force login attempts
✓ Secure password RESET (time-limited tokens); never email passwords; never log them
```

## Proč je to důležité

Pochopení bezpečného ukládání a manipulace hesel je nezbytné, protože **úniky hesel jsou velmi časté a škodlivé** a nevhodné ukládání hesel je vážná a časté zranitelnost, takže je to nezbytné bezpečnostní znalosti.

Základní pravidla jsou kritická: **nikdy neukládat hesla v otevřeném textu** (únik by vystavil heslo každého uživatele přímo — katastrofální) a **nespoléhat se na rychlé obecné hashe** (MD5, SHA-256), které jsou příliš rychlé a snadno se brute-forcují.

Místo toho **hashovat pomocí dedikovaných algoritmů pro hashování hesel** (bcrypt, Argon2, scrypt), které jsou **pomalé ze svého návrhu** (odolné vůči brute-force útokům a GPU crackingu) a **solvované** (jedinečná náhodná sůl pro každé heslo, zabránění útokům pomocí rainbow tabulek a zajištění, aby identická hesla měla různé hashe).

Pochopení **proč tyto algoritmy** — solování (poražení předpočítaných útoků, zajištění, aby identická hesla měla různé hashe) a pomalost/faktor práce (bezpraktická hromadné brute-forcing, s nastavitelnou cenou se zlepšujícím se hardwarem) — vysvětluje správný přístup versus běžné chyby (otevřený text, rychlé hashe, žádná sůl).

Pochopení **dalších postupů** — vynucování rozumné síly (délka přes složitost, kontrola seznamů uniklých hesel), **MFA** (silná ochrana, i když se heslo unikne), HTTPS pro přenos, omezování pokusů o přihlášení, bezpečné resetování hesla (časově omezené tokeny) a nikdy nelogovat ani neposílat hesla e-mailem — odráží komplexní bezpečnost hesel.

Zacházení s hesly je oblast s vysokým rizikem, kde chyby (ukládání otevřeného textu, slabé hashování) přímo způsobují velké úniky, zatímco správné zacházení (silné solvované pomalé hashování s bcrypt/Argon2) významně chrání uživatele.

Protože úniky hesel jsou časté a škodlivé a nevhodné ukládání je vážná a časté zranitelnost a protože pochopení bezpečného ukládání (nikdy otevřený text, silné solvované pomalé hashování s bcrypt/Argon2) a dobrých postupů (MFA, omezování) je nezbytné pro ochranu uživatelů, je pochopení bezpečného ukládání a manipulace hesel nezbytné, nezbytné bezpečnostní znalosti — kritická oblast, kde správný přístup (dedikované hashování hesel, solování, MFA) zabraňuje katastrofálním unikům hesel, které nevhodné zacházení způsobuje, základní znalosti pro každého vývojáře pracujícího s autentizací.