Kā izveidot drošu paroli, ko tiešām atcerēsies

Garums ir svarīgāks par sarežģītību

Uzbrucēji paroles neuzmin ar roku – tie izmanto programmas, kas pārbauda miljardiem variantu. Nejauši ģenerētas paroles papildu zīmes palielina iespējamo variantu skaitu, savukārt viens izsaukuma zīmes simbols paroles beigās gandrīz neko nemaina, jo tieši tur to gaida arī uzbrucēja programma.

CERT.LV izdevums OUCH! 2026. gada maijā to formulē tieši: paroles spēks nāk no garuma, nevis no gudrības. Ieteikums ir frāzveida paroles – vairāki vārdi, kas kopā veido īsu frāzi.

Ko tiešām saka standarts

Starptautiskais atskaites punkts autentifikācijai ir NIST publikācija SP 800-63B-4, kas iznāca 2025. gada jūlijā un aizstāja 2017. gada redakciju. Tā ir ASV digitālās identitātes vadlīnija sistēmu izstrādātājiem, nevis visiem Latvijas uzņēmumiem tieši saistošs tiesību akts. Tās ieteikumi palīdz veidot paroļu politiku.

• Parolei, ko lieto kā vienīgo autentifikācijas faktoru, jābūt vismaz 15 zīmes garai. Ja parole ir tikai viens no daudzfaktoru autentifikācijas faktoriem, minimums paliek 8 zīmes (3.1.1.2. sadaļa).
• Sistēmām vajadzētu atļaut vismaz 64 zīmes. Tieši šī atļauja padara frāzveida paroles iespējamas (3.1.1.2. sadaļa).
• Sistēmas nedrīkst uzspiest obligātas rakstzīmju kombinācijas – lielos burtus, ciparus, simbolus (3.1.1.2. sadaļa).
• Sistēmas nedrīkst pieprasīt periodisku paroles maiņu, bet tām ir jāpieprasa maiņa, ja ir pierādījumi par kompromitēšanu (3.1.1.2. sadaļa).

Autentifikācijas pārbaudītāji un identitātes pakalpojumu sniedzēji nedrīkst pieprasīt, lai abonenti periodiski maina paroles. Tomēr verificētājiem ir jāpieprasa maiņa, ja ir pierādījumi par autentifikatora kompromitēšanu. – NIST SP 800-63B-4, 3.1.1.2. sadaļa (autoru tulkojums)

NIST neatbalsta periodisku paroles maiņu bez kompromitēšanas pazīmēm. Organizācijai, pārskatot savu politiku, jāņem vērā arī tai piemērojamie tiesību akti un līgumiskās prasības.

Kā izveidot paroļu frāzi

Izvēlies vairākus vārdus nejauši, piemēram, ar uzticama paroļu pārvaldnieka frāžu ģeneratoru. CERT.LV materiāla frāzes ir tikai ilustrācijas; publicētus piemērus, citātus un dziesmu rindas savām parolēm neizmanto.

Šāda frāze ir gara, viegli atcerama un grūti uzminama tieši tāpēc, ka tā nav neviena grāmatas citāta vai dziesmas rinda. Ja pakalpojums prasa ciparu vai simbolu, pievieno vienu – bet neuzskati to par drošības avotu.

Vārdiem jābūt izvēlētiem nejauši, nevis loģiski saistītiem. “Kaķis-suns-zivs-putns” ir četri vārdi, bet tie visi ir dzīvnieki, tāpēc uzminēšanas telpa ir daudz mazāka nekā izskatās. Vislabāk darbojas vārdi no dažādām jomām, kas kopā veido absurdu ainu – tieši absurdums padara frāzi atceramu.

Nejauši ģenerētas vārdu frāzes ir īpaši noderīgas tām dažām parolēm, kas jāatceras no galvas: ierīces atslēgšanai, galvenajai paroļu pārvaldnieka parolei un e-pastam. Visu pārējo lai ģenerē pārvaldnieks – tur atceramība nav vajadzīga.

Pieci izplatīti padomi, kas vairs nav pareizi

Kas mainījies paroļu ieteikumos

Izplatīts padoms	Ko tiešām iesaka	Kāpēc
Jo vairāk simbolu un ciparu, jo labāk	Jo garāka, jo labāk	NIST aizliedz sistēmām uzspiest rakstzīmju kombinācijas – tās mudina cilvēkus veidot īsas, paredzamas paroles
Maini paroli ik pēc 90 dienām	Nemaini bez iemesla	NIST: periodisku maiņu pieprasīt nedrīkst, bet maiņa ir obligāta, ja ir pierādījumi par kompromitēšanu
Parole vismaz 8 zīmes	Frāze no vairākiem vārdiem	Kopš 2025. gada NIST vienīgajam faktoram prasa vismaz 15 zīmes un iesaka sistēmām pieņemt vismaz 64 – frāze šo iespēju izmanto
Nekad nepieraksti paroli	Glabā paroļu pārvaldniekā	Desmitiem unikālu garu paroļu ir grūti atcerēties; pārvaldnieks tās šifrē aiz vienas galvenās paroles
Viena laba parole visam	Katram kontam sava	Viena noplūde citādi atver visus kontus – tieši uz to balstās credential stuffing

Atkārtota parole ir īstā problēma

Ja izmanto vienu paroli vairākās vietnēs, viena noplūde apdraud visus šos kontus. CERT.LV šo uzbrukumu nosauc vārdā: credential stuffing – noplūdušos piekļuves datus automātiski pārbauda daudzās citās platformās, cerot, ka kāds tos ir atkārtojis.

Cik tas ir izplatīti, redzams Verizon 2025. gada datu pārkāpumu izmeklēšanas ziņojumā: nozagtu piekļuves datu izmantošana bija visbiežākais sākotnējās piekļuves veids, bet ievainojamību izmantošana ir pieaugusi līdz 20 %.

Paroļu pārvaldnieks atrisina pārējo

Ir grūti atcerēties desmitiem garu, unikālu paroļu – un tas nav vajadzīgs. Paroļu pārvaldnieks tās ģenerē, šifrētas glabā un aizpilda automātiski. Tev jāatceras tikai viena spēcīga galvenā parole.

CERT.LV norāda vēl divus ieguvumus, ko cilvēki bieži nepamana: pārvaldnieki brīdina, ja kāda no glabātajām parolēm ir parādījusies noplūdē, un sinhronizē paroles starp ierīcēm, tāpēc jauna tālruņa iestatīšana vairs nav paroļu atjaunošanas maratons.

Galvenā parole ir vienīgā, kas jāizdomā tiešām rūpīgi, jo aiz tās stāv visas pārējās. Tai izmanto garu frāzi, nekur citur to neatkārto un obligāti ieslēdz divfaktoru autentifikāciju – kā to izdarīt un kurš veids ir drošākais, skaidrots ceļvedī par divfaktoru autentifikāciju.

Biežākais iebildums ir “bet ja nu pašu pārvaldnieku uzlauž”. Atbilde ir divdaļīga: paroļu krātuvi aizsargā šifrēšana un spēcīga galvenā parole, taču arī pārvaldniekam un ierīcēm vajadzīgi atjauninājumi un droša atkopšana. Ja krātuve ir apdraudēta, seko pakalpojuma incidenta norādījumiem un nomaini skartās paroles, sākot ar svarīgākajiem kontiem.

Ko darīt, ja pakalpojums neļauj garu paroli

Daļa vietņu joprojām ierobežo paroli ar 12 vai 16 zīmēm vai aizliedz atstarpes. Tas ir pretrunā ar NIST ieteikumu atļaut vismaz 64 zīmes, bet lietotājam no tā vieglāk nekļūst.

Šādā gadījumā rīkojies pēc trim soļiem: izvēlies maksimālo atļauto garumu, ģenerē paroli ar pārvaldnieku, nevis izdomā pats, un obligāti ieslēdz otro faktoru – tieši tur, kur parole ir mākslīgi novājināta, tas ir vissvarīgākais.

Tas pats attiecas uz darbavietas sistēmām ar piespiedu maiņu ik pēc dažiem mēnešiem. Ja politiku nevar mainīt, katrā ciklā ģenerē pilnīgi jaunu paroli pārvaldniekā, nevis pievieno nākamo ciparu vecajai.

Ko prasa likums uzņēmumiem

Ministru kabineta noteikumi Nr. 397 “Minimālās kiberdrošības prasības” minimālo paroles garumu vai sarežģītību nenosaka. Prasība, kas tur ir, attiecas uz daudzfaktoru autentifikāciju: 52. punkts to padara obligātu A klases informācijas sistēmas administratora un standarta lietotāja kontam, kā arī B klases administratora kontam.

Praktiskā secība uzņēmumam tāpēc ir šāda: vispirms ieslēdz daudzfaktoru autentifikāciju tur, kur to prasa noteikumi, un tikai pēc tam pārraksti paroļu politiku. Ja rakstāt iekšējo politiku no jauna, ir vērts to balstīt NIST SP 800-63B-4, nevis pārmantot 90 dienu maiņas ciklu no vecajiem dokumentiem.

No kā izvairīties

• Vārdi, dzimšanas datumi, “parole123” un tastatūras rindas (“qwerty”).
• Vienas paroles atkārtota izmantošana vairākos kontos – īpaši e-pastā un internetbankā.
• Paroļu glabāšana pārlūka piezīmēs, Excel failā vai uz papīra lapiņas pie ekrāna.
• Piespiedu paroļu maiņa ik pēc dažiem mēnešiem – tā mudina cilvēkus izvēlēties vājākas, paredzamas variācijas.
• Vienas un tās pašas paroles frāzes izmantošana ar mainīgu ciparu galā (“Vasara2025”, “Vasara2026”).