Pasahitz

thumb|Pasahitza eskatzeko leihoa Euskal Wikipedian
**Pasahitza** () baliabide baterako sarbidea kontrolatzeko balio duen karaktere-kate sekretua da. Orokorrean, software baliabide baterako sarrera babesteko ezartzen da: sistema horretan sartu behar denak bakarrik jakin behar du eta beste pertsona guztientzat sekretua izan behar du. Gehienetan, erabiltzaile-izen batekin lotuta egoten da eta biak idatzi behar izaten dira. 
Erabilera militarreko pasahitzak eraldatu egin ziren pasahitz bat ez ezik, pasahitz bat eta kontrapasahitz bat ere sortuz; adibidez, Normandiako guduko lehen egunetan, Estatu Batuetako 101. dibisioko paraxutistek pasahitz bat erabili zuten —*flash*— erronka gisa adierazten zen, eta erantzun egokia eman behar zitzaion —*thunder*. Erronka eta erantzuna hiru egunetik behin aldatzen ziren. Paraxutista amerikarrek ere "*cricket*" bezala ezagutzen zen gailu bat erabili zuten E-egunean, aldi baterako identifikazio-metodo bakar gisa; gailuak pasahitz baten ordez emandako klik metaliko bati bi klikekin erantzun behar zitzaion.

Ordenagailuekin informatikaren lehen egunetatik erabili izan dira pasahitzak. 1961ean MITen sartutako CTSS (Cmpatible Time-Sharing System ) sistema eragilea pasahitzen bidezko sartzea inplementatu zuen lehen sistema informatikoa izan zen.l LOGIN komando bat zuen CTSSk, erabiltzaile-pasahitz bat eskatzen zuena. "PASSWORD hitza erakutsi ondoren, sistemak inprimatzeko mekanismoa itzaltzen du, ahal bada, erabiltzaileak bere pasahitza pribatutasunez tekleatu ahal izateko" 1970eko hamarkadaren hasieran, Robert Morrisek sarbide pasahitzak hash moduan gordetzeko sistema bat garatu zuen, Unix sistema eragilearen parte gisa. Sistema Hagelin errotorea zuen makina kriptografiko simulatu batean oinarritzen zen, eta lehen aldiz Unixen 6. edizioan agertu zen 1974an.

Azken urteetan, erabltzaile-izenak eta pasahitzak ia beti erabiltzen dira konputagailuen (telefono mugikorrak, kable bidezko telebista-deskodetzaileak, eskudiruzko kutxazain automatikoak...) sistema eragileetarako sarbidea babesteko. Ordenagailu-erabiltzaile arrunt batek pasahitzak edukitzen ditu hainbat helburutarako: erabiltzaile-kontuetarako konexioak, posta elektronikoa bilatzeko, atzipenetarako aplikazioetara, datu-baseetara, sareetara eta web-orrietara sartzeko, baita goizero egunkari elektronikoetan albisteak irakurtzeko ere.

## Aukeratu pasahitz seguru eta gogoangarri bat 
Jabearentzat pasahitz bat gogoratzeko zenbat eta errazagoa izan, orduan eta errazagoa izango da erasotzailearentzat pasahitza asmatzea. Hala ere, gogoratzeko zailak diren pasahitzek ere murriztu dezakete sistema baten segurtasuna; izan ere: a) erabiltzaileak pasahitza idatzi edo elektronikoki gorde behar izatea ekar dezake, b) erabiltzaileak pasahitza maiztasunez berrezarri beharko du, eta c) litekeena da erabiltzaileak pasahitz bera hainbat kontutan berriro erabiltzea. Era berean, pasahitzaren baldintzak zenbat eta zorrotzagoak izan (maiuskularik, minuskularik, digiturik, karaktere berezirik... badu), orduan eta handiagoa izango da erabiltzaileak sistema babesteko duen maila. Aldiz, beste batzuek diote pasahitz luzeagoek segurtasun handiagoa ematen dutela (entropiako arrazoiengatik, adibidez) karaktere barietate handia duten pasahitz laburragoek baino.
alt=|thumb|360x360px|"Maritxu nora zoaz" pasahitza
*The Memorability and Security of Passwords* lanean, Jeff Yan-ek eta beste batzuek aztertzen dute ea zer eragina duten erabiltzaileei emandako aholkuek pasahitzaren aukeraketa egoki batean.
alt=|thumb|360x360px|"Bilbo Donostia" pasahitza
Esaldi batean pentsatzean eta hitz bakoitzaren lehen letra hartzean oinarritutako pasahitzak inozoki hautatutako pasahitzak bezain gogoangarriak direla deskubritu zuten, eta zoriz sortutako pasahitzak bezain deszifratzeko zailak.

Erlaziorik gabeko bi hitz edo gehiago elkarrekin konbinatzea eta hizki batzuk karaktere edo zenbaki bereziekin trukatzea beste metodo on bat da, baina hiztegiko hitz bakar bat ez da pasahitz ona. Pasahitzak sortzeko pertsonalki diseinatutako algoritmo bat izatea beste metodo on bat da.

Erabiltzaileei "letra larriz eta xehez egindako karaktere nahasketa batean" datzan pasahitz bat gogoratzeko eskatzea bit-sekuentzia bat gogoratzeko eskatzearen antzekoa da: gogoratzeko zaila eta deszifratzeko pixka bat zailagoa (adibidez, 7 letrako pasahitzetarako 128 aldiz zailagoa da deszifratzea, erabiltzaileak hizki maiuskula bat bakarrik jartzen ez badu behintzat).

Erabiltzaileei letrak zein digituak erabiltzeko eskatzeak erraz asmatzeko moduko ordezkapenak egitea ekarriko du, hala nola "e" → "3" eta " i "→" 1 ". Ordezkapen horiek ondo ezagutzen dituzte erasotzaileek. Era berean, pasahitza teklatu-ilara bat gorago idaztea erasotzaileek ezagutzen duten beste trikimailu arrunt bat da.

2013an, Googlek pasahitz mota ohikoenen zerrenda argitaratu zuen, guztiak ere segurtasunik gabekotzat jotakoak, asmatzeko errazegiak direlako (bereziki pertsona baten sare sozialetan ikertu ondoren): 

* Maskota baten izena, ume batena, familiako kide batena, edo lankide batena...
* Urteurrenen eta urtebetetzeen datak, jaiotza-data adibidez.
* Jaiolekua.
* Festa kuttun baten izena.
* Gustuko kirol talde batekin loturiko zerbait.
* "pasahitza" "clave", edo "password" hitzak.
* "12345678", "88888888"...

## Pasahitzen sistema baten segurtasuneko faktoreak 
Pasahitz batek babesten duen sistema batek lortzen duen segurtasun-maila hainbat faktoreren araberakoa da. Sistemak, bere osotasunean, segurtasun sendo baterako diseinatuta egon behar du, birus informatikoen, gizakiak ingurunean egiten dituen erasoen eta antzekoen aurkako babesarekin. Segurtasun fisikoko arazoak ere kezkagarriak dira, sorbalda-surfing-etik hasi eta mehatxu fisiko sofistikatuagoetaraino, hala nola bideo-kamerak eta 'teklatu-usaintzaileak' erabiltzea. Aukeratzen diren pasahitzek erasotzailearentzat asmatzeko zailak izan behar dute, baina baita erasotzailearen eskura dauden eraso-sistema automatikoentzat. Informazio gehiago nahi izanez gero, kontsultatu zibersegurtasun atala.

Gaur egun, praktika arrunta da sistema informatikoek pasahitzak ezkutatzea idazten diren bitartean. Inguruan egon litekeen edonork pasahitza irakurtzea eragoztea da neurri horren helburua; hala ere, batzuek diote praktika horrek akatsak eta estresa eragin ditzakeela, eta horrek pasahitz ahulak aukeratzera bultzatzen ditu erabiltzaileak. Alternatiba bezala, erabiltzaileek pasahitzak erakusteko edo ezkutatzeko aukera izan beharko lukete idazten dituzten heinean (jada, sistema informatiko askok ematen dute aukera hau).

Sarbidea kontrolatzeko xedapen eraginkorrek muturreko neurriak hartzera behartu ditzakete pasahitza edo fitxa biometrikoa eskuratu nahi duten gaizkileen lana eragozteko. Hain muturrekoak ez diren neurrien artean estortsioa, gomazko mahuken bidezko kriptoanalisia eta alboko kanal bidezko erasoa daude.

Jarraian, pasahitzak kudeatzeko alderdi espezifiko batzuk azalduko ditugu, pasahitz bat pentsatu, aukeratu eta erabiltzean kontuan hartu beharrekoak.

### Erasotzaile batek pasahitz asmatuak probatzeko duen abiadura 
Erasotzaile batek asmatutako pasahitzak sistemara bidaltzeko duen abiadura funtsezko faktorea da sistemaren segurtasuna zehazteko. Sistema batzuek segundo batzuetako itxarote-denbora ezartzen dute, pasahitza sartzeko huts egindako saiakera-kopuru txiki baten ondoren (adibidez, hiru). Beste zaurgarritasunik ezean, sistema horiek seguruak izan daitezke modu eraginkorrean pasahitz nahiko errazekin, ondo aukeratu badira eta asmatzen errazak ez badira.

Sistema askok pasahitzaren hash kriptografikoa gordetzen dute. Erasotzaile batek hash pasahitzen artxibora sartzea lortzen badu, igarkizuna lineaz kanpo egin daiteke, benetako pasahitzaren hash balioaren aurkako pasahitz hautagaiak azkar probatuz. Web-zerbitzari baten kasuan, lineako erasotzaile batek zerbitzariak erantzungo duen abiaduran bakarrik asma dezake; lineaz kanpoko erasotzaile batek, berriz, erasoa gauzatzen den ekipo informatikoak mugatutako denboran asma dezake.

Gako kriptografikoak sortzeko erabiltzen diren pasahitzak (diskoak enkriptatzeko edo Wi-Fi segurtasuna bermatzeko, adibidez) ere tasa altuko asmatzaileen xede izan daitezke. Ohizkoen diren pasahitzezko zerrendak oso eskuragarri daude, eta oso eraginkorrak izan daitezke pasahitz-erasoetan. (Ikus pasahitz krakeatze) Egoera horietan, segurtasun-maila konplexutasun egokiko pasahitz edo 'pasaesaldien' erabileraren araberakoa da, eta, horren ondorioz, mota horretako eraso bat bideraezin bihur daiteke erasotzailearentzat. Sistema batzuek, PGP eta Wi-Fi WPA kasu, kalkulu intentsiboko hash bat aplikatzen diote pasahitzari, eraso horiek moteltzeko (key stretching)

### Mugak pasahitzen asmakizunen kopuruan 
Erasotzaile batek pasahitz bat eskuratzeko behar duen abiadura mugatzeko beste aukera bat zera da, pasahitza sartzeko egin daitezkeen aukera kopurua mugatzea. Pasahitza desaktibatu egin daiteke, berrezartzeko eskatuz, ondoz ondoko saiakera txar gutxi batzuen ondoren (5 esan dezagun); eta erabiltzaileari pasahitza aldatzeko eska dakioke, aukera txar gehiago metatu ondoren (30 esan dezagun), erasotzaile batek nahierara proba txarren kopuru handi bat egin ez dezan, eta, horretarako, aukera horiek tartekatu egin behar ditu jabeak egindako legezko saiakera onen artean.  Erasotzaileek, aitzitik, arintze horren ezagutza erabil dezakete erabiltzaileari zerbitzu ukapenaren eraso bat inplementatzeko, erabiltzailea bere gailutik kanpo nahita blokeatuz; zerbitzu-ukatze horrek beste bide batzuk ireki ditzake erasotzaileak egoera manipula dezan bere onurarako, ingeniaritza sozialaren bidez.

### Gordetako pasahitzak 
Sistema informatiko batzuek erabiltzaileen pasahitzak testu-fitxategian gordetzen dituzte, eta horiekin konparatzen dira erabiltzaileen sarbide-saiakerak. Erasotzaile batek pasahitzen barne-biltegi horretara sartzea lortzen badu, pasahitz guztiak -eta, beraz, erabiltzaile-kontu guztiak- arriskuan jarriko dira. Erabiltzaile batzuek pasahitz bera erabiltzen badute beste sistema batzuetako kontuetarako, horiek ere arriskuan jarriko dira.

Sistema seguruenek pasahitz bakoitza kriptografikoki babestutako modu batean biltegiratzen dute, eta, beraz, benetako pasahitza eskuratzeak zaila izaten jarraituko du sistemarako barne-sarbidea lortzen duen kuxkuxero batentzat; erabiltzaileen sarbide-saiakerak baliozkotzea, berriz, posible da oraindik ere. Seguruenek ez dituzte pasahitzak inola ere gordetzen, noranzko bakarreko deribazio bat baizik, hala nola polinomio bat, modulu bat edo hash funtzio aurreratu bat. Roger Needhamek asmatu zuen pasahitzaren "hash" forma bat testu lauan gordetzeko ikuspegia, gaur egun ohikoa dena. Erabiltzaile batek horrelako sistema batean pasahitz bat tekleatzen duenean, pasahitzak maneiatzeko softwarea hash kriptografikoko algoritmo baten bidez exekutatzen da, eta erabiltzailearen sarreratik sortutako hash balioa pasahitzen datu-basean gordetako hash balioarekin bat badator, sarbidea baimentzen zaio. Hash balioa, aurkeztutako pasahitzean eta, ezarpen askotan, gatz bezala ezagutzen den beste ausazko balio osagarri bat erabiltzen da hash funtzio kriptografikoa sendoago izateko. Gatzaren bidez, erasotzaileek pasahitz komunetarako hash balioen zerrenda erraz eraikitzea saihesten da. MD5 eta SHA1 maiz erabiltzen diren hash funtzio kriptografikoak dira, baina ez dira gomendatzen pasahitzen hasherako, baldin eta eraikuntza handiago baten zati gisa erabiltzen ez badira, PBKDF2n bezala.

Biltegiratutako datuak —batzuetan "pasahitz-egiaztatzailea" edo "pasahitz-hash" izenekoak— Modular Crypt Format (Kripta Modular Formatuan) edo RFC 2307 hash formatuan biltegiratzen dira, batzuetan /etc/passwd edo etc/shadow fitxategietan.

Pasahitzak biltegiratzeko metodo nagusiak testu laua, hash-fitxategia, hash moduan eta gazia, eta zifratze itzulgarria dira. Erasotzaile batek pasahitzen artxibora sartzea lortzen badu, orduan testu lau gisa biltegiratzen bada, hori krakeatzea ez da beharrezkoa. Hash moduan badago, baina ez gazia, orduan ahula da ostadar-taulako erasoen aurrean (krakeatzea baino eraginkorragoak izaten dira). Enkriptatuta badago modu itzulgarrian, erasotzaileak fitxategiarekin batera desenkriptazio-gakoa lortzen badu, orduan krakeatzeko ez da beharrezkoa; gakoa lortzen ez badu, berriz, krakeatzea ezinezkoa da. Beraz, pasahitzak biltegiratzeko ohiko formatuen artean pasahitzak gatzarekin hash-eratu direnean bakarrik da beharrezkoa eta posible krakeatzea.

Hash kriptografia-funtzio bat ondo diseinatuta badago, bideraezina da ikuspuntu konputazionaletik funtzioa alderantzizkatzea testu-fitxategiko pasahitz bat berreskuratzeko. Hala ere, erasotzaile batek eskura dituen tresnak erabil ditzake pasahitzak asmatzen saiatzeko. Tresna horiek pasahitz posibleen hash bidez funtzionatzen dute, eta asmakizun bakoitzaren emaitza pasahitzaren hash errealarekin alderatzen dute. Erasotzaileak kointzidentzia bat aurkitzen badu, badaki bere suposizioa elkartutako erabiltzailearen benetako pasahitza dela. Pasahitzak deszifratzeko tresnek indar gordinez funtziona dezakete (hau da, karaktere-konbinazio posible guztiak probatuz) edo zerrenda bateko hitz bakoitzaren hash bidez; Interneten hizkuntza askotan aurki daitezke pasahitz posibleen zerrenda zabalak  DES algoritmoaren bertsio aldatua lehen Unix sistemetan pasahitzen hashing algoritmoaren oinarri gisa erabili zen. Crypt algoritmoak 12 biteko gatz-balioa erabiltzen zuen erabiltzaile bakoitzarentzat hash bakarra izateko, eta DES algoritmoaren 25 aldiz iteratzen zuen, hash funtzioa moteldu ahal izateko. Bi neurriok asmaketa automatizatuzko erasoak zapuztearren asmatu zituzten. Erabiltzailearen pasahitza balio finko bat zifratzeko gako gisa erabiltzen zen. Unix sistema berrienek edo Unix moduko sistemek (adibidez, Linux edo zenbait BSD sistema) pasahitzetarako hash-algoritmo seguruagoak erabiltzen dituzte, PBKDF2, bcrypt eta scrypt kasu, gatz-balio handiak eta iterazio-kostu edo iterazio kopuru doigarri bat dituztenak. Gaizki diseinatutako hash funtzio batek erasoak egingarriak izatea eragin dezake, pasahitz indartsu bat aukeratuta ere. Ikus hash LM, hedapen handiko baina segurtasunik gabeko adibide bat ikusteko.

### Pasahitz bat sare batean egiaztatzeko metodoak 
#### Pasahitzaren transmisio soila 
Pasahitza harrapatua izan daiteke, autentifikatzen duen makinari edo pertsonari transmititzen zaion bitartean, hau da, intertzeptazioarekiko (hau da, "kuxkuxeatua izateko") kaltebera da. Pasahitza seinale elektriko gisa garraiatzen bada erabiltzailearen sarbide-puntuaren eta pasahitzen datu-basea kontrolatzen duen sistema zentralaren artean segurua ez den kable fisiko batean, telefonoz entzuteko metodoen bidez kontrolatuko da. Interneten paketatutako datu gisa garraiatzen bada, saioa hasteko informazioa duten datagramak (datu-paketeak) behatzeko gai den edonork kuxkuxeatu dezake, eta, gainera, bera detektatua izateko probabilitate oso baxuarekin.

Posta elektronikoa pasahitzak banatzeko erabiltzen da batzuetan, baina normalean metodo hori ez da segurua. Mezu elektroniko gehienak testu-fitxategietan bidaltzen direnez, pasahitz bat duen mezu bat erraz irakur dezake edozein kuxkuxerok mezua garraiatu bitartean. Gainera, mezua testu-fitxategi gisa gordeko da gutxienez bi ordenagailutan: bidaltzailearena eta hartzailearena. Bidaietan bitarteko sistemetatik igarotzen bada, seguru asko han ere biltegiratuko da, denbora batez gutxienez, eta segurtasun-kopiako, katxeko edo historialeko fitxategietan kopiatu ahal izango da sistema horietako edozeinetan.

Bezeroarenean zifratzeak babesten soilik posta maneiatzeko sistemaren zerbitzaritik bezeroaren makinara transmisioa. Posta elektronikoaren aurreko edo ondorengo emankizunak ez dira babestuta egongo, eta mezu elektronikoa, ziurrenik, hainbat ordenagailutan gordeko da, jatorri- eta helmuga-konputagailuetan, gehienetan testu huts moduan.

==== Kanal zifratuen bidezko transmisioa

### Pasahitzaren bizi-luzera 
"Pasahitzaren zahartzea" sistema eragile batzuen ezaugarria da, eta erabiltzaileak pasahitzak maiz aldatzera behartzen ditu (adibidez, hiru hilean behin, hilero edo are maizago). Politika horiek protestak eragiten dituzte kasurik onenean, eta etsaitasuna txarrenean. Askotan handitu egiten da pasahitza idazten duten eta erraz aurki daitekeen lekuan uzten duten pertsonen kopurua, bai eta laguntza teknikoko zerbitzura egindako deiak ere, ahaztutako pasahitza berrezartzeko. Erabiltzaileek pasahitz sinpleagoak erabil ditzakete edo gai sendo baten gaineko aldakuntza-patroiak garatu, pasahitz gogoangarriak mantentzeko. Gai horiek direla eta, nolabaiteko eztabaida dago *pasahitzen zahartzea* aplikatzea ea eraginkorra ote den zehazteko. Pasahitz bat aldatzeak ez du gehiegikeria saihestuko kasu gehienetan. Hala ere, norbaitek pasahitza baliabideren baten bidez eskuratu ahal izan badu, pasahitzaren aldaketak abusurako leihoa mugatzen du. 

### Erabiltzaile kopurua pasahitz bakoitzeko 
Sistema bateko erabiltzaile bakoitzari bere pasahitza esleitzea hobe da sistemaren erabiltzaile legitimoek pasahitz bakarra partekatzea baino, segurtasunaren ikuspuntutik, hain zuzen ere. Horren arrazoia da erabiltzaileak prestago daudela beste pertsona bati pasahitz partekatu bat esateko, pasahitz esklusibo bat baino. Pasahitz bakarrak ere ez dira hain egokiak aldatzeko, pertsona askori aldi berean esan behar baitzaizkie, eta zaildu egiten dute erabiltzaile jakin bati sarbidea kentzea, adibidez, graduazioaren edo dimisioaren kasuan. Saio-hasiera bereiziak ere askotan erabiltzen dira kontuak emateko, adibidez, datu bat nork aldatu duen jakiteko.

### Pasahitzen segurtasun-arkitektura 
Pasahitz batek babesten duen sistema informatiko baten segurtasuna hobetzeko erabiltzen diren teknika ohikoen artean, honako hauek daude:

* Ez erakustea pasahitza bistaratze-pantailan, izartxoak (*) edo buletak (•) erabiliz idazten ari garen bitartean.
* Luzera egokia duten pasahitzak baimentzea. (Heredatutako sistema eragile batzuek, Unix eta Windowsen lehen bertsioak barne, gehienez 8 karakterera mugatzen zituzten pasahitzak, eta horrek segurtasuna murrizten zuen).
* Erabiltzaileei pasahitza berriz sartzeko eskatzea jarduerarik gabeko aldi baten ondoren (erdi deskonexioko politika bat).

* Pasahitzen politika aplikatzea, horien indarra eta segurtasuna areagotzeko.

# Pasahitza aldatu behar izatea aldian-aldian.
# Ausaz aukeratutako pasahitzak esleituz.
# Pasahitzaren gutxieneko luzerak eskatzea.
# Erabili pasahitzen zerrenda beltz bat pasahitz ahulen eta asmatzeko errazen erabilera blokeatzeko.
# Teklatu bidezko sarrerari beste aukera bat ematea (adibidez, ahozko pasahitzak edo identifikatzaile biometrikoak).
# Autentifikazio-sistema bat baino gehiago eskatzea, hala nola bi faktore kautotzea, bi faktore autentifikatzea (erabiltzaileak duen zerbait eta ezagutzen duen zerbait).

* Tunel zifratuak edo pasahitz bidez kautotutako gakoak adosteko sistema erabiltzea, sareari egindako erasoen bidez guk transmititutako pasahitzetara inor sartzea saihesteko
* Denbora-tarte jakin batean baimendutako akatsen kopurua mugatzea (kanpoko batek pasahitza asmatzeko egin litzakeen saioei muga jartzeko). Behin mugara iritsita, ondorengo saiakerek huts egingo dute (pasahitza zuzentzeko saiakerak barne) hurrengo denbora-tartea hasi arte. Hala ere, hori kaltebera da kanpoko inork zerbitzu horren erabilera guri nahita blokeatu nahi badigu.
* Pasahitzak bidaltzeko saiakeren artean atzerapen bat sartzea, pasahitzak asmatzeko programa automatikoak moteltzeko.

Politika zorrotzagoak aplikatzeko neurri batzuek erabiltzaileak kexatzeko arriskua ekar dezakete, eta, ondorioz, segurtasuna murriztu.

### Pasahitza berrerabiltzea 
Ordenagailu-erabiltzaileen artean ohikoa da pasahitz bera hainbat lekutan berrerabiltzea. Horrek segurtasunerako arrisku handia dakar, erasotzaile batek leku bakarra jarri behar baitu arriskuan biktimak erabiltzen dituen beste leku batzuetara sartu ahal izateko. Arazo hori larriagotu egiten da erabiltzaile-izenak berrerabiltzeagatik eta saioa posta elektronikoz hastea eskatzen duten webguneengatik, erasotzaileari erabiltzaile bakar baten jarraipena hainbat gunetan egitea errazten baitio. Pasahitzak berrerabiltzea saihestu edo minimizatu egin daiteke teknika mnemoteknikoak erabiliz, pasahitzak paper batean idatziz edo pasahitz-kudeatzaile bat erabiliz.

Redmondeko Dinei Florencio eta Cormac Herley ikertzaileek, Carletongo Unibertsitateko (Kanada) Paul C. van Oorschotekin batera, adierazi dute ezin dela pasahitzen berrerabilera ekidin, eta erabiltzaileek segurtasun txikiko webguneetako pasahitzak berrerabili beharko lituzketela (datu pertsonal gutxi eta finantza-informaziorik ez dutenak, adibidez), baina kontu garrantzitsu batzuetarako bai, horietarako pasahitz luzeak eta konplexuak gogoratzeko ahalegina egin beharko luketela. Forbesek antzeko argudioak aurkeztu zituen, norberaren pasahitz guztiak maiz ez aldatzearen alde, giza memoriaren mugak direla eta.   

Pasahitzak kudeatzeko softwareak ere pasahitzak modu seguru samarrean gorde ditzake, pasahitz nagusi bakarra duen artxibo zifratu batean.

### Heriotzaren ondoren 
Londresko Unibertsitateko inkesta baten arabera, hamar pertsonatik bat bere pasahitzak testamentuetan uzten ari da, hiltzen direnean informazio garrantzitsu hori helarazteko. Inkestaren arabera, pertsonen heren bat ados dago pasahitz bidez babestutako datuak testamentuan pasatzeko bezain garrantzitsuak direla.

### Faktore anitzeko autentifikazioa 
Faktore anitzeko autentifikazio-planek pasahitzak ("ezagutza-faktore" gisa) autentifikazio-bitarteko batekin edo gehiagorekin konbinatzen dituzte, autentifikazioa seguruagoa izan dadin eta konprometitutako pasahitzekiko zaurgarritasun txikiagoa izan dezan. Adibidez, bi faktoreko saio-hasiera soil batek testu-mezu bat, posta elektroniko bat, telefono-dei automatizatu bat edo antzeko alerta bat bidal lezake saio bat hasi nahi den bakoitzean, agian kode bat emanez, pasahitz batez gain  sartu behar dena. Faktore sofistikatuenen artean hardware tokenak eta segurtasun biometrikoa daude.

## Pasahitzen erregelak 
Erakunde gehienek pasahitz-politika bat zehazten dute, eta pasahitzak osatzeko eta erabiltzeko baldintzak ezartzen dituzte. Normalean, gutxieneko luzera, eskatutako kategoriak (adibidez, maiuskulak eta minuskulak, zenbakiak eta karaktere bereziak), debekatutako elementuak (adibidez, izen propioaren erabilera, jaioteguna, helbidea, telefono-zenbakia) ezartzen dituzte. Gobernu batzuek autentifikazio-esparru nazionalak dituzte , eta horiek definitzen dituzte gobernu-zerbitzuen erabiltzaileen autentifikazio-baldintzak, pasahitzen eskakizunak barne.

Webgune askok arau estandarrak aplikatzen dituzte, hala nola gutxieneko eta gehieneko luzera, baina konposizio-arauak ere izan ohi dituzte, hala nola gutxienez letra larri bat eta zenbaki edo ikur bat sartzea. Azken arau horiek, zehatzenak, Arauen eta Teknologiaren Institutu Nazionalaren (NIST) 2003ko txosten batean oinarritzen ziren neurri handi batean. Txosten horren egilea Bill Burr da , eta bertan, jatorrian, zenbakiak, karaktere ilunak eta letra larriak erabiltzea eta aldizka eguneratzea proposatzen zen. 2017ko Wall Street Journal egunkariaren artikulu batean, Burrek proposamen horiek deitoratzen zituela jakinarazi zuen eta akats bat egin zuela horiek gomendatzerakoan .

NISTen txostenaren 2017ko berridazketa baten arabera, webgune askok beren erabiltzaileen segurtasunean kontrako eragina duten arauak dituzte. Horrek konposizio-arau konplexuak barne hartzen ditu, baita denbora-tarte jakin batzuen ondoren pasahitza nahitaez aldatzea ere. Arau horiek luzaroan orokortu badira ere, erabiltzaileek eta zibersegurtasuneko adituek ere gogaikarritzat eta ez-eraginkortzat jo dituzte . NISTek esaldi luzeagoak pasahitz gisa erabiltzea gomendatzen die pertsonei (eta webguneei pasahitzaren gehieneko luzera handitzeko aholkatzen die), "Ilusiozko konplexutasunez" gogoratzeko zailak diren pasahitzen ordez, "PA55w+rd" bezala . "pasahitz" pasahitza erabiltzea galarazten zaion erabiltzaile batek "Pasahitz1" aukera dezake zenbaki bat eta letra larri bat sartzeko eskatzen bazaio. Pasahitzaren aldizkako aldaketa behartuekin konbinatuta, gogoratzeko zailak baina deszifratzeko errazak diren pasahitzak ekar ditzake horrek. . Bruce Schneierren arabera, 2006ko phishing eraso baten datuak aztertzean, MySpaceko pasahitzen %55 8 ordutan deszifratu zitekeen, merkatuan eskuragarri zegoen pasahitzak berreskuratzeko tresnen kit bat erabiliz, 200.000 pasahitz segundoko probatzeko gai zena 2006an . Pasahitz ohikoena "pasahitz1" zela ere jakinarazi zuen, eta horrek, beste behin ere, erabiltzaileen artean pasahitzak aukeratzerakoan informatutako zaintza falta orokorra berresten duela. (Hala ere, datu horietan oinarrituta, pasahitzen kalitate orokorra urteetan zehar hobetu zela adierazi zuen; adibidez, batez besteko luzera zortzi karakterekoa zen, aurreko inkestetako zazpi karaktereen aldean, eta % 4 baino gutxiago hiztegiko hitzak ziren ).

### Gertakariak 
1998ko uztailaren 16an, erasotzaile batek 186.126 pasahitz zifratu aurkitu zituela jakinarazi zuen CERTek. Erasotzailea aurkitu zuten unean, jada 47.642 pasahitz deszifraturik zituen. 

2001eko irailaren 11ko atentatuetan New Yorkeko 960 langile hil ondoren, Cantor Fitzgerald finantza-zerbitzuetako enpresak, Microsoften bidez, hildako langileen pasahitzak hautsi zituen bezeroen kontuen zerbitzurako beharrezko artxiboetara sartzeko.  Teknikariek indar gordineko erasoak erabili zituzten, eta elkarrizketatzaileak familiekin harremanetan jarri ziren informazio pertsonalizatua lortzeko, pasahitzak bilatzeko denbora murriztu zezakeelakoan.

2009ko abenduan, Rockyou.com webgunearen pasahitzak nabarmen urratu ziren eta 32 milioi pasahitz askatu ziren. Pirata informatikoak, 32 milioi pasahitzen zerrenda osoa filtratu zuen Internetera (bestelako informazio identifikagarririk gabe). Pasahitzak testu argian gorde ziren datu-basean, eta SQL injekzio-zaurgarritasun baten bidez atera ziren. Imperva Aplikazioen Defentsarako Zentroak (ADC) pasahitzen indarraren azterketa egin zuen. .

2011ko uztailaren 11n, Booz Allen Hamiltoni, Pentagonoarentzat lan egiten duen aholkularitza enpresa bati,  Anonymousek bere zerbitzariak hackeatu zizkion eta egun berean infiltratu zen. "La fugak, 'Military Meltdown Monday' ezizenekoak, langile militarren 90.000 sarrera barne hartzen ditu, USCENTCOM, SOCOM, Ameriketako Estatu Batuetako Marinelen Gorputza, Aire Armadako zenbait instalazio, Segurtasun Nazionala, Estatu Saila, eta, sektore pribatuko kontratistak diruditenak"  Iragazitako pasahitz horiek azkenean SHA1 sisteman deszifratu ziren, eta geroago ADCren Impervako taldeak deszifratu eta aztertu zituen, langile militarrek ere pasahitzaren eskakizunak saihesteko bidezidorrak eta moduak bilatzen dituztela jakinaraziz. 

## Autentifikaziorako pasahitzen alternatibak 
Pasahitz iraunkor edo erdi-iraunkorrak konprometitzeko modu ugariek beste teknika batzuen garapena bultzatu dute. Tamalez, batzuk desegokiak dira praktikan, eta, edonola ere, gutxi iritsi dira alternatiba seguruagoa bilatzen duten erabiltzaileentzat unibertsalki eskuragarri egotera. 2012ko dokumentu batean  aztertzen da pasahitzak zergatik diren hain zailak ordezten (nahiz eta laster iraganeko gauza izango direla dioten iragarpen ugari egin ); ordezkariek segurtasunari, erabilerraztasunari eta hedapen-gaitasunari buruz proposatutako hogeita hamar ordezkapen aztertzean, ondorioztatzen da "horietako bakar batek ere ez duela gordetzen heredatutako pasahitzek jada ematen dituzten onura guztiak ere".

* Erabilera bakarreko pasahitzak. Behin bakarrik baliozkoak diren pasahitzak edukitzeak eraso potentzial asko eraginkortasunik gabe uzten ditu. Erabiltzaile gehienek erabilera bakarreko pasahitzak oso desabantailak aurkitzen dituzte. Hala ere, asko inplementatu dira banku elektronikoetan, non transakzioen autentifikazio Zenbakiak (tan) bezala ezagutzen diren. Etxeko erabiltzaile gehienek astero transakzio kopuru txiki bat baino ez dutenez egiten, erabilera bakarraren kontuak ez du bezeroen atsekabe jasanezina eragin kasu honetan.
* Denboran sinkronizatutako erabilera bakarreko pasahitzak erabilera bakarreko pasahitzen antzekoak dira zenbait alderditan, baina sartu beharreko balioa elementu txiki batean agertzen da (gehienetan poltsikorakoa), eta minuturo aldatzen da, gutxi gorabehera.
* PassWindow-en erabilera bakarreko pasahitzak erabilera bakarreko pasahitz gisa erabiltzen dira, baina sartu behar diren karaktere dinamikoak erabiltzaile batek erabiltzailearen pantailan erakusten den zerbitzariak sortutako desafio-irudi baten gainean inprimatutako gako bisual bakar bat gainjartzen duenean bakarrik ikus daitezke.
* Gako publikoko kriptografia asimetrikoan oinarritutako sarbide-kontrolak, adibidez, ssh. Beharrezko gakoak handiegiak izan ohi dira memorizatzeko (baina ikus Passmaze proposamena)  eta ordenagailu lokal batean, segurtasun-token batean edo memoria eramangarriko gailu batean gorde behar dira, hala nola flash USB unitate batean edo disketean. Gako pribatua zerbitzu-hornitzaile batean gorde daiteke hodeian, eta pasahitz bat erabiliz edo bi faktore kautotuz aktibatu.
* Metodo biometrikoek ezaugarri pertsonal aldaezinetan oinarritutako autentifikazioa agintzen dute, baina gaur egun (2008) errore tasa altuak dituzte eta hardware gehigarria behar dute eskaneatzeko, adibidez, hatz-markak, irisak, etab., merkatuan eskuragarri dauden sistemen proba-gertakari ospetsu batzuetan faltsutzeko errazak direla frogatu da, adibidez, gomazko hatz-marken faltsifikazioaren frogapena,  Oso garrantzitsua da sarbide-kontrolean; izan ere, sarbide-token konprometitu bat nahitaezkoa da.
* Saio bakarraren hasierako teknologiak pasahitz ugari izateko beharra ezabatzen duela baieztatzen da. Plan horiek ez dituzte erabiltzailea eta administratzaileak arrazoizko pasahitz bakarrak aukeratzetik salbuesten, ezta sistemen diseinatzaileak edo administratzaileak ere, saio bakarra hastea ahalbidetzen duten sistemen artean transmititzen den sarbide pribatuko kontroleko informazioa erasoen aurka seguru dagoela bermatzeko. Orain arte ez da arau egokirik egin.
* Ebaluazio-teknologia biltegiratze-gailu erauzgarrietako datuak babesteko modu bat da, hala nola USB memoriak, pasahitz bat erabili beharrik gabe. Erabiltzaileen pasahitzen ordez, erabiltzaileak sareko baliabide batera sartzean oinarritzen da sarbide-kontrola.
* Testuan oinarritzen ez diren pasahitzak, hala nola pasahitz grafikoak edo saguaren mugimenduan oinarritutakoak  Pasahitz grafikoak ohiko pasahitzaren ordez erabili nahi den saioa hasteko autentifikazio-bitarteko alternatiboa dira; irudiak, grafikoak edo koloreak erabiltzen dituzte letra, digitu edo karaktere berezien ordez. Sistema batek erabiltzaileek aurpegi batzuk pasahitz gisa aukeratzea eskatzen du, giza burmuinak aurpegiak erraz gogoratzeko duen gaitasuna erabiliz . Ezarpen batzuetan erabiltzaileak sekuentzia egokian irudi batzuk aukeratu behar ditu  pasahitz grafikoen beste soluzio batek erabilera bakarreko pasahitz bat sortzen du ausaz sortutako irudi-lauki bat erabiliz. Erabiltzailea kautotzea eskatzen den bakoitzean, aurrez aukeratutako kategorietara egokitzen diren irudiak bilatzen ditu eta ausaz sortutako karaktere alfanumerikoa sartzen du, irudian agertzen dena, erabilera bakarreko pasahitza osatzeko  Orain arte, pasahitz grafikoak etorkizun handikoak dira, baina ez dira asko erabiltzen. Gai horren inguruko azterketak egin dira, mundu errealean duen erabilgarritasuna zehazteko. Batzuek pasahitz grafikoak deszifratzeko zailagoak liratekeela uste duten bitartean, beste batzuek iradokitzen dute hain litekeena da jendeak irudi edo sekuentzia arruntak aukeratzea, pasahitz arruntak aukeratzea baino.
* 2D gakoa (bi dimentsioko gakoa)  2D matrize motako gakoa sartzeko metodo bat da, pasahitz multilinea, gurutzegrama, ASCII/Unicode esaldi-gakoaren estiloak dituena, aukerako testu-zarata semantikoekin, MePKC (Kriptografia Kriptografia) egiteko 128 bitetik gorako pasahitz/gako handi bat sortzeko.
* Pasahitz kognitiboek galdera eta erantzun pareak erabiltzen dituzte nortasuna egiaztatzeko

## Hash-ak  
Ez da termino oso ezaguna gizartean, baina laburbilduz, hash-ak edo laburpen kriptografikoak hash-funtzio baten bitartez testu bati sortzen zaion identifikatzaileari deritzo.

Adibidez:

* hash(“sarean.eus”) = 0e556c5f5217166fe6d2c669d47acfe6
* hash(“abracadabra”) = ec5287c45f0e70ec22d52e8bcbeeb640

Hash funtzioek honako ezaugarriak bete behar dituzte zehazki:

* Bi identifikatzaile ezberdinak badira, sarrerako testuek ezin dute berdinak izan
* Identifikatzaile batetik ezinezkoa da hasierako testua lortzea
* Identifikatzaileen kalkuluak azkarra izan behar du
* Bi testu ezberdinak izanez gero, identifikatzaileak ere ezberdinak izan beharko lirateke, alegia, talkak minimizatu beharko lituzke (hau betetzea ia ezinezkoa da, orduan minimizatu terminoa erabiltzen da ekidin esan beharrean).

Hash funtzio mordoa existitzen dira, baina erabilienak SHA eta MD5 (**M**essage-**D**igest **A**lgorithm **5**) familiatakoak dira..

## Pasahitza duten zerbitzuak 
Zerbitzu askok erabiltzailea kautotzeko pasahitzak eskatzen dituzte: adibidez, posta elektroniko kontuak, kutxazain automatikoak, telefono mugikorrak, sistema eragileetako sarrerak, eta abar.

## Kautotzeko prozesua 
Pasahitza software baliabide batera sartzeko erabiltzen denean, sistemako fitxategi batean gorde behar da. Modurik sinple eta ahulena testu fitxategi batean gordetzea da. Orokorrean, ordea, ez da horrela egiten eta pasahitzari zifratze funtzio bat aplikatzen zaio fitxategian gordetzeko garaian. Erabiltzaile bat sisteman sartu behar denean, pasahitzari zifratze funtzio bera aplikatzen zaio eta fitxategian dagoenarekin konparatzen da: erabiltzailea eta pasahitza fitxategian daudenekin bat badatoz, sisteman sartzeko baimena ematen da.

## Erreferentziak 
## Ikus, gainera 
* Pasahitz krakeatze.
* KeePass.
* KeePassXC.
* Kriptografia
* Kriptografiaren historia
* Posta elektroniko
* Zibersegurtasun

## Kanpo estekak