Password manager και passkeys το 2026: τι λέει το NIST για τους 15 χαρακτήρες
Οι παλιοί κανόνες «σύμβολο + κεφαλαίο κάθε μήνα» τελείωσαν. Μήκος, μοναδικότητα, διαχειριστής κωδικών και passkeys — με βάση το NIST SP 800-63B-4.
Σύντομη απάντηση: Το NIST SP 800-63B-4 (Ιούλιος 2025) ζητά τουλάχιστον 15 χαρακτήρες όταν ο κωδικός είναι μόνος του, απαγορεύει υποχρεωτικά σύμβολα και τακτικές αλλαγές «για το καλό σας». Στην πράξη: βάλτε password manager, μοναδικό κωδικό παντού και passkeys όπου η τράπεζα ή η Google/Apple τα προσφέρουν.
Οδηγοί credential hygiene του 2026 (και η ομοσπονδιακή καθοδήγηση ΗΠΑ) συμφωνούν: το μήκος νικάει το «P@ssw0rd1».
Τι άλλαξε με το NIST
- Ελάχιστο 15 χαρακτήρες για single-factor password.
- Τουλάχιστον 8 αν υπάρχει ήδη MFA.
- Όχι υποχρεωτικό μείγμα κεφαλαίων/συμβόλων.
- Όχι υποχρεωτική αλλαγή κάθε 90 ημέρες — μόνο μετά από διαρροή.
- Οι υπηρεσίες πρέπει να επιτρέπουν password managers και autofill.
Passphrase τεσσάρων άσχετων λέξεων («κάπαρη-τραμ-νερόλακκος-βέλος») είναι πιο δυνατή και πιο εύκολη από κοντό περίπλοκο κωδικό.
Πώς διαλέγετε password manager
- Κρυπτογράφηση end-to-end (ο πάροχος να μην διαβάζει το vault).
- Υποστήριξη passkeys.
- Εφαρμογές σε Windows/Mac και iOS/Android.
- Ειδοποιήσεις για επαναχρησιμοποίηση και διαρροές.
- Εξαγωγή δεδομένων αν φύγετε.
Ξεκινήστε με τον ενσωματωμένο της Apple ή της Google αν δεν θέλετε τρίτο πάροχο — μετά μεταφέρετε σε Bitwarden/1Password αν χρειαστείτε οικογενειακό sharing.
Μετάβαση σε μια μέρα
- Εγκαταστήστε τον manager σε υπολογιστή και κινητό.
- Εισαγάγετε κωδικούς από Chrome/Safari.
- Κλείστε την αποθήκευση κωδικών στον browser για να μην διπλοεγγράφονται.
- Αλλάξτε πρώτα email, banking, Apple ID / Google.
- Στη συνέχεια 5–10 λογαριασμούς την ημέρα όσο μπαίνετε.
Passkeys: πότε αξίζουν
Το passkey δένεται με τη συσκευή ή το cloud λογαριασμό σας και αντιστέκεται στο phishing: δεν υπάρχει κωδικός για να κλαπεί από ψεύτικη σελίδα. Προτιμήστε τα σε Google, Apple, Microsoft και όσες τράπεζες τα ενεργοποίησαν. Κρατήστε recovery μέθοδο (δεύτερη συσκευή ή κωδικούς ανάκτησης) σε ασφαλές σημείο.
Γιατί μετράει τώρα (Οκτώβριος 2026)
Ο μήνας κυβερνοασφάλειας και οι εκπτώσεις Νοεμβρίου φέρνουν κύμα ψεύτικων «αναγκαστικών επαναφορών κωδικού». Αν το email σας έχει ακόμα κοντό, επαναχρησιμοποιημένο password χωρίς MFA, ένας παραβιασμένος λογαριασμός e‑shop αρκεί για να ανοίξει πόρτες. Ξεκινήστε από το email σήμερα· τα υπόλοιπα μέσα στην εβδομάδα.
Ελέγξτε επίσης διαρροές στο Have I Been Pwned (μόνο τα 5 πρώτα hex του SHA‑1 φεύγουν από τη συσκευή σας στον έλεγχο κωδικού) ή στις ειδοποιήσεις του ίδιου του password manager.
Τι να κρατήσετε
- 15+ χαρακτήρες, μοναδικοί, χωρίς τακτικές αλλαγές χωρίς λόγο.
- Password manager είναι η μόνη πρακτική λύση.
- Passkeys > SMS OTP για phishing resistance.
- Πρώτα ασφαλίστε το email — από εκεί ξεκινούν οι επαναφορές.
Συχνές ερωτήσεις
Αν ξεχάσω τον master password;
Χωρίς recovery setup χάνετε το vault. Ορίστε από την πρώτη μέρα emergency contact ή εκτυπωμένους κωδικούς ανάκτησης σε κλειδωμένο συρτάρι.
Είναι ασφαλές ο κωδικός στο iCloud Keychain;
Ναι για προσωπική χρήση, με κλειδωμένη συσκευή και MFA στο Apple ID. Για οικογένεια με κοινή χρήση, κοιτάξτε manager με shared vault.
Πρέπει να σταματήσω τα SMS OTP;
Όχι απότομα. Ανέβετε σε εφαρμογή ή passkey όπου υπάρχει επιλογή. Το SMS μένει ως εφεδρεία σε λογαριασμούς χωρίς εναλλακτική.
Πηγές: NIST SP 800-63B-4 (Ιούλιος 2025), CISA MFA guidance, πρακτικοί οδηγοί credential hygiene 2026. Τελευταίος έλεγχος: 22 Οκτωβρίου 2026.
Αρχισυντάκτης & Δημοσιογράφος
Τάσος Σκλάβος
Ο Δρ. Τάσος Σκλάβος είναι Αρχισυντάκτης στο e-HowTo.gr, δημοσιογράφος (μέλος ΕΣΗΕΑ) και διδάκτωρ Κοινωνιολογίας του Παντείου Πανεπιστημίου. Εξειδικεύεται στη δημόσια διοίκηση και την κοινωνική πολιτική. Στο e-HowTo καλύπτει θέματα διακυβέρνησης και επιδόματα/δημόσιες υπηρεσίες, ενώ επιβλέπει την εγκυρότητα οδηγών υγείας και διατροφής με βάση δεδομένα από οργανισμούς όπως ο WHO και η EFSA.
