Pierwsze hasło komputerowe: jak Corbató wymyślił login w 1961

Problem: jeden komputer, wielu użytkowników

Na początku lat 60. komputery były drogimi i rzadkimi maszynami, z których korzystało naraz wielu naukowców i studentów. Na MIT działał wtedy system CTSS (Compatible Time-Sharing System) – jeden z pierwszych systemów operacyjnych pozwalających kilku osobom pracować na tym samym komputerze jednocześnie, dzieląc jego czas obliczeniowy.

Szybko pojawił się problem organizacyjny: każdy użytkownik miał własne pliki i limit czasu pracy przydzielony na maszynie, ale nic nie odróżniało jednej osoby od drugiej. Każdy mógł zobaczyć pliki każdego innego użytkownika, a limity czasowe można było łatwo obejść, podszywając się pod kogoś innego.

To właśnie Fernando Corbató, kierownik projektu CTSS, zaproponował proste rozwiązanie: każdy użytkownik dostaje własny login oraz tajne słowo, które potwierdza jego tożsamość przy logowaniu. Tak w 1961 roku narodziło się pierwsze hasło komputerowe w historii.

Jak wyglądało pierwsze logowanie w historii

Mechanizm był bardzo prosty jak na dzisiejsze standardy. System przechowywał hasła w zwykłym pliku tekstowym, bez żadnego szyfrowania. Wystarczyło mieć dostęp do tego pliku, aby poznać hasła wszystkich użytkowników systemu.

Właśnie to stało się przyczyną pierwszego w historii incydentu związanego z kradzieżą haseł. W 1962 roku doktorant Allan Scherr chciał uzyskać więcej czasu obliczeniowego, niż przydzielał mu limit. Znalazł sposób na wydrukowanie pliku z hasłami wszystkich użytkowników i zaczął logować się na cudze konta, by korzystać z ich puli czasu.

• To był pierwszy udokumentowany przypadek kradzieży haseł w historii informatyki
• Pokazał, że samo istnienie hasła nie gwarantuje bezpieczeństwa bez odpowiedniego przechowywania
• Zapoczątkował dyskusję o konieczności szyfrowania danych uwierzytelniających

Odpowiedzią na ten problem było dopiero w kolejnych latach wprowadzenie hashowania haseł przez Roberta Morrisa seniora – w systemie zapisywano nie samo hasło, a jego matematyczny skrót, którego nie dało się łatwo odwrócić.

Żal twórcy: koszmar, który przewidział cały świat

Fernando Corbató zmarł w 2019 roku, mając za sobą karierę pełną osiągnięć – oprócz haseł współtworzył także koncepcje systemów operacyjnych z podziałem czasu, które legły u podstaw dzisiejszych systemów wielozadaniowych. Mimo to w wywiadach dla mediów, w tym dla Wall Street Journal, otwarcie przyznawał, że hasła stały się jego zmorą.

Corbató zauważał, że przeciętny użytkownik internetu musi dziś pamiętać dziesiątki różnych haseł do kont bankowych, poczty, systemów firmowych i serwisów rozrywkowych. Sam przyznawał, że nie jest w stanie zapamiętać wszystkich swoich haseł i, podobnie jak miliony innych ludzi, zapisywał je na kartce.

To paradoks, który towarzyszy IT do dziś: rozwiązanie zaprojektowane do zabezpieczenia jednego komputera na uczelni stało się globalnym standardem, z którym walczą całe branże cyberbezpieczeństwa i UX.

Od kartki papieru do passkeys – ewolucja uwierzytelniania

Droga od prostego hasła zapisanego w pliku tekstowym do dzisiejszych metod uwierzytelniania trwała ponad sześćdziesiąt lat i wciąż trwa. Kluczowe etapy tej ewolucji to:

1. Hasła w plikach jawnych (lata 60.) – najsłabsza forma zabezpieczenia, podatna na proste kradzieże
2. Hashowanie haseł (lata 70.) – system przechowuje skrót hasła, a nie samo hasło
3. Polityki złożoności haseł (lata 80.-90.) – wymogi dotyczące długości, cyfr i znaków specjalnych
4. Uwierzytelnianie wieloskładnikowe – MFA (lata 2000.) – hasło przestaje być jedyną linią obrony
5. Menedżery haseł – automatyczne generowanie i przechowywanie unikalnych haseł dla każdego serwisu
6. Passkeys (obecnie) – uwierzytelnianie oparte na kluczach kryptograficznych, całkowicie eliminujące potrzebę pamiętania haseł

Warto zauważyć, że wiele firm wciąż tkwi mentalnie na etapie z lat 90. – polegając wyłącznie na hasłach, choć dostępne są znacznie bezpieczniejsze metody.

Czego ta historia uczy dzisiejsze firmy

Historia pierwszego hasła to coś więcej niż ciekawostka – to przypomnienie, że problemy, z którymi mierzą się dziś działy IT w małych i średnich firmach, mają swoje korzenie w decyzjach sprzed sześciu dekad. Kilka wniosków wciąż pozostaje aktualnych:

• Samo hasło nigdy nie było i nadal nie jest wystarczającym zabezpieczeniem – potrzebne jest dodatkowe uwierzytelnianie
• Sposób przechowywania danych logowania ma równie duże znaczenie, co samo ich istnienie
• Użytkownicy zawsze będą szukać sposobu na obejście niewygodnych zabezpieczeń, jeśli te utrudniają im pracę
• Rozwiązania, które wydają się tymczasowe i proste, potrafią zostać z nami na dekady

Dla firm z Wrocławia i regionu oznacza to jedno: warto już dziś inwestować w nowoczesne metody uwierzytelniania, zamiast czekać, aż hasła firmowe trafią na czarny rynek w wyniku kolejnego wycieku danych.