Výber a používanie správcu hesiel

Modul 2: Heslá a prihlasovanie · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii dokážete vybrať a nastaviť správcu hesiel, chrániť hlavné heslo a bezpečne zdieľať heslá v tíme.

Kľúčové pojmy: správca hesiel, hlavné heslo, trezor, end-to-end šifrovanie, zdieľaný trezor, núdzový prístup, prehliadačový správca hesiel

Čo robí správca hesiel

V lekcii 2.1 ste videli, že každý účet potrebuje vlastné, dlhé a náhodné heslo. Osemdesiat hesiel si nikto nezapamätá. Správca hesiel je softvér, ktorý to za vás urobí. Dokáže:

• vytvoriť pre každú službu silné, náhodné heslo;
• uchovávať všetky heslá zašifrované v trezore;
• vyplniť ich na správnej webovej stránke, a len tam;
• upozorniť na slabé, duplicitné alebo uniknuté heslá;
• pri mnohých produktoch uchovávať aj kódy pre dvojfaktorové overenie (2FA) a ukladať passkey (lekcia 2.3 a 2.4).

Vy si zapamätáte už len jedno: hlavné heslo, ktorým trezor otvoríte. Holandské NCSC odporúča správcu hesiel ako pevný základ, aj pre malé organizácie, s jasnou dohodou, ktorého správcu používate a pre ktoré účty je povinný.

Druhy správcov hesiel

Neexistuje jeden najlepší druh. Holandské NCSC rozlišuje správcu v prehliadači, samostatnú aplikáciu a online (cloudové) riešenie oproti offline (lokálnemu). V praxi sa stretnete s týmito formami:

Známymi príkladmi samostatných správcov sú Bitwarden, 1Password, KeePassXC a Proton Pass, popri správcoch zabudovaných v prehliadačoch a operačných systémoch. Toto nie je odporúčanie: vyberte na základe otázok nižšie.

Otázky pri výbere

• Funguje na všetkých vašich zariadeniach a prehliadačoch, aj u kolegov?
• Dá sa zdieľať trezory s právami podľa priečinka a dá sa niekomu prístup k trezoru aj znova odobrať?
• Je trezor šifrovaný end-to-end a čo zostáva nezašifrované (napríklad adresy webových stránok)?
• Dá sa trezor zabezpečiť dvojfaktorovým overením alebo passkey?
• Existuje núdzový prístup alebo postup obnovy a ako presne funguje?
• Dajú sa vaše údaje exportovať, ak budete chcieť prejsť inam?
• Pri bezplatných verziách: aký je obchodný model?

End-to-end šifrovanie: čo ak poskytovateľa napadnú?

Pri dobrom cloudovom správcovi sa váš trezor šifruje na vašom zariadení kľúčom odvodeným z vášho hlavného hesla. Poskytovateľ dostane len zašifrovaný balík. Toto sa nazýva end-to-end šifrovanie (niekedy „zero knowledge“). Poskytovateľ nevie prečítať vaše heslá, a preto vám nemôže obnoviť ani hlavné heslo.

Ak poskytovateľa napadnú, útočník môže ukradnúť zašifrované trezory. Potom sa ich môže pokúsiť prelomiť offline, ako v lekcii 2.1. Vaše hlavné heslo je v tej chvíli vašou jedinou ochranou. Preto:

• Hlavné heslo je dlhé a jedinečné: heslová fráza z aspoň piatich, radšej šiestich náhodných slov.
• Nepoužívate ho nikde inde.
• Po úniku u poskytovateľa zmeníte hlavné heslo aj heslá svojich najdôležitejších účtov. Starý, ukradnutý trezor je totiž zašifrovaný starým hlavným heslom.

Dvojfaktorové overenie trezora pomáha proti niekomu, kto má vaše hlavné heslo a chce sa cez webovú stránku prihlásiť. Nepomáha proti prelomeniu ukradnutého súboru trezora. Hovorí to aj holandské NCSC: 2FA na správcovi nie je dôvod na slabé hlavné heslo.

Ochrana hlavného hesla

Zabudnutie hlavného hesla je pri dobrom správcovi často definitívne: poskytovateľ ho nedokáže obnoviť. Vyriešte to teda vopred:

• Zapíšte hlavné heslo na papier a uchovávajte ho doma na bezpečnom mieste. Holandské NCSC to považuje za v poriadku, pokiaľ k nemu nenapíšete, na čo slúži.
• Vytvorte obnovovaciu súpravu alebo núdzový kód, ktorý vám správca ponúka, vytlačte ho a uchovávajte spolu s papierom.
• Hlavné heslo zadávajte len v aplikácii alebo rozšírení samotného správcu, nikdy na webovej stránke, ktorá oň žiada.
• Zapnite automatické zamykanie po niekoľkých minútach nečinnosti.

Prečo automatické vypĺňanie pomáha proti phishingu

Správca hesiel spája každé heslo s adresou webovej stránky. Na https://mijnbank.example vyplní vaše heslo. Na napodobenine ako https://rnijnbank.example (rn namiesto m) alebo https://mijnbank-veilig.example nevyplní nič, pretože tieto adresy nie sú priradené k danej položke.

Človek rozdiel medzi rn a m často nevidí. Správca porovnáva znaky a neunaví sa ani neponáhľa. To je skutočná ochrana, ale len vtedy, keď mu to dovolíte urobiť:

Váš správca zrazu nič nevyplní na stránke, kde to vždy fungovalo? Neobchádzajte to ručným kopírovaním hesla. Najprv si veľmi dobre pozrite adresu. Presne toto je moment, kedy vás správca varuje.

Niekedy existuje aj dobrý dôvod na nevyplnenie: služba sa presťahovala na novú adresu. Overte to iným spôsobom, napríklad zadaním adresy, ktorú ste už poznali, ručne.

Zdieľanie v tíme

V malej firme vždy existujú účty, ktoré používate spoločne: internetový obchod na webwinkelplatform.example, účet u koeriersdienst.example, sociálne siete firmy. Najlepšie je, ak má každý vlastný účet (modul 7). Ak to nejde, použite zdieľaný trezor:

• Vytvorte trezory alebo priečinky podľa témy („Internetový obchod“, „Financie“, „Sociálne siete“) a prístup dajte len tým, ktorí ho potrebujú.
• Nikdy nezdieľajte heslá cez mail, chat ani tabuľku. Kto má prístup k zdieľanému trezoru, vidí heslo tam.
• Niekto odchádza? Odoberte ho z trezora a zmeňte heslá, ktoré mohol vidieť. Samotné odobratie z trezora nestačí: mohol si ich prepísať alebo uložiť.
• Zariaďte núdzový prístup: čo sa stane, ak vy, majiteľ, ochoriete alebo vypadnete? Mnohí správcovia majú funkciu, pri ktorej dôveryhodná osoba získa prístup po čakacej dobe. Alebo uchovávate obnovovacie údaje v zapečatenej obálke u druhej osoby.

V praxi: prechod za jedno popoludnie

1. Vyberte správcu a nainštalujte ho na počítač aj telefón, s rozšírením prehliadača.
2. Vytvorte hlavné heslo (heslovú frázu), zapíšte si ho, uložte obnovovaciu súpravu.
3. Zapnite dvojfaktorové overenie na trezore.
4. Importujte heslá, ktoré už uchovával váš prehliadač. Export je často nezašifrovaný súbor: po importe ho hneď odstráňte, aj z koša.
5. Začnite najdôležitejšími účtami a každému dajte nové, náhodné heslo: vašu schránku (info@example.com), váš hosting a registráciu domény, vašu banku a účtovníctvo (napríklad na boekhoudpakket.example).
6. Zvyšok doplňte priebežne, keď sa aj tak prihlasujete. Pomôžu vám upozornenia na duplicitné heslá.

Používate službu v prostredí WebOké, napríklad schránku alebo Nextcloud, s aplikáciami v telefóne? Pre ne si niekedy vytvoríte samostatné aplikačné heslo (pozrite Databázu znalostí 436). Aj to uložte v správcovi, pri správnej položke. U iných poskytovateľov to funguje podobne.

Zhrnutie

• Správca hesiel vytvára, uchováva a vypĺňa jedinečné heslá; vy si pamätáte len hlavné heslo.
• Druhy: zabudovaný v prehliadači alebo systéme, samostatná aplikácia s cloudom, lokálny, open source alebo s vlastným hostingom. Vyberajte podľa zariadení, zdieľania, šifrovania a obnovy.
• Pri end-to-end šifrovaní je vaše hlavné heslo poslednou obranou, ak poskytovateľa napadnú.
• Ak správca nevyplní heslo, pozrite sa na adresu namiesto kopírovania.
• Zdieľajte cez zdieľaný trezor a po odchode niekoho zmeňte heslá.

Kvíz

Úloha

Úloha D2.2: Nastavenie vášho správcu hesiel. Vyberte správcu hesiel, vytvorte hlavné heslo a obnovovaciu súpravu, zapnite dvojfaktorové overenie na trezore a dajte piatim najdôležitejším účtom nové, jedinečné heslo. Odškrtnite kontrolný zoznam a odpovedzte na reflexné otázky. Nikde heslo nezadávate.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Vytvorenie hesla aplikácie (potrebné na pripojenie aplikácií a zariadení)
• Návod na Nextcloud 3.5: Heslá aplikácií: kedy a ako ich použiť
• Holandské NCSC, Ako si vybrať správcu hesiel?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Holandské NCSC, Štyri kroky k bezpečnejším heslám: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken