Presun hesiel do správcu hesiel

Modul 7: Spolupráca, aplikácie a bezpečnosť · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete bezpečne presunúť heslá z prehliadača, lístočkov a tabuliek do správcu hesiel, ktorý vyhovuje vašej novej štruktúre, vrátane zdieľaných trezorov pre tím.

Kľúčové pojmy: správca hesiel, trezor, hlavné heslo, obnovovací kľúč, heslá v prehliadači (Google, Edge, Apple), export vo formáte csv, zdieľaný trezor alebo kolekcia, vlastný hosting, otvorený zdroj, šifrovanie na vlastnom zariadení (zero-knowledge), uchovávanie passkeys

Zabudnutá časť

Takmer v každom inventári chýbajú heslá. Nie sú súčasťou cloudovej služby, ktorú rušíte, takže na ne nikto nemyslí. Napriek tomu sa často nachádzajú priamo v centre diania. V Bakkerij De Korrel sa po prieskume ukáže:

• väčšina hesiel je uložená v Chrome, v Google účte danej osoby;
• heslá k banke, veľkoobchodu a e-shopu sú v tabuľke wachtwoorden.xlsx na Google Drive;
• heslo k wifi a kód alarmu visia na lístočku;
• dvaja kolegovia používajú všade rovnaké heslo.

Ak Google účet zanikne, zmiznú s ním aj heslá uložené v Chrome. A tabuľka s heslami v cloude patrí medzi prvé veci, ktoré hľadá útočník. Prechod na inú službu je preto vhodná chvíľa to vyriešiť.

Čo robí správca hesiel

Správca hesiel je šifrovaný trezor na heslá, s aplikáciou v telefóne a počítači a rozšírením v prehliadači. Zapamätáte si jedno silné hlavné heslo; správca pre každú stránku vytvorí dlhé, jedinečné heslo a vyplní ho za vás.

Dôležité je, kde prebieha šifrovanie. Pri známych správcoch sa trezor šifruje priamo na vašom zariadení kľúčom odvodeným z vášho hlavného hesla. Poskytovateľ uchováva iba zašifrovaný trezor a vaše heslá nedokáže prečítať. Toto sa často nazýva "zero-knowledge". Dôsledok: ak zabudnete hlavné heslo a nemáte obnovovací kľúč, nepomôže vám ani poskytovateľ.

Dobrý správca tiež vyplní heslo len na skutočnej adrese. Falošná stránka vašej banky tak nedostane nič, aj keby vyzerala úplne rovnako. Je to ďalšia ochrana proti phishingu.

Aké druhy existujú?

Toto nie je rebríček. Pre živnostníka môže plne postačovať KeePassXC so súborom trezoru vo vlastnom cloude. Pre tím dvanástich ľudí je praktickejší správca so zdieľanými trezormi. Použite aj tu päť otázok z lekcie 2.1 (sídlo, vlastník, dátové centrum, subdodávatelia spracovania, kľúč). Pri správcovi hesiel váži najviac posledná otázka: kto má kľúč? Ak ho máte iba vy, menej záleží na tom, kde sa zašifrovaný trezor nachádza, než pri bežných súboroch.

Presun: export, import a okamžité odstránenie

Takmer každý prehliadač a správca dokáže heslá exportovať ako súbor csv. Je to bežný textový súbor, kde je na každom riadku stránka, používateľské meno a heslo, nešifrované. Ktokoľvek súbor otvorí, dokáže všetko prečítať. Preto:

1. Robte to na počítači, ktorému dôverujete, nie na zdieľanom počítači v obchode.
2. Exportujte do vlastného počítača, nie do synchronizovaného priečinka alebo cloudu. Inak sa nešifrovaný súbor do pár sekúnd ocitne na serveri, vo verziách a v koši.
3. Ihneď ho importujte do nového správcu.
4. Náhodne skontrolujte, či všetko sedí (prihláste sa na niekoľkých stránkach).
5. Ihneď odstráňte súbor csv a vyprázdnite aj kôš počítača.
6. Potom vypnite ukladanie hesiel v prehliadači, aby nevznikla druhá, zastaraná kópia.

Tabuľku s heslami presuniete tak, že údaje ručne prepíšete do správcu (alebo ich importujete ako csv, podľa rovnakých pravidiel). Tabuľku potom odstráňte, aj z koša a histórie verzií starého cloudu. Zmeňte najdôležitejšie heslá, ktoré v nej boli, pretože neviete, kto súbor počas rokov videl.

Dávajte pozor aj na passkeys (lekcia 7.3). Passkey uložený vo vašom Google alebo Apple účte sa nedá vždy exportovať. Pri dôležitých stránkach si vo svojom novom správcovi vytvorte nový passkey alebo zabezpečte, aby ste poznali heslo a druhý krok overenia, skôr než zrušíte starý účet.

Zdieľanie v tíme

Niektoré heslá patria organizácii, nie jednotlivcovi: banka, veľkoobchod, účty na sociálnych sieťach, wifi. Na to použite zdieľaný trezor alebo kolekciu v správcovi:

• Vytvorte trezor pre každú skupinu: "Obchod", "Administratíva", "Správa". Nemusí všetko vidieť každý.
• Nikdy nezdieľajte heslo cez chat alebo e-mail. Ani "len rýchlo".
• Keď niekto odíde, odstráňte ho zo zdieľaných trezorov a zmeňte heslá, ku ktorým mal prístup a ktoré si mohol zapamätať alebo skopírovať.

Hlavné heslo a deň, keď sa niečo pokazí

Hlavné heslo je jediný kľúč. Zvoľte dlhú vetu zo štyroch až šiestich náhodných slov, ktorú nepoužívate nikde inde. Na samotnom správcovi tiež zapnite dvojfaktorové overenie (2FA).

Vopred si zariaďte obnovu:

• Uchovajte obnovovací kľúč alebo núdzový prístup, ktorý váš správca ponúka, na papieri na bezpečnom mieste.
• Pre organizáciu si dohodnite, kto získa prístup v prípade úmrtia alebo dlhodobej choroby vlastníka. Mnohé správcovia na to majú funkciu núdzového prístupu.
• Záložné kódy k vašim najdôležitejším účtom sem tiež patria, prípadne na papier (lekcia 7.3). Nie do trezoru, do ktorého sa dostanete iba pomocou tých istých účtov.

V praxi: ako to vyzerá u poskytovateľa

Vo WebOké Nextcloud nie je samostatný správca hesiel; použijete správcu hesiel podľa vlastného výberu. Ak používate KeePassXC, môžete zašifrovaný súbor trezoru umiestniť do svojho Nextcloud, takže bude dostupný cez desktopovú aplikáciu na všetkých vašich počítačoch a dá sa obnoviť cez verzie. Súbor je vtedy zašifrovaný vaším hlavným heslom ešte predtým, než sa dostane na server. Príručka o zabezpečení WebOké Nextcloud sama odporúča používať správcu hesiel a spomína ho ako vhodné miesto na uchovávanie vašich záložných kódov.

Pri iných európskych cloudových službách to funguje podobne: správca hesiel je zväčša samostatná služba alebo aplikácia popri vašom cloude.

Zhrnutie

• Heslá v prehliadači vášho starého účtu zaniknú spolu s ním, ak účet zrušíte. Presuňte ich vopred.
• Správca hesiel šifruje na vašom vlastnom zariadení; hlavné heslo je jediný kľúč.
• Export vo formáte csv je nešifrovaný: nikdy do synchronizovaného priečinka, ihneď importovať, ihneď odstrániť.
• Na heslá organizácie používajte zdieľané trezory podľa skupín a pri odchode ich meňte.
• Obnovu a núdzový prístup si vopred zariaďte, na papieri.

Kvíz

Úloha

Úloha E7.4: Prehľad hesiel a plán presunu. Zistite, kde sa heslá vo vašej organizácii teraz nachádzajú (prehliadač u jednotlivca, tabuľky, lístočky, zdieľané účty), vyberte správcu hesiel pomocou piatich otázok z lekcie 2.1 a napíšte plán presunu: kto exportuje čo, na akom počítači, kedy sa súbor csv odstráni a aké zdieľané trezory vzniknú.

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
• Návod na Nextcloud 3.3: Nastavenie aplikácie autentifikátora a uloženie záložných kódov
• NCSC (Holandské národné centrum kybernetickej bezpečnosti), Začíname s kybernetickou bezpečnosťou: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/