Модул 2 · 2.2

Избор и използване на мениджъри на пароли

Модул 2: Пароли и вход в системата · Време за четене: 9 минути

Цел на урока: След този урок ще можете да изберете и настроите мениджър на пароли, да защитите главната парола и да споделяте пароли безопасно в екип.

Основни понятия: мениджър на пароли, главна парола, трезор, криптиране от край до край (end-to-end), споделен трезор, авариен достъп, мениджър на пароли в браузъра

Какво прави мениджърът на пароли

В урок 2.1 видяхте, че всеки акаунт се нуждае от собствена, дълга и случайна парола. Никой не може да запомни осемдесет такива. Мениджърът на пароли е софтуер, който прави това вместо Вас. Той:

създава силна, случайна парола за всяка услуга;
съхранява всички пароли криптирани в трезор;
попълва ги на правилния уебсайт и само там;
често предупреждава за слаби, повтарящи се или изтекли пароли;
при много продукти може да съхранява и кодовете за двуфакторно удостоверяване (2FA), както и passkeys (уроци 2.3 и 2.4).

Вие запомняте само една парола: главната парола, с която отваряте трезора. Нидерландският NCSC препоръчва мениджъра на пароли като постоянна основа, също и за малки организации, с ясни договорености кой мениджър използвате и за кои акаунти той е задължителен.

Видове мениджъри на пароли

Няма един най-добър вид. Нидерландският NCSC разграничава мениджъра в браузъра, отделното приложение, както и онлайн (в облака) спрямо офлайн (локален). На практика ще срещнете следните форми:

Вид	Пример как работи	Предимства	Недостатъци
Вграден в браузъра или операционната система	Браузърът или телефонът Ви предлага да запази парола и по-късно я попълва	Вече е наличен, лесен е, синхронизира се в рамките на една и съща екосистема	Често няма отделна главна парола: който влезе в компютъра Ви, влиза и в паролите Ви; по-малко подходящ между различни системи и за споделяне в екип
Отделно приложение със синхронизация в облака	Отделно приложение и разширение за браузъра на всички Ваши устройства, трезорът е криптиран при доставчика	Работи на всички системи, споделени трезори, управление за екипи, предупреждения	Доверявате се на доставчика; нуждаете се от силна главна парола
Локален (офлайн)	Криптиран файл с трезора на Вашия собствен компютър	Всичко е изцяло във Вашите ръце	Сами се грижите за резервно копие и синхронизация; споделянето е по-трудно
С отворен код, евентуално на собствен сървър	Кодът е публичен и може да бъде проверен; някои от тях можете да стартирате на собствен сървър	Проверим е, няма зависимост от една компания	Собственият сървър означава сами да обновявате, защитавате и правите резервни копия

Известни примери за отделни мениджъри са Proton Pass, 1Password, Bitwarden и KeePassXC, освен мениджърите, вградени в браузърите и операционните системи. В ръководството „Мениджърът на пароли на практика“ сравняваме 23 мениджъра на пароли по удобство, сигурност и поверителност (ЕС и GDPR (ОРЗД)), с държавата на компанията, цената и отзиви (вижте „Допълнително четене“). Нашият съвет там: Proton Pass или 1Password, ако искате най-лесното решение. Ако се колебаете, изберете въз основа на въпросите по-долу.

Въпроси при избора

Работи ли на всички Ваши устройства и браузъри, включително тези на колегите?
Можете ли да споделяте трезори с права за всяка папка и отново да премахнете някого от трезор?
Криптиран ли е трезорът от край до край и какво е криптирано и какво не (например адресите на уебсайтовете)?
Можете ли да защитите трезора с двуфакторно удостоверяване (2FA) или с passkey?
Има ли авариен достъп или процедура за възстановяване и как точно работи тя?
Можете ли да експортирате данните си, ако искате да преминете към друг мениджър?
При безплатните версии: какъв е бизнес моделът?

Криптиране от край до край: какво става, ако доставчикът бъде хакнат?

При добрия облачен мениджър трезорът Ви се криптира на Вашето устройство с ключ, който се извлича от главната Ви парола. Доставчикът получава само криптирания пакет. Това се нарича криптиране от край до край (end-to-end) (понякога „zero knowledge“). Доставчикът не може да чете паролите Ви и следователно не може да възстанови главната Ви парола вместо Вас.

Ако доставчикът бъде хакнат, нападателят може да открадне криптираните трезори. След това може да се опита да ги разбие офлайн, както в урок 2.1. В този момент главната Ви парола е единствената Ви защита. Затова:

Главната парола е дълга и уникална: парола фраза от поне пет, а за предпочитане шест случайни думи.
Не я използвате никъде другаде.
След теч на данни при доставчика сменете главната си парола и паролите на най-важните си акаунти. Старият, откраднат трезор все пак е криптиран със старата главна парола.

Двуфакторното удостоверяване на трезора помага срещу човек, който знае главната Ви парола и иска да влезе през уебсайта. То не помага срещу разбиването на откраднат файл с трезора. Нидерландският NCSC също го казва: 2FA на мениджъра не е причина за слаба главна парола.

Защита на главната парола

Ако забравите главната парола при добър мениджър, загубата често е окончателна: доставчикът не може да я възстанови. Затова се погрижете за това предварително:

Запишете главната парола на хартия и пазете листа у дома на сигурно място. Нидерландският NCSC смята това за напълно приемливо, стига да не пишете за какво служи.
Създайте комплекта за възстановяване или аварийния код, който мениджърът Ви предлага, разпечатайте го и го пазете заедно с листа.
Въвеждайте главната парола само в приложението или разширението на самия мениджър, никога на уебсайт, който я иска.
Включете автоматичното заключване след няколко минути неактивност.

Защо автоматичното попълване помага срещу фишинг

Мениджърът на пароли свързва всяка парола с адреса на уебсайта. На https://moyabanka.example той попълва паролата Ви. На двойник като https://rnoyabanka.example (rn вместо m) или https://moyabanka-sigurno.example не прави нищо, защото тези адреси не са записани към елемента.

Човек често не забелязва разликата между rn и m. Мениджърът сравнява символи и не се уморява, нито бърза. Това е истинска защита, но само ако му позволите да работи:

Мениджърът Ви изведнъж не попълва нищо на сайт, където винаги го е правил? Тогава не го заобикаляйте, като копирате паролата ръчно. Първо разгледайте адреса много внимателно. Точно в този момент мениджърът Ви предупреждава.

Понякога има и основателна причина паролата да не се попълни: услуга, която се е преместила на нов адрес. В такъв случай проверете това по друг начин, например като сами въведете адреса, който вече познавате.

Споделяне в екип

В малката фирма винаги има акаунти, които използвате съвместно: онлайн магазинът на webshop-platform.example, акаунтът при burzkurier.example, социалните мрежи на фирмата. Най-добре е всеки да има собствен акаунт (модул 7). Ако това не е възможно, използвайте споделен трезор:

Създайте трезори или папки по теми („Онлайн магазин“, „Финанси“, „Социални мрежи“) и давайте достъп само на тези, които се нуждаят от него.
Никога не споделяйте по имейл, чат или в електронна таблица. Който има достъп до споделения трезор, вижда паролата там.
Някой напуска? Премахнете го от трезора и сменете паролите, които е можел да вижда. Само премахването от трезора не е достатъчно: той може да ги е преписал или запазил.
Осигурете авариен достъп: какво се случва, ако Вие, собственикът, сте болни или отсъствате? Много мениджъри имат функция, с която доверено лице получава достъп след период на изчакване. Или пазете данните за възстановяване в запечатан плик при второ лице.

На практика: преминаване за един следобед

Изберете мениджър и го инсталирайте на компютъра и телефона, заедно с разширението за браузъра.
Създайте главна парола (парола фраза), запишете я и запазете комплекта за възстановяване.
Включете двуфакторно удостоверяване (2FA) за трезора.
Импортирайте паролите, които браузърът Ви вече е запазил. Експортът често е некриптиран файл: изтрийте го веднага след импортирането, включително от кошчето.
Започнете с най-важните акаунти и задайте на всеки нова, случайна парола: пощенската Ви кутия (info@example.com), хостингът и регистрацията на домейна, банката и счетоводството Ви (например на schetovod.example).
Обновявайте останалите, когато и без това влизате в тях. Предупрежденията за повтарящи се пароли ще Ви помогнат.

Използвате ли услуга в средата на WebOké, като пощенска кутия или Nextcloud, с приложения на телефона си? За това понякога създавате отделна парола за приложение (вижте База знания 436). И нея пазите в мениджъра, към правилния елемент. При други доставчици това работи по подобен начин.

Обобщение

Мениджърът на пароли създава, съхранява и попълва уникални пароли; Вие запомняте само главната парола.
Видове: вграден в браузъра или системата, отделно приложение с облак, локален, с отворен код или на собствен сървър. Избирайте според устройствата, споделянето, криптирането и възстановяването.
При криптиране от край до край главната Ви парола е последната защита, ако доставчикът бъде хакнат.
Ако мениджърът не попълва паролата, проверете адреса, вместо да копирате.
Споделяйте чрез споделен трезор и сменяйте паролите, когато някой напусне.

Тест (quiz)

Задача

Задача D2.2: Настройване на Вашия мениджър на пароли. Изберете мениджър на пароли, създайте главна парола и комплект за възстановяване, включете двуфакторно удостоверяване (2FA) за трезора и задайте нова, уникална парола на петте си най-важни акаунта. Отметнете контролния списък и отговорете на въпросите за размисъл. Никъде не въвеждате парола.

Задача D2.2: Настройване на Вашия мениджър на пароли

Ето как да подходите: (1) Изберете вид мениджър на пароли (вграден, отделно приложение с облак, локален, с отворен код или самостоятелно хостван) въз основа на въпросите от урок 2.2. (2) Инсталирайте го на компютъра и телефона си, заедно с разширението за браузъра. (3) Създайте главна парола: парола фраза от поне пет, по-добре шест случайни думи. Запишете я на хартия и я съхранявайте вкъщи на сигурно място, заедно с комплекта за възстановяване или аварийния код на мениджъра. (4) Включете двуфакторно удостоверяване (2FA) за трезора. (5) Импортирайте съществуващите пароли от браузъра си и незабавно изтрийте експортирания файл, включително от кошчето. (6) Задайте нова, случайна парола от поне 15 знака на петте си най-важни акаунта: пощенска кутия, хостинг или регистрация на домейн, банка, счетоводство и акаунта, от който зависят останалите. (7) Ако работите с други хора: създайте споделен трезор за общите акаунти и добавете само хората, на които наистина им е нужен достъп.

Избран мениджър на пароли, инсталиран на всички мои устройства
Главната парола е парола фраза и не се използва никъде другаде
Главната парола и комплектът за възстановяване са записани на хартия на сигурно място
Двуфакторно удостоверяване (2FA) е включено за трезора
Експортираният файл е изтрит след импортирането
Петте най-важни акаунта имат нова, уникална парола
Автоматичното заключване е включено
(екип) Споделен трезор само с необходимите хора

Защо избрахте този вид мениджър и кое е за Вас най-големият му недостатък?

Кой има достъп до Вашите пароли, ако утре отсъствате цял месец, и как сте уредили това?

При кой акаунт мениджърът не попълни автоматично данните и какво проверихте тогава?

Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.

Допълнително четене

Стъпките в статиите на WebOké се отнасят за средата на WebOké; при други доставчици работи по подобен начин.

Бисквитки в WebOké

Настройки за бисквитки

Необходими

Маркетинг