Výběr a používání správce hesel

Modul 2: Hesla a přihlašování · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete vybrat a nastavit správce hesel, ochránit hlavní heslo a bezpečně sdílet hesla v týmu.

Klíčové pojmy: správce hesel, hlavní heslo, trezor, end-to-end šifrování, sdílený trezor, nouzový přístup, správce hesel v prohlížeči

Co dělá správce hesel

V lekci 2.1 jste viděli, že každý účet potřebuje vlastní, dlouhé a náhodné heslo. Osmdesát takových hesel si nikdo nezapamatuje. Správce hesel je software, který to udělá za Vás. Správce hesel:

• vytvoří pro každou službu silné, náhodné heslo;
• uchovává všechna hesla šifrovaně v trezoru;
• vyplní je na správné webové stránce, a jen tam;
• často upozorní na slabá, opakovaně použitá nebo uniklá hesla;
• u mnoha produktů umí uchovávat i kódy pro dvoufázové ověření (2FA) a ukládat passkeys (lekce 2.3 a 2.4).

Pamatovat si musíte už jen jedno heslo: hlavní heslo, kterým trezor otevíráte. Nizozemské NCSC doporučuje správce hesel jako pevný základ i pro malé organizace, s jasnou dohodou, který správce se používá a pro které účty je povinný.

Druhy správců hesel

Neexistuje jeden nejlepší druh. Nizozemské NCSC rozlišuje správce v prohlížeči, samostatnou aplikaci a dále online (cloudové) a offline (lokální) řešení. V praxi se setkáte s těmito podobami:

Známými příklady samostatných správců jsou Proton Pass, 1Password, Bitwarden a KeePassXC, vedle správců vestavěných v prohlížečích a operačních systémech. V příručce Správce hesel v praxi porovnáváme 23 správců hesel z hlediska pohodlí, bezpečnosti a soukromí (EU a GDPR), včetně země sídla firmy, ceny a recenzí (viz Další čtení). Naše doporučení tam zní: Proton Pass, nebo 1Password, pokud chcete co nejjednodušší řešení. Pokud váháte, rozhodněte se podle otázek níže.

Otázky při výběru

• Funguje na všech Vašich zařízeních a prohlížečích, i na těch, které používají kolegové?
• Lze sdílet trezory s oprávněními pro jednotlivé složky a někoho z trezoru zase odebrat?
• Je trezor šifrován end-to-end a co je a není šifrováno (například adresy webových stránek)?
• Lze trezor zabezpečit dvoufázovým ověřením (2FA) nebo passkey?
• Existuje nouzový přístup nebo možnost obnovy a jak přesně funguje?
• Můžete svá data exportovat, pokud budete chtít přejít jinam?
• U bezplatných verzí: z čeho se služba financuje?

End-to-end šifrování: co když dodavatele někdo hackne?

U dobrého cloudového správce se Váš trezor šifruje na Vašem zařízení klíčem, který je odvozen z Vašeho hlavního hesla. Dodavatel dostane jen zašifrovaný balík. Tomu se říká end-to-end šifrování (někdy také „zero knowledge“). Dodavatel Vaše hesla přečíst nemůže, a proto Vám ani nemůže hlavní heslo obnovit.

Pokud dodavatele někdo hackne, útočník může zašifrované trezory ukrást. Pak se je může pokusit prolomit offline, stejně jako v lekci 2.1. Vaše hlavní heslo je v tu chvíli jedinou ochranou. Proto platí:

• Hlavní heslo je dlouhé a jedinečné: heslová fráze z alespoň pěti, raději šesti náhodných slov.
• Nepoužíváte ho nikde jinde.
• Po úniku u dodavatele změníte hlavní heslo a také hesla ke svým nejdůležitějším účtům. Starý ukradený trezor je totiž zašifrován starým hlavním heslem.

Dvoufázové ověření na trezoru pomáhá proti někomu, kdo zná Vaše hlavní heslo a chce se přihlásit přes web. Nepomáhá ale proti prolomení ukradeného souboru trezoru. Říká to i nizozemské NCSC: 2FA na správci hesel není důvodem pro slabé hlavní heslo.

Ochrana hlavního hesla

Zapomenuté hlavní heslo je u dobrého správce často ztraceno natrvalo: dodavatel ho nedokáže obnovit. Zařiďte proto předem následující:

• Zapište si hlavní heslo na papír a uložte ho doma na bezpečném místě. Nizozemské NCSC to považuje za v pořádku, pokud k němu nenapíšete, k čemu slouží.
• Vytvořte sadu pro obnovení nebo nouzový kód, který Váš správce nabízí, vytiskněte ho a uložte ho spolu s papírem.
• Hlavní heslo zadávejte jen do aplikace nebo rozšíření samotného správce, nikdy na webovou stránku, která o něj žádá.
• Zapněte automatické zamknutí po několika minutách nečinnosti.

Proč automatické vyplňování pomáhá proti phishingu

Správce hesel přiřazuje každé heslo k adrese webové stránky. Na https://mojebanka.example Vaše heslo vyplní. Na napodobenině jako https://rnojebanka.example (rn místo m) nebo https://mojebanka-bezpecne.example neudělá nic, protože tyto adresy u položky uložené nejsou.

Člověk rozdíl mezi rn a m často nevidí. Správce porovnává znaky a není unavený ani ve spěchu. Je to skutečná ochrana, ale jen pokud ho necháte pracovat:

Váš správce najednou nic nevyplní na stránce, kde to vždy fungovalo? Neobcházejte ho ručním zkopírováním hesla. Nejdřív se velmi pozorně podívejte na adresu. Právě v tuto chvíli Vás správce varuje.

Někdy existuje i dobrý důvod, proč správce nevyplní: služba se přestěhovala na novou adresu. Ověřte to pak jinou cestou, například tak, že sami zadáte adresu, kterou už znáte.

Sdílení v týmu

V malé firmě vždy existují účty, které používáte společně: e-shop na eshop-platforma.example, účet u balikovka.example, firemní sociální sítě. Nejlepší je, když má každý vlastní účet (modul 7). Pokud to nejde, použijte sdílený trezor:

• Vytvořte trezory nebo složky podle témat („E-shop“, „Finance“, „Sociální sítě“) a přístup dejte jen tomu, kdo ho potřebuje.
• Nikdy nesdílejte přes e-mail, chat ani tabulku. Kdo má přístup ke sdílenému trezoru, uvidí heslo tam.
• Někdo odchází? Odeberte ho z trezoru a změňte hesla, která mohl vidět. Samotné odebrání z trezoru nestačí: hesla si mohl opsat nebo uložit.
• Zajistěte nouzový přístup: co se stane, když Vy jako vlastník onemocníte nebo vypadnete? Mnoho správců má funkci, díky které důvěryhodná osoba získá přístup po uplynutí čekací doby. Nebo údaje pro obnovení uložte v zapečetěné obálce u druhé osoby.

V praxi: přechod za jedno odpoledne

1. Vyberte správce hesel a nainstalujte ho do počítače i telefonu, včetně rozšíření prohlížeče.
2. Vytvořte hlavní heslo (heslovou frázi), zapište si ho a uložte sadu pro obnovení.
3. Zapněte na trezoru dvoufázové ověření (2FA).
4. Importujte hesla, která už ukládal Váš prohlížeč. Export bývá často nešifrovaný soubor: smažte ho ihned po importu, i z koše.
5. Začněte nejdůležitějšími účty a každému dejte nové, náhodné heslo: Vaše e-mailová schránka (info@example.com), hosting a registrace domény, banka a účetnictví (například na ucetnisoft.example).
6. Ostatní účty aktualizujte, až se do nich budete stejně přihlašovat. Pomohou Vám upozornění na opakovaně použitá hesla.

Používáte službu v prostředí WebOké, například e-mailovou schránku nebo Nextcloud, s aplikacemi v telefonu? Pro ně si někdy vytváříte samostatné heslo pro aplikaci (viz znalostní báze, článek 436). I to uložte do správce hesel, ke správné položce. U jiných poskytovatelů to funguje podobně.

Shrnutí

• Správce hesel vytváří, uchovává a vyplňuje jedinečná hesla; Vy si pamatujete jen hlavní heslo.
• Druhy: vestavěný v prohlížeči nebo systému, samostatná aplikace s cloudem, lokální, open source nebo na vlastním serveru. Vybírejte podle zařízení, sdílení, šifrování a obnovy.
• Při end-to-end šifrování je Vaše hlavní heslo poslední obranou, pokud dodavatele někdo hackne.
• Když správce nevyplní heslo, podívejte se na adresu, místo abyste heslo kopírovali.
• Sdílejte přes sdílený trezor a při odchodu člověka změňte hesla.

Kvíz

Úkol

Úkol D2.2: Nastavení správce hesel. Vyberte správce hesel, vytvořte hlavní heslo a sadu pro obnovení, zapněte na trezoru dvoufázové ověření (2FA) a dejte svým pěti nejdůležitějším účtům nové, jedinečné heslo. Odškrtněte kontrolní seznam a odpovězte na otázky k zamyšlení. Nikde nezadáváte žádné heslo.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• Vytvořit heslo aplikace (potřebné pro připojení k aplikacím a zařízením)
• Příručka k Nextcloud 3.5: Hesla aplikací: kdy a jak je použít
• NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost), doporučení ke kybernetické bezpečnosti: https://nukib.gov.cz/
• CSIRT.CZ, národní tým pro řešení kybernetických incidentů: https://csirt.cz/
• Správce hesel a passkeys: takto si zabezpečíte přihlašování
• Správce hesel v praxi 1.1: Proč správce hesel a co se v této příručce naučíte
• Správce hesel v praxi 1.2: Proton Pass, 1Password, nebo Váš prohlížeč: co se hodí právě Vám?
• Správce hesel v praxi 1.3: Vaše hlavní heslo: vytvoření, uložení a jak o něj nikdy nepřijít
• Správce hesel v praxi 1.4: Všechny známé správce hesel v porovnání: země, funkce, recenze a hodnocení