Přesun hesel do správce hesel

Modul 7: Spolupráce, aplikace a zabezpečení · Doba čtení: 10 minut

Cíl lekce: Po této lekci budete umět bezpečně přenést hesla z prohlížeče, papírků a tabulek do správce hesel, který odpovídá Vašemu novému uspořádání, včetně sdílených trezorů pro tým.

Klíčové pojmy: správce hesel, trezor, hlavní heslo, klíč pro obnovení, hesla v prohlížeči (Google, Edge, Apple), export do csv, sdílený trezor nebo kolekce, vlastní hosting, open source, šifrování na Vašem vlastním zařízení (zero-knowledge), ukládání přístupových klíčů (passkeys)

Zapomenutá část

Téměř v každém inventáři chybí hesla. Nejsou ve cloudové službě, kterou rušíte, a tak na ně nikdo nemyslí. Přesto jsou často přímo uprostřed. V Pekárně Zrnko se po kolečku mezi kolegy ukáže:

• většina hesel je uložena v Chromu, v Google účtu dané osoby;
• hesla k bance, velkoobchodu a e-shopu jsou v tabulce hesla.xlsx na Google Drive;
• heslo k Wi-Fi a kód alarmu visí na papírku;
• dva kolegové používají všude stejné heslo.

Když Google účet zanikne, zmizí s ním i hesla v Chromu. A tabulka s hesly v cloudu je jedna z prvních věcí, které útočník hledá. Přechod je proto správná chvíle, jak to vyřešit.

Co dělá správce hesel

Správce hesel je šifrovaný trezor na hesla, s aplikací v telefonu a v počítači a s rozšířením v prohlížeči. Pamatujete si jedno silné hlavní heslo; správce pro každý web vytvoří dlouhé, jedinečné heslo a vyplní ho za Vás.

Důležité je, kde šifrování probíhá. U známých správců se trezor šifruje na Vašem vlastním zařízení klíčem odvozeným z Vašeho hlavního hesla. Poskytovatel uchovává jen zašifrovaný trezor a Vaše hesla číst nemůže. Často se tomu říká "zero-knowledge". Důsledek: pokud zapomenete hlavní heslo a nemáte klíč pro obnovení, nemůže Vám pomoci ani poskytovatel.

Dobrý správce také vyplňuje jen na skutečné adrese. Falešný web Vaší banky tedy nedostane nic, i když vypadá úplně stejně. To je další ochrana proti phishingu.

Jaké druhy existují?

Naše doporučení pro většinu lidí a malých firem: Proton Pass, nebo 1Password s účtem na 1password.eu, pokud chcete to nejjednodušší. Oba fungují na Vašem Macu, na počítači s Windows, v telefonu i ve všech prohlížečích a oba mají sdílené trezory pro tým. Bitwarden zůstává americkou společností, i s úložištěm v EU. KeePassXC funguje jen na počítačích; v telefonu potřebujete jinou aplikaci. V příručce Správce hesel v praxi porovnáváme 23 správců hesel z hlediska pohodlí, bezpečnosti a EU/GDPR (viz Další čtení). Použijte i zde pět otázek z lekce 2.1 (sídlo, vlastník, datové centrum, dílčí zpracovatelé, klíč). U správce hesel má největší váhu poslední otázka: kdo má klíč? Pokud jen Vy, záleží na tom, kde je zašifrovaný trezor uložen, méně než u běžných souborů.

Přenos: export, import a okamžité smazání

Téměř každý prohlížeč a správce umí hesla exportovat do souboru csv. Je to obyčejný textový soubor, kde je na každém řádku web, uživatelské jméno a heslo, nešifrovaně. Kdokoli soubor otevře, může vše přečíst. Proto:

1. Dělejte to na počítači, kterému důvěřujete, ne na sdíleném počítači v provozovně.
2. Exportujte do svého vlastního počítače, ne do synchronizované složky ani do cloudu. Jinak bude nešifrovaný soubor během několika sekund na serveru, ve verzích i v koši.
3. Ihned ho naimportujte do nového správce.
4. Namátkově ověřte, že vše sedí (přihlaste se na několik webů).
5. Soubor csv ihned smažte a vysypte také koš v počítači.
6. Poté v prohlížeči vypněte ukládání hesel, aby nevznikla druhá, zastaralá kopie.

Tabulku s hesly přenesete tak, že údaje do správce zadáte ručně (nebo je naimportujete jako csv, se stejnými pravidly). Tabulku pak smažte, i z koše a z historie verzí starého cloudu. Změňte nejdůležitější hesla, která v ní byla, protože nevíte, kdo soubor v průběhu let viděl.

Dejte pozor také na přístupové klíče (passkeys) (lekce 7.3). Přístupový klíč uložený ve Vašem účtu Google nebo Apple nelze vždy exportovat. U důležitých webů si ve svém novém správci vytvořte nový přístupový klíč nebo zajistěte, že znáte heslo a druhý krok ověření, než starý účet zrušíte.

Sdílení v týmu

Některá hesla patří organizaci, ne osobě: banka, velkoobchod, účty na sociálních sítích, Wi-Fi. Použijte pro ně ve správci sdílený trezor nebo kolekci:

• Vytvořte trezor pro každou skupinu: "Prodejna", "Administrativa", "Správa". Ne každý musí vidět vše.
• Nikdy nesdílejte heslo přes chat nebo e-mail. Ani "jen rychle".
• Když někdo odchází, odeberte ho ze sdílených trezorů a změňte hesla, ke kterým měl přístup a která si mohl zapamatovat nebo zkopírovat.

Hlavní heslo a den, kdy se něco pokazí

Hlavní heslo je jediný klíč. Zvolte dlouhou frázi ze čtyř až šesti náhodných slov, kterou nikde jinde nepoužíváte. Na samotném správci si také zapněte dvoufázové ověření (2FA).

Obnovu si zajistěte předem:

• Uložte klíč pro obnovení nebo nouzový přístup, který Váš správce nabízí, na papír a na bezpečné místo.
• Dohodněte se v organizaci, kdo získá přístup v případě úmrtí nebo dlouhodobé nemoci vlastníka. Mnoho správců na to má funkci nouzového přístupu.
• Sem patří i záložní kódy Vašich nejdůležitějších účtů, případně na papír (lekce 7.3). Ne do trezoru, do kterého se dostanete jen pomocí těchto účtů.

V praxi: jak to vypadá u poskytovatele

Ve WebOké Nextcloud není samostatný správce hesel; vedle svého cloudu používáte samostatného správce hesel, například Proton Pass nebo 1Password. Příručka Správce hesel v praxi oba popisuje krok za krokem: vytvoření účtu, instalace, přenos, sdílení a nouzový přístup. Příručka o zabezpečení WebOké Nextcloud správce hesel také doporučuje a uvádí ho jako vhodné místo pro Vaše záložní kódy.

U jiných evropských cloudových služeb to funguje podobně: správce hesel je obvykle samostatná služba nebo aplikace vedle Vašeho cloudu.

Shrnutí

• Hesla v prohlížeči Vašeho starého účtu zmizí spolu s ním, když účet zrušíte. Přeneste je předem.
• Správce hesel šifruje na Vašem vlastním zařízení; hlavní heslo je jediný klíč.
• Export do csv je nešifrovaný: nikdy do synchronizované složky, ihned importovat, ihned smazat.
• Pro hesla organizace používejte sdílené trezory podle skupin a při odchodu člověka hesla změňte.
• Obnovu a nouzový přístup si zajistěte předem, na papíře.

Kvíz

Úkol

Úkol E7.4: Přehled hesel a plán přesunu. Zjistěte, kde jsou hesla ve Vaší organizaci nyní uložena (prohlížeč u každé osoby, tabulky, papírky, sdílené účty), vyberte správce hesel pomocí pěti otázek z lekce 2.1 a sepište plán přesunu: kdo co exportuje, na kterém počítači, kdy bude soubor csv smazán a jaké sdílené trezory vzniknou.

Další čtení

Postupy v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje podobně.

• Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
• Příručka k Nextcloud 3.3: Nastavení aplikace pro ověřování se a uložení záložních kódů
• NCSC (nizozemské Národní centrum kybernetické bezpečnosti), Začínáme s kybernetickou bezpečností (v nizozemštině): https://www.ncsc.nl/beginnen-met-cybersecurity
• Správce hesel a passkeys: takto si zabezpečíte přihlašování
• Správce hesel v praxi 4.1: Import hesel z prohlížečů Chrome, Edge, Firefox a Safari
• Správce hesel v praxi 4.2: Přechod z LastPass, Bitwarden nebo jiného správce hesel
• Správce hesel v praxi 1.4: Všechny známé správce hesel v porovnání: země, funkce, recenze a hodnocení