Paroolide ülekandmine paroolihaldurisse

Moodul 7: Koostöö, rakendused ja turvalisus · Lugemisaeg: 10 minutit

Õpieesmärk: Selle tunni järel oskad paroolid brauserist, paberilappidelt ja tabelitest turvaliselt üle kanda paroolihaldurisse, mis sobib sinu uue lahendusega. Sinna kuuluvad ka meeskonna jagatud seifid.

Põhimõisted: paroolihaldur, seif, ülemparool, taastevõti, brauserisse salvestatud paroolid (Google, Edge, Apple), eksport csv-failina, jagatud seif või kogum, ise majutamine, avatud lähtekood, krüpteerimine sinu enda seadmes (zero-knowledge), pääsuvõtmete (passkey) hoidmine

Unustatud osa

Peaaegu igast ülevaatest jäävad paroolid välja. Need ei asu pilveteenuses, mille sa üles ütled, seega ei mõtle neile keegi. Ometi on nad sageli kõige keskel. Pagariäri Tera juures selgub pärast ringkäiku järgmine:

• enamik paroole on salvestatud Chrome'i, töötaja enda Google'i kontosse;
• panga, hulgimüüja ja veebipoe paroolid on tabelis wachtwoorden.xlsx Google Drive'is;
• wifi parool ja valvesignalisatsiooni kood on kirjas paberilapil;
• kaks kolleegi kasutavad igal pool sama parooli.

Kui Google'i konto kaob, kaovad koos sellega ka Chrome'i salvestatud paroolid. Paroolidega tabel pilves on aga üks esimesi asju, mida sissetungija otsib. Üleminek on seega õige hetk see korda teha.

Mida paroolihaldur teeb

Paroolihaldur on paroolide krüpteeritud seif, millel on rakendus telefonis ja arvutis ning laiendus brauseris. Pead meeles ühte tugevat ülemparooli; haldur loob igale saidile pika ja unikaalse parooli ning täidab selle sinu eest.

Oluline on see, kus krüpteerimine toimub. Tuntud haldurite puhul krüpteeritakse seif sinu enda seadmes võtmega, mis tuletatakse sinu ülemparoolist. Teenusepakkuja hoiab ainult krüpteeritud seifi ega saa sinu paroole lugeda. Seda nimetatakse sageli „zero-knowledge“ põhimõtteks. Tagajärg: kui unustad ülemparooli ja sul pole taastevõtit, ei saa ka teenusepakkuja sind aidata.

Hea haldur täidab parooli ainult õigel aadressil. Sinu panga võltssait ei saa seega midagi, isegi kui see näeb välja täpselt samasugune. See on lisakaitse andmepüügi vastu.

Millised liigid on olemas?

Meie soovitus enamikule inimestele ja väikeettevõtetele: Proton Pass või, kui soovid kõige lihtsamat lahendust, 1Password kontoga aadressil 1password.eu. Mõlemad töötavad sinu Macis, Windowsi arvutis, telefonis ja kõigis brauserites ning mõlemal on meeskonnale jagatud seifid. Bitwarden jääb Ameerika ettevõtteks ka ELis talletamise korral. KeePassXC töötab ainult arvutites; telefonis vajad teist rakendust. Juhendis „Paroolihaldur praktikas“ võrdleme 23 paroolihaldurit mugavuse, turvalisuse ning ELi ja IKÜMi seisukohast (vaata „Loe edasi“). Kasuta ka siin tunni 2.1 viit küsimust (asukoht, omanik, andmekeskus, alamtöötlejad, võti). Paroolihalduri puhul on kõige kaalukam viimane küsimus: kellel on võti? Kui see on ainult sinul, on krüpteeritud seifi asukoht vähem oluline kui tavaliste failide puhul.

Ülekandmine: eksport, import ja kohe kustutamine

Peaaegu iga brauser ja haldur oskab paroole eksportida csv-failina. See on tavaline tekstifail, mille igal real on sait, kasutajanimi ja parool, krüpteerimata kujul. Igaüks, kes faili avab, saab kõike lugeda. Seetõttu:

1. Tee seda arvutis, mida usaldad, mitte poe ühiskasutatavas arvutis.
2. Ekspordi oma arvutisse, mitte sünkroonitavasse kausta ega pilve. Muidu on krüpteerimata fail mõne sekundiga serveris, versioonides ja prügikastis.
3. Impordi see kohe uude haldurisse.
4. Kontrolli pisteliselt, kas kõik on õige (logi mõnele saidile sisse).
5. Kustuta csv-fail kohe ja tühjenda ka arvuti prügikast.
6. Lülita seejärel brauseris paroolide salvestamine välja, et ei tekiks teist, aegunud koopiat.

Paroolidega tabeli kannad üle, sisestades andmed käsitsi haldurisse (või importides csv-na samade reeglite järgi). Seejärel kustuta tabel, ka vana pilve prügikastist ja versiooniajaloost. Muuda selles olnud tähtsamad paroolid, sest sa ei tea, kes on faili aastate jooksul näinud.

Pööra tähelepanu ka pääsuvõtmetele (passkey, tund 7.3). Google'i või Apple'i kontosse salvestatud pääsuvõtit ei saa alati eksportida. Enne vana konto sulgemist loo tähtsatel saitidel uues halduris uus pääsuvõti või veendu, et parool ja teine samm on teada.

Jagamine meeskonnas

Mõned paroolid kuuluvad organisatsioonile, mitte ühele inimesele: pank, hulgimüüja, sotsiaalmeedia kontod, wifi. Kasuta nende jaoks halduris jagatud seifi või kogumit:

• Loo iga rühma jaoks oma seif: „Pood“, „Raamatupidamine“, „Haldus“. Kõik ei pea kõike nägema.
• Ära jaga parooli kunagi vestluses ega e-kirjaga. Ka mitte „kiiresti vahepeal“.
• Kui keegi lahkub, eemalda ta jagatud seifidest ja muuda paroolid, millele tal oli ligipääs ja mis tal võivad olla meeles või kopeeritud.

Ülemparool ja päev, mil midagi läheb valesti

Ülemparool on ainus võti. Vali pikk lause neljast kuni kuuest juhuslikust sõnast, mida sa mujal ei kasuta. Lülita ka haldurile endale sisse kaheastmeline autentimine (2FA).

Korralda taastamine ette:

• Hoia halduri pakutav taastevõti või hädaabiligipääs paberil turvalises kohas.
• Lepi organisatsioonis kokku, kes saab ligipääsu omaniku surma või pikaajalise haiguse korral. Paljudel halduritel on selleks hädaabiligipääsu funktsioon.
• Sinu tähtsamate kontode varukoodid kuuluvad samuti siia või paberile (tund 7.3). Mitte seifi, kuhu pääsed ainult nende samade kontodega.

Praktikas: nii näeb see välja ühe teenusepakkuja juures

WebOké Nextcloudis eraldi paroolihaldurit pole; kasutad pilve kõrval eraldi paroolihaldurit, näiteks Proton Passi või 1Passwordi. Juhend „Paroolihaldur praktikas“ selgitab neid kahte samm-sammult: konto loomine, paigaldamine, ülekandmine, jagamine ja hädaabiligipääs. Ka WebOké Nextcloudi turvalisuse juhend soovitab paroolihaldurit ja nimetab seda heaks kohaks sinu varukoodide jaoks.

Teiste Euroopa pilveteenuste puhul on lugu sarnane: paroolihaldur on tavaliselt eraldi teenus või rakendus sinu pilve kõrval.

Kokkuvõte

• Vana konto brauserisse salvestatud paroolid kaovad koos kontoga, kui selle sulged. Kanna need eelnevalt üle.
• Paroolihaldur krüpteerib sinu enda seadmes; ülemparool on ainus võti.
• Csv-eksport on krüpteerimata: mitte kunagi sünkroonitavasse kausta, kohe importida, kohe kustutada.
• Kasuta organisatsiooni paroolide jaoks rühmapõhiseid jagatud seife ja muuda paroolid, kui keegi lahkub.
• Korralda taastamine ja hädaabiligipääs ette, paberil.

Test

Ülesanne

Ülesanne E7.4: Paroolid kaardile ja ülekandmise plaan. Selgita välja, kus sinu organisatsiooni paroolid praegu asuvad (iga inimese brauser, tabelid, paberilapid, jagatud kontod), vali tunni 2.1 viie küsimuse abil paroolihaldur ja kirjuta ülekandmise plaan: kes mida ekspordib, millises arvutis, millal csv-fail kustutatakse ja millised jagatud seifid luuakse.

Loe edasi

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate juures toimib see sarnaselt.

• Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
• Nextcloudi juhend 3.3: Autentimisrakenduse seadistamine ja varukoodide salvestamine
• Hollandi NCSC (Nationaal Cyber Security Centrum), küberturvalisusega alustamine (hollandi keeles): https://www.ncsc.nl/beginnen-met-cybersecurity
• Paroolihaldur ja pääsuvõtmed: nii korraldad oma sisselogimise turvaliselt
• Paroolihaldur praktikas 4.1: Paroolide importimine Chrome'ist, Edge'ist, Firefoxist ja Safarist
• Paroolihaldur praktikas 4.2: Üleminek LastPassilt, Bitwardenilt või muult paroolihaldurilt
• Paroolihaldur praktikas 1.4: Kõik tuntud paroolihaldurid võrdluses: riik, võimalused, arvustused ja hinded