Paroolihalduri valimine ja kasutamine

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda õppetundi oskad valida ja seadistada paroolihaldurit, kaitsta ülemparooli ja jagada paroole meeskonnas turvaliselt.

Põhimõisted: paroolihaldur, ülemparool, hoidla, otspunktkrüpteerimine, jagatud hoidla, hädaolukorra juurdepääs, brauseri paroolihaldur

Mida paroolihaldur teeb

Õppetunnis 2.1 nägid, et iga konto vajab oma pikka ja juhuslikku parooli. Kaheksakümmend sellist parooli ei jäta keegi meelde. Paroolihaldur on tarkvara, mis teeb selle sinu eest ära. See:

• loob igale teenusele tugeva, juhusliku parooli;
• hoiab kõiki paroole krüpteeritult hoidlas;
• sisestab need õigel veebilehel ja ainult seal;
• hoiatab sageli nõrkade, korduvate või lekkinud paroolide eest;
• paljude toodete puhul oskab hoida ka kaheastmelise autentimise (2FA) koode ja salvestada passkey'sid (õppetunnid 2.3 ja 2.4).

Meelde pead jätma ainult ühe: ülemparooli, millega hoidla avad. Hollandi NCSC soovitab paroolihaldurit kui kindlat alust ka väikestele organisatsioonidele, koos selgete kokkulepetega, millist haldurit kasutatakse ja milliste kontode jaoks on see kohustuslik.

Paroolihaldurite liigid

Ühte parimat liiki ei ole. Hollandi NCSC eristab brauseris olevat haldurit, eraldi rakendust ning võrgupõhist (pilv) ja võrguühenduseta (kohalikku) lahendust. Praktikas kohtad neid vorme:

Tuntud eraldi paroolihaldurid on näiteks Proton Pass, 1Password, Bitwarden ja KeePassXC, lisaks brauseritesse ja operatsioonisüsteemidesse sisse ehitatud haldurid. Juhendis „Paroolihaldur praktikas“ võrdleme 23 paroolihaldurit mugavuse, turvalisuse ja privaatsuse (EL ja GDPR) järgi, koos ettevõtte asukohariigi, hinna ja arvustustega (vaata „Loe lisaks“). Meie soovitus seal: Proton Pass või 1Password, kui soovid kõige lihtsamat lahendust. Kui kahtled, vali allolevate küsimuste põhjal.

Küsimused valimisel

• Kas see töötab kõigis su seadmetes ja brauserites, ka kolleegide omades?
• Kas saad hoidlaid jagada kaustapõhiste õigustega ja kellegi hoidlast jälle eemaldada?
• Kas hoidla on otspunktkrüpteeritud ja mis on krüpteeritud ning mis mitte (näiteks veebilehtede aadressid)?
• Kas saad hoidlat kaitsta kaheastmelise autentimise (2FA) või passkey'ga?
• Kas on olemas hädaolukorra juurdepääs või taastamise kord ja kuidas see täpselt töötab?
• Kas saad oma andmed eksportida, kui soovid teenust vahetada?
• Tasuta versioonide puhul: mis on ärimudel?

Otspunktkrüpteerimine: mis saab, kui teenusepakkujat rünnatakse?

Hea pilvepõhise halduri puhul krüpteeritakse su hoidla sinu seadmes võtmega, mis tuletatakse su ülemparoolist. Teenusepakkuja saab ainult krüpteeritud paki. Seda nimetatakse otspunktkrüpteerimiseks (mõnikord ka "zero knowledge"). Teenusepakkuja ei saa su paroole lugeda ega seega ka su ülemparooli sinu eest lähtestada.

Kui teenusepakkujat rünnatakse, võib ründaja krüpteeritud hoidlad varastada. Siis saab ta proovida neid võrguühenduseta murda, nagu õppetunnis 2.1. Sel hetkel on su ülemparool ainus kaitse. Seepärast:

• Ülemparool on pikk ja ainulaadne: paroolifraas vähemalt viiest, parem kuuest juhuslikust sõnast.
• Sa ei kasuta seda mitte kusagil mujal.
• Pärast teenusepakkuja leket vaheta ülemparool ja ka oma tähtsamate kontode paroolid. Vana, varastatud hoidla on ju krüpteeritud vana ülemparooliga.

Kaheastmeline autentimine hoidlal aitab kaitsta kellegi vastu, kes teab su ülemparooli ja tahab veebilehe kaudu sisse logida. Varastatud hoidlafaili murdmise vastu see ei aita. Seda ütleb ka Hollandi NCSC: 2FA halduril ei ole põhjus nõrgaks ülemparooliks.

Ülemparooli kaitsmine

Ülemparooli unustamine on hea halduri puhul sageli lõplik: teenusepakkuja ei saa seda taastada. Korralda see seega ette:

• Kirjuta ülemparool paberile ja hoia seda kodus kindlas kohas. Hollandi NCSC peab seda täiesti sobivaks, kui sa ei kirjuta juurde, milleks see on.
• Loo taastekomplekt või hädaolukorra kood, mida su haldur pakub, prindi see välja ja hoia paberi juures.
• Sisesta ülemparool ainult halduri enda rakenduses või laienduses, mitte kunagi veebilehel, mis seda küsib.
• Lülita sisse automaatne lukustumine pärast mõneminutilist tegevusetust.

Miks automaatne sisestamine aitab andmepüügi vastu

Paroolihaldur seob iga parooli veebilehe aadressiga. Aadressil https://minupank.example sisestab ta su parooli. Sarnasel võltsaadressil nagu https://rninupank.example (rn m asemel) või https://minupank-turvaline.example ei tee ta midagi, sest need aadressid ei ole kirje juures.

Inimene ei märka sageli vahet rn ja m vahel. Haldur võrdleb märke ega väsi ega kiirusta. See on päris turvameede, kuid ainult siis, kui lased tal töötada:

Kas su haldur ei sisesta äkki midagi lehel, kus ta seda alati tegi? Ära mine sellest mööda, kopeerides parooli käsitsi. Vaata kõigepealt väga hoolikalt aadressi. Just sel hetkel hoiatab haldur sind.

Mõnikord on sisestamata jätmiseks ka hea põhjus: teenus on kolinud uuele aadressile. Kontrolli seda siis muul viisil, näiteks sisestades ise aadressi, mida juba teadsid.

Jagamine meeskonnas

Väikeses ettevõttes on alati kontosid, mida kasutatakse ühiselt: e-pood aadressil epoeplatvorm.example, konto teenuses kiirkuller.example, ettevõtte sotsiaalmeedia. Kõige parem on, kui igaühel on oma konto (moodul 7). Kui see pole võimalik, kasuta jagatud hoidlat:

• Loo hoidlad või kaustad teemade kaupa ("E-pood", "Finants", "Sotsiaalmeedia") ja anna juurdepääs ainult neile, kes seda vajavad.
• Ära jaga kunagi e-kirja, vestluse või arvutustabeli kaudu. Kellel on jagatud hoidlale juurdepääs, näeb parooli seal.
• Keegi lahkub? Eemalda ta hoidlast ja vaheta paroolid, mida ta nägi. Ainult hoidlast eemaldamisest ei piisa: ta võib need olla ümber kirjutanud või salvestanud.
• Korralda hädaolukorra juurdepääs: mis saab, kui sina, omanik, jääd haigeks või ei ole enam kättesaadav? Paljudel halduritel on funktsioon, millega usaldusisik saab pärast ooteaega juurdepääsu. Või hoia taasteandmeid suletud ümbrikus teise inimese juures.

Praktikas: üleminek ühe pärastlõunaga

1. Vali haldur ja paigalda see arvutisse ja telefoni koos brauserilaiendusega.
2. Loo ülemparool (paroolifraas), kirjuta see üles ja hoia taastekomplekt alles.
3. Lülita hoidlal sisse kaheastmeline autentimine (2FA).
4. Impordi paroolid, mida su brauser juba hoidis. Eksport on sageli krüpteerimata fail: kustuta see kohe pärast importi, ka prügikastist.
5. Alusta kõige tähtsamatest kontodest ja anna igaühele uus, juhuslik parool: su postkast (info@example.com), majutus (hosting) ja domeeni registreerimine, pank ja raamatupidamine (näiteks aadressil kontoraamat.example).
6. Uuenda ülejäänud siis, kui neisse niikuinii sisse logid. Hoiatused korduvate paroolide kohta aitavad sind.

Kas kasutad WebOké keskkonnas teenust, näiteks postkasti või Nextcloudi, koos rakendustega telefonis? Selleks lood mõnikord eraldi rakenduse parooli (vaata teadmusbaasi artiklit 436). Ka seda hoiad halduris õige kirje juures. Teiste teenusepakkujate juures töötab see sarnaselt.

Kokkuvõte

• Paroolihaldur loob, hoiab ja sisestab ainulaadseid paroole; sina pead meeles ainult ülemparooli.
• Liigid: brauserisse või süsteemi sisse ehitatud, eraldi rakendus pilvega, kohalik, avatud lähtekoodiga või ise majutatud. Vali seadmete, jagamise, krüpteerimise ja taastamise järgi.
• Otspunktkrüpteerimise korral on su ülemparool viimane kaitseliin, kui teenusepakkujat rünnatakse.
• Kui haldur parooli ei sisesta, vaata aadressi, selle asemel et parooli kopeerida.
• Jaga jagatud hoidla kaudu ja vaheta paroolid, kui keegi lahkub.

Test (quiz)

Ülesanne

Ülesanne D2.2: Paroolihalduri seadistamine. Vali paroolihaldur, loo ülemparool ja taastekomplekt, lülita hoidlal sisse kaheastmeline autentimine (2FA) ja anna oma viiele kõige tähtsamale kontole uus, ainulaadne parool. Märgi kontrollnimekiri täidetuks ja vasta mõtisklusküsimustele. Parooli ei pea sa kusagile sisestama.

Loe lisaks

WebOké artiklite sammud kehtivad WebOké keskkonnas; teiste teenusepakkujate juures töötab see sarnaselt.

• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• Loo rakenduse parool (vajalik rakenduste ja seadmetega ühendamiseks)
• Nextcloudi juhend 3.5: Rakenduse salasõnad: millal ja kuidas
• Riigi Infosüsteemi Amet (RIA) ja CERT-EE, soovitused turvaliseks sisselogimiseks: https://www.ria.ee/
• ENISA, Euroopa Liidu Küberturvalisuse Amet: https://www.enisa.europa.eu/
• Paroolihaldur ja pääsuvõtmed: nii korraldad oma sisselogimise turvaliselt
• Paroolihaldur praktikas 1.1: Miks paroolihaldur ja mida see juhend sulle õpetab
• Paroolihaldur praktikas 1.2: Proton Pass, 1Password või sinu brauser: milline sobib sulle?
• Paroolihaldur praktikas 1.3: Ülemparool: kuidas see luua, hoida ja mitte kunagi kaotada
• Paroolihaldur praktikas 1.4: Kõik tuntud paroolihaldurid võrdluses: riik, võimalused, arvustused ja hinded