Modul 2 · 2.2
Odabir i korištenje upravitelja lozinki
Modul 2: Lozinke i prijava · Vrijeme čitanja: 9 minuta
Cilj učenja: Nakon ove lekcije moći ćete odabrati i postaviti upravitelja lozinki, zaštititi glavnu lozinku i sigurno dijeliti lozinke u timu.
Ključni pojmovi: upravitelj lozinki, glavna lozinka, trezor, end-to-end enkripcija, zajednički trezor, pristup u hitnim slučajevima, upravitelj lozinki u pregledniku
Što radi upravitelj lozinki
U lekciji 2.1 vidjeli ste da je za svaki račun potrebna vlastita, duga i nasumična lozinka. Nitko ne može zapamtiti njih osamdeset. Upravitelj lozinki je softver koji to radi umjesto Vas. On:
- za svaku uslugu izrađuje jaku, nasumičnu lozinku;
- sve lozinke sprema šifrirane u trezor;
- upisuje ih na pravoj web stranici, i samo tamo;
- često upozorava na slabe, ponovljene ili procurjele lozinke;
- kod mnogih proizvoda može spremati i kodove za dvofaktorsku autentifikaciju (2FA) te passkeyeve (lekcije 2.3 i 2.4).
Vi pamtite samo jednu lozinku: glavnu lozinku kojom otvarate trezor. Nizozemski NCSC preporučuje upravitelja lozinki kao stalnu osnovu, i za male organizacije, uz jasne dogovore o tome kojeg upravitelja koristite i za koje je račune obavezan.
Vrste upravitelja lozinki
Ne postoji jedna najbolja vrsta. Nizozemski NCSC razlikuje upravitelja u pregledniku, zasebnu aplikaciju te online (cloud) naspram offline (lokalnog) rješenja. U praksi ćete susresti ove oblike:
| Vrsta | Primjer kako funkcionira | Prednosti | Nedostaci |
|---|---|---|---|
| Ugrađen u preglednik ili operativni sustav | Preglednik ili Vaš telefon nudi spremanje lozinke i kasnije je sam upisuje | Već je tu, jednostavan je, sinkronizira se unutar istog ekosustava | Često nema zasebnu glavnu lozinku: tko uđe u Vaše računalo, ulazi i u Vaše lozinke; manje prikladan između različitih sustava i za dijeljenje u timu |
| Zasebna aplikacija sa sinkronizacijom u cloudu | Zasebna aplikacija i proširenje preglednika na svim Vašim uređajima, trezor šifriran kod dobavljača | Radi na svim sustavima, zajednički trezori, upravljanje za timove, upozorenja | Oslanjate se na dobavljača; potrebna Vam je jaka glavna lozinka |
| Lokalni (offline) | Šifrirana datoteka trezora na Vašem vlastitom računalu | Sve držite u vlastitim rukama | Sami se brinete za sigurnosnu kopiju i sinkronizaciju; dijeljenje je teže |
| Open source, po želji na vlastitom poslužitelju | Kod je javno dostupan za provjeru; neke možete pokretati na vlastitom poslužitelju | Provjerljiv, bez ovisnosti o jednoj tvrtki | Vlastiti hosting znači da sami ažurirate, osiguravate i radite sigurnosne kopije |
Poznati primjeri zasebnih upravitelja su Proton Pass, 1Password, Bitwarden i KeePassXC, uz upravitelje ugrađene u preglednike i operativne sustave. U priručniku Upravitelj lozinki u praksi uspoređujemo 23 upravitelja lozinki prema jednostavnosti, sigurnosti i privatnosti (EU i GDPR), uz zemlju tvrtke, cijenu i recenzije (vidi Daljnje čitanje). Naš savjet ondje: Proton Pass, ili 1Password ako želite najjednostavnije rješenje. Ako niste sigurni, odaberite na temelju pitanja u nastavku.
Pitanja pri odabiru
- Radi li na svim Vašim uređajima i preglednicima, i na onima Vaših kolega?
- Možete li dijeliti trezore s pravima po mapi i nekoga ponovno ukloniti iz trezora?
- Je li trezor end-to-end šifriran i što jest, a što nije šifrirano (primjerice adrese web stranica)?
- Možete li trezor zaštititi dvofaktorskom autentifikacijom ili passkeyem?
- Postoji li pristup u hitnim slučajevima ili postupak oporavka i kako on točno funkcionira?
- Možete li izvesti svoje podatke ako želite prijeći drugom upravitelju?
- Kod besplatnih verzija: od čega dobavljač zarađuje?
End-to-end enkripcija: što ako netko hakira dobavljača?
Kod dobrog cloud upravitelja Vaš se trezor šifrira na Vašem uređaju ključem koji se izvodi iz Vaše glavne lozinke. Dobavljač dobiva samo šifrirani paket. To se zove end-to-end enkripcija (ponekad "zero knowledge"). Dobavljač ne može pročitati Vaše lozinke, pa Vam stoga ne može ni vratiti glavnu lozinku.
Ako netko hakira dobavljača, napadač može ukrasti šifrirane trezore. Tada ih može pokušati probiti offline, kao u lekciji 2.1. U tom je trenutku Vaša glavna lozinka Vaša jedina zaštita. Zato:
- Glavna lozinka je duga i jedinstvena: lozinka od najmanje pet, a bolje šest nasumičnih riječi.
- Ne koristite je nigdje drugdje.
- Nakon curenja podataka kod dobavljača promijenite glavnu lozinku i lozinke svojih najvažnijih računa. Stari, ukradeni trezor ipak je šifriran starom glavnom lozinkom.
Dvofaktorska autentifikacija na trezoru pomaže protiv nekoga tko ima Vašu glavnu lozinku i želi se prijaviti putem web stranice. Ne pomaže protiv probijanja ukradene datoteke trezora. To kaže i nizozemski NCSC: 2FA na upravitelju nije razlog za slabu glavnu lozinku.
Zaštita glavne lozinke
Zaboravljena glavna lozinka kod dobrog je upravitelja često nepovratno izgubljena: dobavljač je ne može vratiti. Zato to riješite unaprijed:
- Zapišite glavnu lozinku na papir i čuvajte ga kod kuće na sigurnom mjestu. Nizozemski NCSC smatra to sasvim prihvatljivim, sve dok ne napišete za što služi.
- Izradite komplet za oporavak ili kod za hitne slučajeve koji nudi Vaš upravitelj, ispišite ga i čuvajte uz papir.
- Glavnu lozinku upisujte samo u aplikaciju ili proširenje samog upravitelja, nikada na web stranicu koja je traži.
- Uključite automatsko zaključavanje nakon nekoliko minuta neaktivnosti.
Zašto automatsko upisivanje pomaže protiv phishinga
Upravitelj lozinki svaku lozinku povezuje s adresom web stranice. Na https://mojabanka.example upisuje Vašu lozinku. Na adresi koja samo izgleda slično, poput https://rnojabanka.example (rn umjesto m) ili https://mojabanka-sigurno.example, ne radi ništa, jer te adrese nisu spremljene uz stavku.
Čovjek često ne vidi razliku između rn i m. Upravitelj uspoređuje znakove i nikada nije umoran ni u žurbi. To je prava zaštita, ali samo ako mu dopustite da radi svoj posao:
Vaš upravitelj odjednom ništa ne upisuje na stranici na kojoj je to uvijek radio? Nemojte to zaobići ručnim kopiranjem lozinke. Najprije vrlo pažljivo pogledajte adresu. Upravo je to trenutak u kojem Vas upravitelj upozorava.
Ponekad postoji i opravdan razlog zašto se lozinka ne upisuje: usluga je prešla na novu adresu. Provjerite to tada drugim putem, primjerice tako da sami upišete adresu koju ste već poznavali.
Dijeljenje u timu
U maloj tvrtki uvijek postoje računi koje koristite zajedno: web trgovina na platforma-trgovina.example, račun kod brzikurir.example, društvene mreže tvrtke. Najbolje je da svatko ima vlastiti račun (modul 7). Ako to nije moguće, koristite zajednički trezor:
- Izradite trezore ili mape po temama ("Web trgovina", "Financije", "Društvene mreže") i dajte pristup samo onima kojima je potreban.
- Nikada ne dijelite lozinke e-poštom, chatom ili u tablici. Tko ima pristup zajedničkom trezoru, ondje vidi lozinku.
- Netko odlazi? Uklonite ga iz trezora i promijenite lozinke koje je mogao vidjeti. Samo uklanjanje iz trezora nije dovoljno: možda ih je prepisao ili spremio.
- Osigurajte pristup u hitnim slučajevima: što se događa ako ste Vi, kao vlasnik, bolesni ili nedostupni? Mnogi upravitelji imaju funkciju kojom osoba od povjerenja dobiva pristup nakon razdoblja čekanja. Ili podatke za oporavak čuvate u zapečaćenoj omotnici kod druge osobe.
U praksi: prelazak u jednom popodnevu
- Odaberite upravitelja i instalirajte ga na računalo i telefon, zajedno s proširenjem za preglednik.
- Izradite glavnu lozinku (lozinku od više riječi), zapišite je i spremite komplet za oporavak.
- Uključite dvofaktorsku autentifikaciju na trezoru.
- Uvezite lozinke koje je Vaš preglednik već spremio. Izvoz je često nešifrirana datoteka: izbrišite je odmah nakon uvoza, i iz koša za smeće.
- Počnite s najvažnijim računima i svakome dodijelite novu, nasumičnu lozinku: Vaš poštanski sandučić (
info@example.com), hosting i registraciju domene, banku i knjigovodstvo (primjerice naknjigovod.example). - Ostale ažurirajte kad se ionako prijavljujete. Upozorenja o ponovljenim lozinkama pomoći će Vam.
Koristite li uslugu u WebOké okruženju, poput poštanskog sandučića ili Nextclouda, s aplikacijama na telefonu? Za to ponekad izrađujete zasebnu lozinku za aplikaciju (vidi Bazu znanja 436). I nju spremite u upravitelja, uz odgovarajuću stavku. Kod drugih pružatelja to funkcionira slično.
Sažetak
- Upravitelj lozinki izrađuje, sprema i upisuje jedinstvene lozinke; Vi pamtite samo glavnu lozinku.
- Vrste: ugrađen u preglednik ili sustav, zasebna aplikacija s cloudom, lokalni, open source ili na vlastitom poslužitelju. Birajte prema uređajima, dijeljenju, enkripciji i oporavku.
- Kod end-to-end enkripcije Vaša je glavna lozinka posljednja obrana ako netko hakira dobavljača.
- Ako upravitelj ne upisuje lozinku, pogledajte adresu umjesto da kopirate lozinku.
- Dijelite putem zajedničkog trezora i promijenite lozinke kad netko ode.
Kviz
Zadatak
Zadatak D2.2: Postavljanje Vašeg upravitelja lozinki. Odaberite upravitelja lozinki, izradite glavnu lozinku i komplet za oporavak, uključite dvofaktorsku autentifikaciju na trezoru i svojim pet najvažnijih računa dodijelite novu, jedinstvenu lozinku. Označite stavke kontrolnog popisa i odgovorite na pitanja za razmišljanje. Nigdje ne upisujete lozinku.
Zadatak D2.2: Postavljanje Vašeg upravitelja lozinki
Pristup koraka: (1) Odaberite vrstu upravitelja lozinki (ugrađeni, zasebna aplikacija s cloudom, lokalni, otvorenog koda ili vlastito hostiran) prema pitanjima iz lekcije 2.2. (2) Instalirajte ga na računalo i telefon, zajedno s proširenjem za preglednik. (3) Napravite glavnu lozinku: lozinku sastavljenu od najmanje pet, po mogućnosti šest nasumičnih riječi. Zapišite je na papir i čuvajte na sigurnom mjestu kod kuće, zajedno s komplektom za oporavak ili rezervnim kodom upravitelja. (4) Uključite dvofaktorsku autentifikaciju (2FA) za svoj sef. (5) Uvezite postojeće lozinke iz preglednika i odmah izbrišite izvezenu datoteku, uključujući iz koša. (6) Dodijelite Vašim pet najvažnijih računa novu, nasumičnu lozinku od najmanje 15 znakova: e-poštu, hosting ili registraciju domene, banku, knjigovodstvo i račun o kojem ovisi sve ostalo. (7) Ako radite s drugima: napravite zajednički sef za zajedničke račune i u njega dodajte samo osobe kojima je to zaista potrebno.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Daljnje čitanje
Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja to funkcionira slično.
- DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
- Izradite lozinku za aplikacije (potrebna za povezivanje s aplikacijama i uređajima)
- Nextcloud priručnik 3.5: App-lozinke: kada i kako
- Nacionalni CERT, savjeti o sigurnim lozinkama i zaštiti računa: https://www.cert.hr/
- ENISA, Agencija Europske unije za kibernetičku sigurnost: https://www.enisa.europa.eu/
- Upravitelj lozinki i passkeyji: ovako sigurno uredite svoju prijavu
- Upravitelj lozinki u praksi 1.1: Zašto upravitelj lozinki i što ćete naučiti iz ovog priručnika
- Upravitelj lozinki u praksi 1.2: Proton Pass, 1Password ili Vaš preglednik: koji Vam odgovara?
- Upravitelj lozinki u praksi 1.3: Vaša glavna lozinka: izrada, čuvanje i kako je nikada ne izgubiti
- Upravitelj lozinki u praksi 1.4: Usporedba svih poznatih upravitelja lozinki: zemlja, mogućnosti, recenzije i ocjene