Jelszókezelő kiválasztása és használata

Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 9 perc

Tanulási cél: A lecke után Ön képes lesz jelszókezelőt választani és beállítani, védeni a mesterjelszót, és biztonságosan megosztani a jelszavakat a csapaton belül.

Kulcsfogalmak: jelszókezelő, mesterjelszó, széf, end-to-end titkosítás, megosztott széf, vészhelyzeti hozzáférés, böngészőbe épített jelszókezelő

Mit csinál egy jelszókezelő?

A 2.1. leckében láttuk, hogy minden fióknak saját, hosszú és véletlenszerű jelszó kell. Nyolcvan ilyet senki sem tud megjegyezni. A jelszókezelő olyan szoftver, amely ezt elvégzi Ön helyett. A jelszókezelő:

• minden szolgáltatáshoz erős, véletlenszerű jelszót készít;
• az összes jelszót titkosítva tárolja egy széfben;
• a megfelelő weboldalon tölti ki őket, és csak ott;
• gyakran figyelmeztet a gyenge, ismétlődő vagy kiszivárgott jelszavakra;
• sok termék a kétlépcsős azonosítás (2FA) kódjait és a passkeyeket is képes tárolni (2.3. és 2.4. lecke).

Önnek már csak egyet kell megjegyeznie: a mesterjelszót, amellyel a széfet megnyitja. A holland NCSC állandó alapként ajánlja a jelszókezelőt, a kis szervezeteknek is, világos megállapodással arról, melyik jelszókezelőt használják, és mely fiókoknál kötelező.

A jelszókezelők típusai

Nincs egyetlen legjobb típus. A holland NCSC megkülönbözteti a böngészőbe épített jelszókezelőt, az önálló alkalmazást, valamint az online (felhős) és az offline (helyi) megoldást. A gyakorlatban ezekkel a formákkal találkozik:

Ismert önálló jelszókezelők például a Proton Pass, az 1Password, a Bitwarden és a KeePassXC, a böngészőkbe és operációs rendszerekbe épített megoldások mellett. A Jelszókezelő a gyakorlatban útmutatóban 23 jelszókezelőt hasonlítunk össze kényelem, biztonság és adatvédelem (EU és GDPR) szerint, a cég országával, az árral és értékelésekkel (lásd a További olvasnivaló részt). Ott ezt tanácsoljuk: Proton Pass, vagy 1Password, ha a lehető legegyszerűbbet szeretné. Ha bizonytalan, válasszon az alábbi kérdések alapján.

Kérdések a választáshoz

• Működik minden eszközén és böngészőjében, a munkatársaiéban is?
• Lehet-e széfeket megosztani mappánkénti jogosultságokkal, és valakit ismét eltávolítani egy széfből?
• A széf end-to-end titkosított, és mi van titkosítva, illetve mi nincs (például a weboldalak címei)?
• Védhető-e a széf kétlépcsős azonosítással vagy passkeyjel?
• Van-e vészhelyzeti hozzáférés vagy helyreállítási megoldás, és pontosan hogyan működik?
• Tudja-e exportálni az adatait, ha váltani szeretne?
• Ingyenes változatnál: miből él a szolgáltató?

End-to-end titkosítás: mi történik, ha a szolgáltatót feltörik?

Egy jó felhős jelszókezelőnél a széfet az Ön eszközén titkosítják egy olyan kulccsal, amely a mesterjelszóból származik. A szolgáltató csak a titkosított csomagot kapja meg. Ezt hívják end-to-end titkosításnak (néha „zero knowledge”). A szolgáltató nem tudja olvasni a jelszavait, ezért a mesterjelszavát sem tudja visszaállítani Ön helyett.

Ha a szolgáltatót feltörik, a támadó ellophatja a titkosított széfeket. Ezután offline megpróbálhatja feltörni őket, ahogy a 2.1. leckében láttuk. Ekkor a mesterjelszó az egyetlen védelme. Ezért:

• A mesterjelszó hosszú és egyedi: legalább öt, inkább hat véletlenszerű szóból álló jelmondat.
• Sehol máshol nem használja.
• A szolgáltatónál történt adatszivárgás után változtassa meg a mesterjelszavát és a legfontosabb fiókjai jelszavát is. A régi, ellopott széf ugyanis a régi mesterjelszóval van titkosítva.

A széfen beállított kétlépcsős azonosítás az ellen véd, aki ismeri a mesterjelszavát, és a weboldalon keresztül akar bejelentkezni. Az ellopott széffájl feltörése ellen nem véd. A holland NCSC is kimondja: a jelszókezelőn bekapcsolt 2FA nem ok a gyenge mesterjelszóra.

A mesterjelszó védelme

Egy jó jelszókezelőnél az elfelejtett mesterjelszó gyakran végleges veszteség: a szolgáltató nem tudja visszaszerezni. Ezt tehát előre rendezze:

• Írja fel a mesterjelszót papírra, és tartsa otthon, biztonságos helyen. A holland NCSC szerint ez rendben van, amíg nem írja mellé, mihez tartozik.
• Készítse el a jelszókezelő által kínált helyreállítási készletet vagy vészhelyzeti kódot, nyomtassa ki, és tartsa a papír mellett.
• A mesterjelszót csak a jelszókezelő saját alkalmazásába vagy bővítményébe írja be, soha ne olyan weboldalra, amely kéri.
• Kapcsolja be az automatikus zárolást néhány perc tétlenség után.

Miért véd az automatikus kitöltés az adathalászat ellen?

A jelszókezelő minden jelszót a weboldal címéhez köt. A https://enbankom.example oldalon kitölti a jelszavát. Egy hasonmás oldalon, például a https://enbankorn.example (m helyett rn) vagy a https://enbankom-biztonsagos.example címen nem tesz semmit, mert ezek a címek nem szerepelnek a bejegyzésnél.

Az ember gyakran nem veszi észre a különbséget az rn és az m között. A jelszókezelő karaktereket hasonlít össze, és nem fárad el, nem siet. Ez valódi védelem, de csak akkor, ha hagyja működni:

A jelszókezelő hirtelen nem tölt ki semmit egy olyan oldalon, ahol eddig mindig kitöltötte? Ne kerülje meg úgy, hogy kézzel bemásolja a jelszót. Először nézze meg nagyon alaposan a címet. Pontosan ez az a pillanat, amikor a jelszókezelő figyelmezteti Önt.

Néha jó oka is lehet annak, hogy nem tölt ki: például egy szolgáltatás új címre költözött. Ezt ilyenkor más úton ellenőrizze, például úgy, hogy maga gépeli be a már ismert címet.

Megosztás a csapatban

Egy kis cégnél mindig vannak közösen használt fiókok: a webáruház a webaruhaz-platform.example oldalon, a fiók a villamfutar.example oldalon, a vállalkozás közösségi médiája. A legjobb, ha mindenkinek saját fiókja van (7. modul). Ha ez nem lehetséges, használjon megosztott széfet:

• Hozzon létre témánként széfeket vagy mappákat („Webáruház”, „Pénzügyek”, „Közösségi média”), és csak annak adjon hozzáférést, akinek szüksége van rá.
• Soha ne ossza meg e-mailben, csevegésben vagy táblázatban. Aki hozzáfér a megosztott széfhez, ott látja a jelszót.
• Távozik valaki? Távolítsa el a széfből, és változtassa meg azokat a jelszavakat, amelyeket láthatott. Az eltávolítás önmagában nem elég: a jelszavakat felírhatta vagy elmenthette.
• Rendezze a vészhelyzeti hozzáférést: mi történik, ha Ön, a tulajdonos, beteg lesz vagy kiesik? Sok jelszókezelőben van olyan funkció, amellyel egy megbízható személy várakozási idő után hozzáférést kap. Vagy a helyreállítási adatokat lezárt borítékban egy második személynél is megőrizheti.

A gyakorlatban: átállás egyetlen délután alatt

1. Válasszon jelszókezelőt, és telepítse a számítógépére és a telefonjára, a böngészőbővítménnyel együtt.
2. Hozzon létre mesterjelszót (jelmondatot), írja fel, és őrizze meg a helyreállítási készletet.
3. Kapcsolja be a kétlépcsős azonosítást a széfen.
4. Importálja a böngészője által már tárolt jelszavakat. Az export gyakran titkosítatlan fájl: az importálás után azonnal törölje, a lomtárból is.
5. Kezdje a legfontosabb fiókokkal, és mindegyiknek adjon új, véletlenszerű jelszót: a postafiókja (info@example.com), a tárhely (hosting) és a domainregisztráció, a bankja és a könyvelése (például a konyvelo.example oldalon).
6. A többit akkor frissítse, amikor amúgy is bejelentkezik. Ebben segítenek az ismétlődő jelszavakra vonatkozó figyelmeztetések.

Használ olyan szolgáltatást a WebOké környezetében, például postafiókot vagy Nextcloudot, a telefonján lévő alkalmazásokkal? Ehhez néha külön alkalmazásjelszót kell létrehoznia (lásd a 436. tudásbázis-cikket). Ezt is a jelszókezelőben tárolja, a megfelelő bejegyzésnél. Más szolgáltatóknál ez hasonlóan működik.

Összefoglalás

• A jelszókezelő egyedi jelszavakat hoz létre, tárol és tölt ki; Önnek csak a mesterjelszót kell megjegyeznie.
• Típusok: böngészőbe vagy rendszerbe épített, önálló felhős alkalmazás, helyi, nyílt forráskódú vagy saját üzemeltetésű. Válasszon az eszközök, a megosztás, a titkosítás és a helyreállítás alapján.
• End-to-end titkosításnál a mesterjelszó az utolsó védvonal, ha a szolgáltatót feltörik.
• Ha a jelszókezelő nem tölt ki, a másolás helyett nézze meg a címet.
• Megosztott széfen keresztül osszon meg, és változtassa meg a jelszavakat, ha valaki távozik.

Kvíz

Feladat

D2.2. feladat: A jelszókezelő beállítása. Válasszon jelszókezelőt, hozzon létre mesterjelszót és helyreállítási készletet, kapcsolja be a kétlépcsős azonosítást a széfen, és adjon új, egyedi jelszót az öt legfontosabb fiókjának. Pipálja ki az ellenőrzőlistát, és válaszoljon a reflexiós kérdésekre. Sehol nem kell jelszót beírnia.

További olvasnivaló

A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan működik.

• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Alkalmazásjelszó létrehozása (alkalmazásokhoz és eszközökhöz való csatlakozáshoz szükséges)
• Nextcloud kézikönyv 3.5: Alkalmazásjelszavak: mikor és hogyan
• Nemzeti Kibervédelmi Intézet (NKI), ajánlások a biztonságos jelszóhasználathoz: https://nki.gov.hu/
• ENISA, az Európai Unió Kiberbiztonsági Ügynöksége: https://www.enisa.europa.eu/
• Jelszókezelő és passkeyek: így intézheti biztonságosan a bejelentkezéseit
• Jelszókezelő a gyakorlatban 1.1: Miért érdemes jelszókezelőt használni, és mit tanulhat meg ebből az útmutatóból
• Jelszókezelő a gyakorlatban 1.2: Proton Pass, 1Password vagy a böngészője: melyik illik Önhöz?
• Jelszókezelő a gyakorlatban 1.3: A mesterjelszó: létrehozás, tárolás, és hogy soha ne veszítse el
• Jelszókezelő a gyakorlatban 1.4: Az ismert jelszókezelők összehasonlítása: ország, funkciók, értékelések és pontszámok