Slaptažodžių tvarkyklių pasirinkimas ir naudojimas

2 modulis: Slaptažodžiai ir prisijungimas · Skaitymo trukmė: 9 min.

Mokymosi tikslas: po šios pamokos galėsite pasirinkti ir nustatyti slaptažodžių tvarkyklę, apsaugoti pagrindinį slaptažodį ir saugiai dalytis slaptažodžiais komandoje.

Pagrindinės sąvokos: slaptažodžių tvarkyklė, pagrindinis slaptažodis, saugykla, šifravimas nuo galo iki galo (end-to-end), bendra saugykla, avarinė prieiga, naršyklės slaptažodžių tvarkyklė

Ką daro slaptažodžių tvarkyklė

2.1 pamokoje matėte, kad kiekvienai paskyrai reikia atskiro, ilgo ir atsitiktinio slaptažodžio. Niekas neįsimena aštuoniasdešimties tokių slaptažodžių. Slaptažodžių tvarkyklė yra programa, kuri tai daro už Jus. Ji:

• sukuria kiekvienai paslaugai stiprų, atsitiktinį slaptažodį;
• saugo visus slaptažodžius užšifruotus saugykloje;
• įrašo juos tinkamoje svetainėje ir tik joje;
• dažnai įspėja apie silpnus, pasikartojančius ar nutekėjusius slaptažodžius;
• daugelyje produktų gali saugoti ir dviejų veiksnių autentifikavimo (2FA) kodus bei passkey (2.3 ir 2.4 pamokos).

Jums tereikia įsiminti vieną: pagrindinį slaptažodį, kuriuo atrakinate saugyklą. Nyderlandų NCSC rekomenduoja slaptažodžių tvarkyklę kaip nuolatinį pagrindą, taip pat ir mažoms organizacijoms, su aiškiais susitarimais, kokią tvarkyklę naudojate ir kurioms paskyroms ji privaloma.

Slaptažodžių tvarkyklių rūšys

Nėra vienos geriausios rūšies. Nyderlandų NCSC skiria tvarkyklę naršyklėje, atskirą programėlę, taip pat internetinę (debesijos) ir neprisijungus veikiančią (vietinę). Praktikoje sutiksite šias formas:

Žinomi atskirų tvarkyklių pavyzdžiai yra Proton Pass, 1Password, Bitwarden ir KeePassXC, be tvarkyklių, įdiegtų naršyklėse ir operacinėse sistemose. Vadove „Slaptažodžių tvarkyklė praktiškai“ palyginame 23 slaptažodžių tvarkykles pagal patogumą, saugumą ir privatumą (ES ir BDAR), nurodydami įmonės šalį, kainą ir atsiliepimus (žr. „Daugiau skaitykite“). Mūsų patarimas ten: Proton Pass arba 1Password, jei norite paprasčiausio sprendimo. Jei abejojate, rinkitės pagal toliau pateiktus klausimus.

Klausimai renkantis

• Ar ji veikia visuose Jūsų įrenginiuose ir naršyklėse, taip pat kolegų?
• Ar galite dalytis saugyklomis su teisėmis kiekvienam aplankui ir vėl pašalinti žmogų iš saugyklos?
• Ar saugykla užšifruota nuo galo iki galo ir kas yra užšifruota, o kas ne (pavyzdžiui, svetainių adresai)?
• Ar saugyklą galite apsaugoti dviejų veiksnių autentifikavimu arba passkey?
• Ar yra avarinė prieiga arba atkūrimo tvarka ir kaip ji tiksliai veikia?
• Ar galite eksportuoti savo duomenis, jei norėsite pereiti prie kitos tvarkyklės?
• Nemokamų versijų atveju: koks yra pajamų modelis?

Šifravimas nuo galo iki galo: kas, jei tiekėjas įsilaužiamas?

Geroje debesijos tvarkyklėje Jūsų saugykla užšifruojama Jūsų įrenginyje raktu, kuris išvedamas iš pagrindinio slaptažodžio. Tiekėjas gauna tik užšifruotą paketą. Tai vadinama šifravimu nuo galo iki galo (kartais „zero knowledge“). Tiekėjas negali perskaityti Jūsų slaptažodžių, todėl negali ir atkurti Jūsų pagrindinio slaptažodžio.

Jei į tiekėjo sistemas įsilaužiama, užpuolikas gali pavogti užšifruotas saugyklas. Tada jis gali bandyti jas nulaužti neprisijungęs, kaip 2.1 pamokoje. Tuo metu Jūsų pagrindinis slaptažodis yra vienintelė apsauga. Todėl:

• Pagrindinis slaptažodis yra ilgas ir unikalus: slaptafrazė iš bent penkių, geriau šešių atsitiktinių žodžių.
• Jo niekur kitur nenaudojate.
• Po nutekėjimo pas tiekėją pakeičiate pagrindinį slaptažodį ir svarbiausių paskyrų slaptažodžius. Senoji, pavogta saugykla juk užšifruota senuoju pagrindiniu slaptažodžiu.

Dviejų veiksnių autentifikavimas saugykloje padeda prieš žmogų, kuris turi Jūsų pagrindinį slaptažodį ir nori prisijungti per svetainę. Jis nepadeda prieš pavogto saugyklos failo laužimą. Tai sako ir Nyderlandų NCSC: 2FA tvarkyklėje nėra priežastis turėti silpną pagrindinį slaptažodį.

Pagrindinio slaptažodžio apsauga

Pamiršus pagrindinį slaptažodį, geroje tvarkyklėje tai dažnai yra galutinai: tiekėjas negali jo atkurti. Todėl pasirūpinkite iš anksto:

• Užrašykite pagrindinį slaptažodį ant popieriaus ir laikykite jį namuose saugioje vietoje. Nyderlandų NCSC tai laiko priimtinu, jei neprirašote, kam jis skirtas.
• Sukurkite tvarkyklės siūlomą atkūrimo rinkinį arba avarinį kodą, atsispausdinkite jį ir laikykite kartu su popieriumi.
• Pagrindinį slaptažodį įveskite tik pačios tvarkyklės programėlėje arba plėtinyje, niekada svetainėje, kuri jo prašo.
• Įjunkite automatinį užrakinimą po kelių neveiklumo minučių.

Kodėl automatinis įrašymas padeda prieš sukčiavimą

Slaptažodžių tvarkyklė kiekvieną slaptažodį susieja su svetainės adresu. Adresu https://manobankas.example ji įrašo Jūsų slaptažodį. Panašiu adresu (lookalike), pavyzdžiui, https://rnanobankas.example (rn vietoj m) arba https://manobankas-saugus.example, ji nieko nedaro, nes šie adresai nėra susieti su įrašu.

Žmogus dažnai nemato skirtumo tarp rn ir m. Tvarkyklė lygina ženklus ir nepavargsta, neskuba. Tai tikra apsauga, bet tik jei leidžiate jai veikti:

Tvarkyklė staiga nieko neįrašo svetainėje, kurioje visada įrašydavo? Neapeikite to, rankiniu būdu nukopijuodami slaptažodį. Pirmiausia labai atidžiai pažiūrėkite į adresą. Būtent šiuo momentu tvarkyklė Jus įspėja.

Kartais būna ir gera priežastis, kodėl slaptažodis neįrašomas: paslauga persikėlė į naują adresą. Tokiu atveju tai patikrinkite kitu būdu, pavyzdžiui, patys įvesdami adresą, kurį jau žinojote.

Dalijimasis komandoje

Mažoje įmonėje visada yra paskyrų, kuriomis naudojatės kartu: internetinė parduotuvė e-parduotuviu-platforma.example, paskyra kurjeris.example, įmonės socialiniai tinklai. Geriausia, kai kiekvienas turi savo paskyrą (7 modulis). Jei tai neįmanoma, naudokite bendrą saugyklą:

• Sukurkite saugyklas arba aplankus pagal temą („Internetinė parduotuvė“, „Finansai“, „Socialiniai tinklai“) ir suteikite prieigą tik tiems, kam jos reikia.
• Niekada nesidalykite el. paštu, pokalbiuose ar skaičiuoklėje. Kas turi prieigą prie bendros saugyklos, mato slaptažodį ten.
• Kas nors išeina? Pašalinkite jį iš saugyklos ir pakeiskite slaptažodžius, kuriuos jis galėjo matyti. Vien pašalinti iš saugyklos nepakanka: jis galėjo juos persirašyti ar išsisaugoti.
• Pasirūpinkite avarine prieiga: kas nutiks, jei Jūs, savininkas, susirgsite ar negalėsite dirbti? Daugelis tvarkyklių turi funkciją, kuria patikimas asmuo po laukimo laikotarpio gauna prieigą. Arba atkūrimo duomenis laikote užklijuotame voke pas antrą asmenį.

Praktiškai: perėjimas per vieną popietę

1. Pasirinkite tvarkyklę ir įdiekite ją kompiuteryje ir telefone, kartu su naršyklės plėtiniu.
2. Sukurkite pagrindinį slaptažodį (slaptafrazę), užsirašykite jį, išsaugokite atkūrimo rinkinį.
3. Įjunkite saugyklai dviejų veiksnių autentifikavimą.
4. Importuokite slaptažodžius, kuriuos jau saugojo naršyklė. Eksportas dažnai yra neužšifruotas failas: ištrinkite jį iškart po importo, taip pat ir iš šiukšliadėžės.
5. Pradėkite nuo svarbiausių paskyrų ir kiekvienai suteikite naują, atsitiktinį slaptažodį: el. pašto dėžutei (info@example.com), talpinimui (hostingui) ir domeno registracijai, bankui ir buhalterijai (pavyzdžiui, apskaitapro.example).
6. Likusius atnaujinkite, kai vis tiek prisijungiate. Įspėjimai apie pasikartojančius slaptažodžius Jums padės.

Naudojatės WebOké aplinkos paslauga, pavyzdžiui, el. pašto dėžute ar Nextcloud, su programėlėmis telefone? Tam kartais sukuriate atskirą programėlės slaptažodį (žr. Žinių bazės straipsnį 436). Jį taip pat saugote tvarkyklėje, prie tinkamo įrašo. Pas kitus teikėjus tai veikia panašiai.

Santrauka

• Slaptažodžių tvarkyklė kuria, saugo ir įrašo unikalius slaptažodžius; Jūs įsimenate tik pagrindinį slaptažodį.
• Rūšys: įdiegta naršyklėje ar sistemoje, atskira programėlė su debesija, vietinė, atvirojo kodo arba talpinama savarankiškai. Rinkitės pagal įrenginius, dalijimąsi, šifravimą ir atkūrimą.
• Naudojant šifravimą nuo galo iki galo, pagrindinis slaptažodis yra paskutinė gynyba, jei įsilaužiama pas tiekėją.
• Jei tvarkyklė neįrašo slaptažodžio, žiūrėkite į adresą, o ne kopijuokite.
• Dalykitės per bendrą saugyklą ir keiskite slaptažodžius, kai kas nors išeina.

Testas (quiz)

Užduotis

Užduotis D2.2: Slaptažodžių tvarkyklės nustatymas. Pasirinkite slaptažodžių tvarkyklę, sukurkite pagrindinį slaptažodį ir atkūrimo rinkinį, įjunkite saugyklai dviejų veiksnių autentifikavimą ir suteikite penkioms svarbiausioms paskyroms naują, unikalų slaptažodį. Pažymėkite kontrolinį sąrašą ir atsakykite į refleksijos klausimus. Niekur neįvedate jokio slaptažodžio.

Daugiau skaitykite

WebOké straipsniuose aprašyti veiksmai taikomi WebOké aplinkai; pas kitus teikėjus tai veikia panašiai.

• DirectAdmin vadovas 3.7: Saugūs slaptažodžiai ir ką daryti, jei slaptažodis nutekėjo
• Sukurti programos slaptažodį (reikalingas norint prisijungti prie programų ir įrenginių)
• Nextcloud vadovas 3.5: Programėlių slaptažodžiai: kada ir kaip juos naudoti
• ENISA, Europos Sąjungos kibernetinio saugumo agentūra (patarimai ir gerosios praktikos): https://www.enisa.europa.eu/
• Europos Komisija apie NIS2 direktyvą ir kibernetinio saugumo priemones: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• Slaptažodžių tvarkyklė ir passkeys: kaip saugiai prisijungti
• Slaptažodžių tvarkyklė praktikoje 1.1: Kodėl verta naudoti slaptažodžių tvarkyklę ir ko išmoksite iš šio vadovo
• Slaptažodžių tvarkyklė praktikoje 1.2: Proton Pass, 1Password ar Jūsų naršyklė: kuri Jums tinka?
• Slaptažodžių tvarkyklė praktikoje 1.3: Jūsų pagrindinis slaptažodis: kaip jį sukurti, saugoti ir niekada nepamesti
• Slaptažodžių tvarkyklė praktikoje 1.4: Visos žinomos slaptažodžių tvarkyklės palygintos: šalis, galimybės, atsiliepimai ir balai