Paroļu pārvaldnieku izvēle un lietošana

2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 9 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izvēlēties un iestatīt paroļu pārvaldnieku, aizsargāt galveno paroli un droši koplietot paroles komandā.

Pamatjēdzieni: paroļu pārvaldnieks, galvenā parole, glabātuve, pilnīgā (end-to-end) šifrēšana, koplietota glabātuve, ārkārtas piekļuve, pārlūkprogrammas paroļu pārvaldnieks

Ko dara paroļu pārvaldnieks

Nodarbībā 2.1 Jūs redzējāt, ka katram kontam ir vajadzīga sava gara un nejauša parole. Neviens nevar atcerēties astoņdesmit šādu paroļu. Paroļu pārvaldnieks ir programmatūra, kas to izdara Jūsu vietā. Tas:

• katram pakalpojumam izveido stipru, nejaušu paroli;
• glabā visas paroles šifrētā veidā glabātuvē;
• ievada tās pareizajā tīmekļa vietnē un tikai tur;
• bieži brīdina par vājām, atkārtotām vai noplūdušām parolēm;
• daudzos produktos var glabāt arī divu faktoru autentifikācijas (2FA) kodus un passkeys (nodarbība 2.3 un 2.4).

Jums jāatceras tikai viena: galvenā parole, ar kuru atverat glabātuvi. Nīderlandes NCSC iesaka paroļu pārvaldnieku kā pastāvīgu pamatu arī mazām organizācijām, ar skaidru vienošanos par to, kuru pārvaldnieku izmantojat un kuriem kontiem tas ir obligāts.

Paroļu pārvaldnieku veidi

Nav viena labākā veida. Nīderlandes NCSC izšķir pārvaldnieku pārlūkprogrammā un atsevišķu lietotni, kā arī tiešsaistes (mākoņa) un bezsaistes (lokālu) risinājumu. Praksē Jūs sastapsiet šādus veidus:

Zināmi atsevišķu pārvaldnieku piemēri ir Proton Pass, 1Password, Bitwarden un KeePassXC, līdztekus pārvaldniekiem, kas iebūvēti pārlūkprogrammās un operētājsistēmās. Rokasgrāmatā "Paroļu pārvaldnieks praksē" mēs salīdzinām 23 paroļu pārvaldniekus pēc ērtuma, drošības un privātuma (ES un VDAR (GDPR)), norādot uzņēmuma valsti, cenu un atsauksmes (skatīt "Papildu lasāmviela"). Mūsu ieteikums tur: Proton Pass vai 1Password, ja vēlaties visvienkāršāko risinājumu. Ja šaubāties, izvēlieties, vadoties pēc tālāk minētajiem jautājumiem.

Jautājumi izvēlei

• Vai tas darbojas visās Jūsu ierīcēs un pārlūkprogrammās, arī kolēģu ierīcēs?
• Vai varat koplietot glabātuves ar tiesībām katrai mapei un atkal izņemt kādu no glabātuves?
• Vai glabātuve ir pilnīgi (end-to-end) šifrēta, un kas ir un kas nav šifrēts (piemēram, tīmekļa vietņu adreses)?
• Vai glabātuvi var aizsargāt ar divu faktoru autentifikāciju (2FA) vai passkey?
• Vai ir ārkārtas piekļuve vai atkopšanas kārtība, un kā tieši tā darbojas?
• Vai varat eksportēt savus datus, ja vēlaties pāriet uz citu risinājumu?
• Bezmaksas versijām: kāds ir peļņas modelis?

Pilnīgā (end-to-end) šifrēšana: ko darīt, ja piegādātājs tiek uzlauzts?

Labā mākoņa pārvaldniekā Jūsu glabātuve tiek šifrēta Jūsu ierīcē ar atslēgu, kas tiek atvasināta no Jūsu galvenās paroles. Piegādātājs saņem tikai šifrēto paketi. To sauc par pilnīgo (end-to-end) šifrēšanu (dažreiz "zero knowledge"). Piegādātājs nevar izlasīt Jūsu paroles un tāpēc arī nevar Jūsu vietā atjaunot galveno paroli.

Ja piegādātājs tiek uzlauzts, uzbrucējs var nozagt šifrētās glabātuves. Tad viņš var mēģināt tās uzlauzt bezsaistē, kā nodarbībā 2.1. Jūsu galvenā parole tajā brīdī ir Jūsu vienīgā aizsardzība. Tāpēc:

• Galvenā parole ir gara un unikāla: paroles frāze no vismaz pieciem, vēlams sešiem nejaušiem vārdiem.
• Jūs to neizmantojat nekur citur.
• Pēc noplūdes pie piegādātāja Jūs nomaināt galveno paroli un arī savu svarīgāko kontu paroles. Vecā, nozagtā glabātuve taču ir šifrēta ar veco galveno paroli.

Divu faktoru autentifikācija (2FA) glabātuvei palīdz pret kādu, kuram ir Jūsu galvenā parole un kurš vēlas pieteikties tīmekļa vietnē. Tā nepalīdz pret nozagta glabātuves faila uzlaušanu. Arī Nīderlandes NCSC to uzsver: 2FA pārvaldniekam nav iemesls vājai galvenajai parolei.

Galvenās paroles aizsardzība

Ja labā pārvaldniekā aizmirstat galveno paroli, tas bieži ir neatgriezeniski: piegādātājs to nevar atgūt. Tāpēc parūpējieties par to iepriekš:

• Pierakstiet galveno paroli uz papīra un glabājiet to mājās drošā vietā. Nīderlandes NCSC uzskata, ka tas ir pilnīgi pieņemami, ja vien Jūs neuzrakstāt klāt, kam tā paredzēta.
• Izveidojiet atkopšanas komplektu vai ārkārtas kodu, ko piedāvā Jūsu pārvaldnieks, izdrukājiet to un glabājiet kopā ar papīru.
• Ievadiet galveno paroli tikai paša pārvaldnieka lietotnē vai paplašinājumā, nekad tīmekļa vietnē, kas to prasa.
• Ieslēdziet automātisko bloķēšanu pēc dažām neaktivitātes minūtēm.

Kāpēc automātiskā ievadīšana palīdz pret pikšķerēšanu

Paroļu pārvaldnieks katru paroli piesaista tīmekļa vietnes adresei. Vietnē https://manabanka.example tas ievada Jūsu paroli. Līdzīgā viltus vietnē, piemēram, https://rnanabanka.example (rn m vietā) vai https://manabanka-drosi.example, tas neko nedara, jo šīs adreses nav norādītas ierakstā.

Cilvēks bieži neredz atšķirību starp rn un m. Pārvaldnieks salīdzina rakstzīmes un nenogurst un nesteidzas. Tā ir īsta aizsardzība, bet tikai tad, ja ļaujat tai darboties:

Vai Jūsu pārvaldnieks pēkšņi neko neievada vietnē, kur tas vienmēr notika? Tad neapejiet to, kopējot paroli ar roku. Vispirms ļoti uzmanīgi apskatiet adresi. Tieši šajā brīdī pārvaldnieks Jūs brīdina.

Dažreiz ir arī labs iemesls, kāpēc parole netiek ievadīta: pakalpojums ir pārcelts uz jaunu adresi. Tad pārbaudiet to citā ceļā, piemēram, paši ierakstot adresi, kuru jau zinājāt.

Koplietošana komandā

Mazā uzņēmumā vienmēr ir konti, kurus lietojat kopā: interneta veikals vietnē e-veikalu-platforma.example, konts pie kurjerdienests.example, uzņēmuma sociālie tīkli. Vislabāk, ja katram ir savs konts (modulis 7). Ja tas nav iespējams, izmantojiet koplietotu glabātuvi:

• Izveidojiet glabātuves vai mapes pēc tēmas ("Interneta veikals", "Finanses", "Sociālie tīkli") un piešķiriet piekļuvi tikai tiem, kam tā vajadzīga.
• Nekad nekoplietojiet paroles pa e-pastu, tērzēšanā vai izklājlapā. Kam ir piekļuve koplietotajai glabātuvei, tas paroli redz tur.
• Kāds aiziet? Izņemiet šo personu no glabātuves un nomainiet paroles, kuras tā varēja redzēt. Ar izņemšanu no glabātuves vien nepietiek: persona tās var būt pārrakstījusi vai saglabājusi.
• Parūpējieties par ārkārtas piekļuvi: kas notiek, ja Jūs kā īpašnieks saslimstat vai neesat pieejams? Daudziem pārvaldniekiem ir funkcija, ar kuru uzticama persona pēc gaidīšanas laika iegūst piekļuvi. Vai arī glabājiet atkopšanas datus aizzīmogotā aploksnē pie otras personas.

Praksē: pāreja vienā pēcpusdienā

1. Izvēlieties pārvaldnieku un instalējiet to datorā un telefonā kopā ar pārlūkprogrammas paplašinājumu.
2. Izveidojiet galveno paroli (paroles frāzi), pierakstiet to, saglabājiet atkopšanas komplektu.
3. Ieslēdziet glabātuvei divu faktoru autentifikāciju (2FA).
4. Importējiet paroles, kuras Jūsu pārlūkprogramma jau glabāja. Eksports bieži ir nešifrēts fails: izdzēsiet to uzreiz pēc importēšanas, arī no atkritnes.
5. Sāciet ar svarīgākajiem kontiem un piešķiriet katram jaunu, nejaušu paroli: Jūsu pastkastei (info@example.com), mitināšanai (hostingam) un domēna reģistrācijai, bankai un grāmatvedībai (piemēram, gramatvedispro.example).
6. Pārējās atjauniniet, kad tik un tā tajās piesakāties. Brīdinājumi par atkārtotām parolēm Jums palīdzēs.

Vai izmantojat kādu pakalpojumu WebOké vidē, piemēram, pastkasti vai Nextcloud, ar lietotnēm telefonā? Tam dažreiz jāizveido atsevišķa lietotnes parole (skatīt Zināšanu bāzi 436). Arī to glabājiet pārvaldniekā, pie pareizā ieraksta. Pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

Kopsavilkums

• Paroļu pārvaldnieks izveido, glabā un ievada unikālas paroles; Jūs atceraties tikai galveno paroli.
• Veidi: iebūvēts pārlūkprogrammā vai sistēmā, atsevišķa lietotne ar mākoni, lokāls, atvērtā koda vai pašu mitināts. Izvēlieties pēc ierīcēm, koplietošanas, šifrēšanas un atkopšanas.
• Ar pilnīgo (end-to-end) šifrēšanu Jūsu galvenā parole ir pēdējā aizsardzība, ja piegādātājs tiek uzlauzts.
• Ja pārvaldnieks neievada paroli, apskatiet adresi, nevis kopējiet paroli.
• Koplietojiet, izmantojot koplietotu glabātuvi, un nomainiet paroles, kad kāds aiziet.

Tests (quiz)

Uzdevums

Uzdevums D2.2: Paroļu pārvaldnieka iestatīšana. Izvēlieties paroļu pārvaldnieku, izveidojiet galveno paroli un atkopšanas komplektu, ieslēdziet glabātuvei divu faktoru autentifikāciju (2FA) un piešķiriet saviem pieciem svarīgākajiem kontiem jaunu, unikālu paroli. Atzīmējiet kontrolsarakstu un atbildiet uz pārdomu jautājumiem. Jūs nekur neievadāt paroli.

Papildu lasāmviela

Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
• Izveidot lietotnes paroli (nepieciešama, lai izveidotu savienojumu ar lietotnēm un ierīcēm)
• Nextcloud rokasgrāmata 3.5: Lietotņu paroles: kad un kā
• CERT.LV, ieteikumi drošai pieteikšanās un paroļu lietošanai: https://cert.lv/
• ENISA, Eiropas Savienības Kiberdrošības aģentūra: https://www.enisa.europa.eu/
• Paroļu pārvaldnieks un piekļuves atslēgas: kā droši pārvaldīt savu pieteikšanos
• Paroļu pārvaldnieks praksē 1.1: Kāpēc paroļu pārvaldnieks un ko Jūs uzzināsiet šajā rokasgrāmatā
• Paroļu pārvaldnieks praksē 1.2: Proton Pass, 1Password vai Jūsu pārlūks: kurš Jums piemērotāks?
• Paroļu pārvaldnieks praksē 1.3: Jūsu galvenā parole: kā to izveidot, glabāt un nekad nepazaudēt
• Paroļu pārvaldnieks praksē 1.4: Visi zināmie paroļu pārvaldnieki salīdzinājumā: valsts, iespējas, atsauksmes un vērtējumi