Wybór i korzystanie z menedżera haseł

Moduł 2: Hasła i logowanie · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wybrać i skonfigurować menedżer haseł, chronić hasło główne i bezpiecznie udostępniać hasła w zespole.

Kluczowe pojęcia: menedżer haseł, hasło główne, sejf, szyfrowanie end-to-end, sejf współdzielony, dostęp awaryjny, menedżer haseł w przeglądarce

Co robi menedżer haseł

W lekcji 2.1 widzieli Państwo, że każde konto potrzebuje własnego, długiego i losowego hasła. Nikt nie zapamięta osiemdziesięciu takich haseł. Menedżer haseł to oprogramowanie, które robi to za Państwa. Menedżer:

• tworzy dla każdej usługi silne, losowe hasło;
• przechowuje wszystkie hasła w postaci zaszyfrowanej w sejfie;
• wpisuje je na właściwej stronie internetowej i tylko tam;
• często ostrzega przed słabymi, powtarzającymi się lub ujawnionymi w wyciekach hasłami;
• w wielu produktach może też przechowywać kody do uwierzytelniania dwuskładnikowego (2FA) i zapisywać passkeys (lekcje 2.3 i 2.4).

Zapamiętać trzeba już tylko jedno: hasło główne, którym otwiera się sejf. Holenderskie NCSC zaleca menedżer haseł jako stałą podstawę, również w małych organizacjach, wraz z jasnymi ustaleniami, którego menedżera się używa i dla których kont jest on obowiązkowy.

Rodzaje menedżerów haseł

Nie ma jednego najlepszego rodzaju. Holenderskie NCSC rozróżnia menedżer w przeglądarce, osobną aplikację oraz rozwiązania online (w chmurze) i offline (lokalne). W praktyce spotyka się następujące formy:

Znanymi przykładami osobnych menedżerów są Proton Pass, 1Password, Bitwarden i KeePassXC, obok menedżerów wbudowanych w przeglądarki i systemy operacyjne. W poradniku Menedżer haseł w praktyce porównujemy 23 menedżery haseł pod względem wygody, bezpieczeństwa i prywatności (UE i RODO), z krajem siedziby firmy, ceną i recenzjami (zob. Dalsza lektura). Nasza rekomendacja: Proton Pass, albo 1Password, jeśli liczy się przede wszystkim wygoda. W razie wątpliwości warto wybrać na podstawie poniższych pytań.

Pytania przy wyborze

• Czy działa na wszystkich Państwa urządzeniach i przeglądarkach, także tych należących do współpracowników?
• Czy można udostępniać sejfy z uprawnieniami dla poszczególnych folderów i ponownie usunąć kogoś z sejfu?
• Czy sejf jest szyfrowany end-to-end i co jest, a co nie jest zaszyfrowane (na przykład adresy stron internetowych)?
• Czy sejf można zabezpieczyć uwierzytelnianiem dwuskładnikowym (2FA) lub passkey?
• Czy istnieje dostęp awaryjny lub procedura odzyskiwania i jak dokładnie działa?
• Czy można wyeksportować dane w razie chęci zmiany menedżera?
• W przypadku wersji bezpłatnych: na czym zarabia dostawca?

Szyfrowanie end-to-end: co, jeśli dostawca zostanie zhakowany?

W dobrym menedżerze chmurowym sejf jest szyfrowany na Państwa urządzeniu kluczem wyprowadzonym z hasła głównego. Dostawca otrzymuje wyłącznie zaszyfrowany pakiet. Nazywa się to szyfrowaniem end-to-end (czasem "zero knowledge"). Dostawca nie może odczytać Państwa haseł, a więc nie może też przywrócić hasła głównego.

Jeśli dostawca zostanie zhakowany, atakujący może ukraść zaszyfrowane sejfy. Może wtedy próbować złamać je offline, tak jak w lekcji 2.1. Hasło główne jest wówczas jedyną ochroną. Dlatego:

• Hasło główne jest długie i unikalne: fraza hasłowa z co najmniej pięciu, a najlepiej sześciu losowych słów.
• Nie używa się go nigdzie indziej.
• Po wycieku u dostawcy należy zmienić hasło główne oraz hasła do najważniejszych kont. Stary, skradziony sejf jest przecież zaszyfrowany starym hasłem głównym.

Uwierzytelnianie dwuskładnikowe na sejfie chroni przed kimś, kto zna hasło główne i chce zalogować się przez stronę internetową. Nie chroni przed łamaniem skradzionego pliku sejfu. Holenderskie NCSC również to podkreśla: 2FA w menedżerze nie jest powodem do stosowania słabego hasła głównego.

Ochrona hasła głównego

Zapomnienie hasła głównego w dobrym menedżerze jest często nieodwracalne: dostawca nie może go odzyskać. Należy więc zadbać o to z wyprzedzeniem:

• Prosimy zapisać hasło główne na papierze i przechowywać je w domu w bezpiecznym miejscu. Holenderskie NCSC uważa to za w pełni akceptowalne, o ile nie dopisuje się, do czego służy.
• Prosimy utworzyć zestaw odzyskiwania lub kod awaryjny oferowany przez menedżer, wydrukować go i przechowywać razem z kartką.
• Hasło główne należy wpisywać tylko w aplikacji lub rozszerzeniu samego menedżera, nigdy na stronie internetowej, która o nie prosi.
• Należy włączyć automatyczną blokadę po kilku minutach bezczynności.

Dlaczego automatyczne wypełnianie pomaga przeciw phishingowi

Menedżer haseł wiąże każde hasło z adresem strony internetowej. Na https://mojbank.example wpisze Państwa hasło. Na łudząco podobnej stronie, takiej jak https://rnojbank.example (rn zamiast m) lub https://mojbank-bezpieczny.example, nie zrobi nic, ponieważ te adresy nie są zapisane przy danym wpisie.

Człowiek często nie dostrzega różnicy między rn a m. Menedżer porównuje znaki i nie męczy się ani nie spieszy. To prawdziwe zabezpieczenie, ale tylko wtedy, gdy pozwoli mu się działać:

Menedżer nagle nie wypełnia danych na stronie, na której zawsze to robił? Proszę nie obchodzić tego, kopiując hasło ręcznie. Najpierw należy bardzo dokładnie przyjrzeć się adresowi. To jest właśnie moment, w którym menedżer Państwa ostrzega.

Czasem istnieje też uzasadniony powód braku wypełnienia: usługa przeniosła się pod nowy adres. Warto wtedy sprawdzić to inną drogą, na przykład samodzielnie wpisując znany wcześniej adres.

Udostępnianie w zespole

W małej firmie zawsze są konta używane wspólnie: sklep internetowy na platforma-sklepowa.example, konto w kurierex.example, firmowe media społecznościowe. Najlepiej, gdy każdy ma własne konto (moduł 7). Jeśli to niemożliwe, należy użyć sejfu współdzielonego:

• Prosimy utworzyć sejfy lub foldery tematyczne ("Sklep internetowy", "Finanse", "Media społecznościowe") i nadawać dostęp tylko osobom, które go potrzebują.
• Nigdy nie należy udostępniać haseł przez e-mail, czat ani arkusz kalkulacyjny. Kto ma dostęp do sejfu współdzielonego, widzi hasło właśnie tam.
• Ktoś odchodzi z firmy? Należy usunąć tę osobę z sejfu i zmienić hasła, które mogła widzieć. Samo usunięcie z sejfu nie wystarczy: osoba ta mogła je przepisać lub zapisać.
• Należy zapewnić dostęp awaryjny: co się stanie, jeśli właściciel zachoruje lub z innego powodu nie będzie dostępny? Wiele menedżerów ma funkcję, dzięki której zaufana osoba uzyskuje dostęp po upływie okresu oczekiwania. Można też przechowywać dane odzyskiwania w zapieczętowanej kopercie u drugiej osoby.

W praktyce: przejście w jedno popołudnie

1. Prosimy wybrać menedżer i zainstalować go na komputerze i telefonie, razem z rozszerzeniem przeglądarki.
2. Należy utworzyć hasło główne (frazę hasłową), zapisać je i zachować zestaw odzyskiwania.
3. Należy włączyć uwierzytelnianie dwuskładnikowe (2FA) na sejfie.
4. Prosimy zaimportować hasła zapisane wcześniej w przeglądarce. Eksport to często niezaszyfrowany plik: należy usunąć go natychmiast po imporcie, także z kosza.
5. Warto zacząć od najważniejszych kont i nadać każdemu nowe, losowe hasło: skrzynka pocztowa (info@example.com), hosting i rejestracja domeny, bank i księgowość (na przykład na ksiegowo.example).
6. Pozostałe konta można aktualizować przy kolejnym logowaniu. Pomogą w tym ostrzeżenia o powtarzających się hasłach.

Korzystają Państwo z usługi w środowisku WebOké, takiej jak skrzynka pocztowa lub Nextcloud, z aplikacjami na telefonie? Czasem trzeba do tego utworzyć osobne hasło aplikacji (zob. Baza wiedzy 436). Je również należy przechowywać w menedżerze, przy właściwym wpisie. U innych dostawców działa to podobnie.

Podsumowanie

• Menedżer haseł tworzy, przechowuje i wpisuje unikalne hasła; zapamiętać trzeba tylko hasło główne.
• Rodzaje: wbudowany w przeglądarkę lub system, osobna aplikacja z chmurą, lokalny, open source lub hostowany samodzielnie. Wybór zależy od urządzeń, udostępniania, szyfrowania i odzyskiwania.
• Przy szyfrowaniu end-to-end hasło główne jest ostatnią linią obrony, jeśli dostawca zostanie zhakowany.
• Jeśli menedżer nie wypełnia danych, należy sprawdzić adres zamiast kopiować hasło.
• Hasła należy udostępniać przez sejf współdzielony i zmieniać je, gdy ktoś odchodzi.

Quiz

Zadanie

Zadanie D2.2: Konfiguracja menedżera haseł. Prosimy wybrać menedżer haseł, utworzyć hasło główne i zestaw odzyskiwania, włączyć uwierzytelnianie dwuskładnikowe (2FA) na sejfie i nadać pięciu najważniejszym kontom nowe, unikalne hasła. Następnie należy odhaczyć listę kontrolną i odpowiedzieć na pytania refleksyjne. Nigdzie nie wpisuje się żadnego hasła.

Dalsza lektura

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Utwórz hasło aplikacji (wymagane do połączenia z aplikacjami i urządzeniami)
• Podręcznik Nextcloud 3.5: Hasła aplikacji: kiedy i jak ich używać
• CERT Polska (NASK), porady dotyczące bezpiecznych haseł i logowania: https://cert.pl/
• ENISA, Agencja Unii Europejskiej ds. Cyberbezpieczeństwa: https://www.enisa.europa.eu/
• Menedżer haseł i passkeys: jak bezpiecznie zadbać o logowanie
• Menedżer haseł w praktyce 1.1: Dlaczego warto korzystać z menedżera haseł i czego nauczy Państwa ten podręcznik
• Menedżer haseł w praktyce 1.2: Proton Pass, 1Password czy przeglądarka: co będzie najlepsze dla Państwa?
• Menedżer haseł w praktyce 1.3: Hasło główne: jak je utworzyć, przechowywać i nigdy go nie utracić
• Menedżer haseł w praktyce 1.4: Porównanie wszystkich znanych menedżerów haseł: kraj, funkcje, opinie i oceny