Moduł 7 · 7.4
Przenoszenie haseł do menedżera haseł
Moduł 7: Współpraca, aplikacje i bezpieczeństwo · Czas czytania: 10 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili bezpiecznie przenieść hasła z przeglądarki, karteczek i arkuszy kalkulacyjnych do menedżera haseł, który pasuje do nowego środowiska, łącznie ze współdzielonymi sejfami dla zespołu.
Kluczowe pojęcia: menedżer haseł, sejf, hasło główne, klucz odzyskiwania, hasła w przeglądarce (Google, Edge, Apple), eksport do pliku csv, współdzielony sejf lub kolekcja, samodzielny hosting, open source, szyfrowanie na własnym urządzeniu (zero-knowledge), przechowywanie kluczy dostępu (passkeys)
Zapomniany element
W niemal każdej inwentaryzacji brakuje haseł. Nie znajdują się w usłudze chmurowej, którą się wypowiada, więc nikt o nich nie myśli. A jednak często są w samym jej środku. W Piekarni Ziarenko po krótkim rozeznaniu okazuje się, że:
- większość haseł jest zapisana w Chrome, na koncie Google danej osoby;
- hasła do banku, hurtowni i sklepu internetowego znajdują się w arkuszu
wachtwoorden.xlsxna Dysku Google; - hasło do Wi-Fi i kod alarmu wiszą na karteczce;
- dwie osoby z zespołu używają wszędzie tego samego hasła.
Gdy konto Google zniknie, znikną razem z nim hasła zapisane w Chrome. A arkusz z hasłami w chmurze to jedna z pierwszych rzeczy, których szuka włamywacz. Przejście do nowej usługi jest więc dobrym momentem, by to uporządkować.
Co robi menedżer haseł
Menedżer haseł to zaszyfrowany sejf na hasła, z aplikacją na telefon i komputer oraz rozszerzeniem do przeglądarki. Zapamiętują Państwo jedno silne hasło główne; menedżer tworzy dla każdej strony długie, unikalne hasło i wpisuje je za Państwa.
Ważne jest, gdzie odbywa się szyfrowanie. W znanych menedżerach sejf jest szyfrowany na Państwa własnym urządzeniu kluczem wyprowadzonym z hasła głównego. Dostawca przechowuje wyłącznie zaszyfrowany sejf i nie może odczytać Państwa haseł. Często nazywa się to "zero-knowledge". Konsekwencja: jeśli zapomną Państwo hasła głównego i nie mają klucza odzyskiwania, nie pomoże nawet dostawca.
Dobry menedżer wypełnia dane logowania tylko pod prawdziwym adresem. Fałszywa strona Państwa banku nie dostanie więc nic, nawet jeśli wygląda identycznie. To dodatkowa ochrona przed phishingiem.
Jakie są rodzaje?
| Rodzaj | Przykłady | Kto stoi za oprogramowaniem | Na co zwrócić uwagę |
|---|---|---|---|
| Plik lokalny, bez usługi | KeePassXC (i inne programy z rodziny KeePass) | Projekt społecznościowy open source | Plik sejfu przechowują i synchronizują Państwo sami, na przykład w nowej chmurze. Współdzielenie w zespole jest trudniejsze |
| Usługa, open source, możliwy też samodzielny hosting | Bitwarden | Bitwarden Inc., firma amerykańska. Oferuje też lokalizację danych w UE; serwer można również uruchomić samodzielnie | W usłudze chmurowej dostawca pozostaje amerykański, także przy przechowywaniu w UE (lekcja 2.1). Samodzielny hosting eliminuje ten problem |
| Usługa, open source, nastawiona na zespoły | Passbolt | Passbolt SA, Luksemburg | Mocna strona: współdzielenie według grup; samodzielny hosting lub usługa |
| Usługa europejskiego dostawcy dbającego o prywatność | Proton Pass | Proton AG, Szwajcaria (poza UE, ale z decyzją stwierdzającą odpowiedni stopień ochrony). Serwery w Szwajcarii, Niemczech i Norwegii | Rozbudowana wersja bezpłatna, działa na wszystkich urządzeniach. Dobrze pasuje, jeśli korzystają Państwo już z innych usług Proton |
| Usługa z regionem UE, nieamerykańska | 1Password | AgileBits, Kanada (z decyzją stwierdzającą odpowiedni stopień ochrony). Przy koncie na 1password.eu sejf znajduje się w UE | Bardzo łatwy w użyciu, brak wersji bezpłatnej |
| Wbudowany w przeglądarkę lub system operacyjny | Menedżer haseł Google, Edge, aplikacja Hasła (Apple) | Google, Microsoft, Apple (USA) | Wygodne, ale przywiązane do danego konta i ekosystemu |
Nasza rada dla większości osób i małych firm: Proton Pass albo 1Password z kontem na 1password.eu, jeśli zależy Państwu na maksymalnej prostocie. Oba działają na Macu, na komputerze z Windows, na telefonie i we wszystkich przeglądarkach, i oba mają współdzielone sejfy dla zespołu. Bitwarden pozostaje firmą amerykańską, także przy przechowywaniu danych w UE. KeePassXC działa tylko na komputerach; na telefonie potrzebna jest inna aplikacja. W poradniku Menedżer haseł w praktyce porównujemy 23 menedżery haseł pod kątem wygody, bezpieczeństwa oraz UE/RODO (zob. Dalsza lektura). Proszę zastosować tu również pięć pytań z lekcji 2.1 (siedziba, właściciel, centrum danych, podprocesorzy, klucz). W przypadku menedżera haseł ostatnie pytanie waży najwięcej: kto ma klucz? Jeśli mają go tylko Państwo, miejsce przechowywania zaszyfrowanego sejfu ma mniejsze znaczenie niż w przypadku zwykłych plików.
Przenoszenie: eksport, import i natychmiastowe usunięcie
Niemal każda przeglądarka i każdy menedżer potrafi wyeksportować hasła do pliku csv. To zwykły plik tekstowy, w którym każdy wiersz zawiera stronę, nazwę użytkownika i hasło, bez szyfrowania. Każdy, kto otworzy plik, może wszystko przeczytać. Dlatego:
- Proszę to robić na zaufanym komputerze, a nie na wspólnym komputerze w sklepie.
- Proszę eksportować na własny komputer, nie do synchronizowanego folderu ani do chmury. W przeciwnym razie niezaszyfrowany plik w ciągu kilku sekund znajdzie się na serwerze, w wersjach i w koszu.
- Proszę od razu zaimportować go do nowego menedżera.
- Proszę wyrywkowo sprawdzić, czy wszystko się zgadza (zalogować się na kilka stron).
- Proszę natychmiast usunąć plik csv i opróżnić również kosz na komputerze.
- Następnie proszę wyłączyć zapisywanie haseł w przeglądarce, aby nie powstała druga, nieaktualna kopia.
Arkusz z hasłami przenoszą Państwo, wpisując dane ręcznie do menedżera (lub importując je jako csv, według tych samych zasad). Następnie proszę usunąć arkusz, także z kosza i z historii wersji w starej chmurze. Proszę zmienić najważniejsze hasła, które się w nim znajdowały, bo nie wiadomo, kto przez lata widział ten plik.
Proszę zwrócić uwagę również na klucze dostępu (passkeys) (lekcja 7.3). Klucza dostępu zapisanego na koncie Google lub Apple nie zawsze da się wyeksportować. Zanim zamkną Państwo stare konto, proszę dla ważnych stron utworzyć nowy klucz dostępu w nowym menedżerze albo upewnić się, że hasło i drugi składnik logowania są znane.
Współdzielenie w zespole
Niektóre hasła należą do organizacji, a nie do konkretnej osoby: bank, hurtownia, konta w mediach społecznościowych, Wi-Fi. Do tego służy współdzielony sejf lub kolekcja w menedżerze:
- Proszę utworzyć osobny sejf dla każdej grupy: "Sklep", "Księgowość", "Administracja". Nie każdy musi widzieć wszystko.
- Nigdy nie należy przekazywać hasła przez czat ani e-mail. Nawet "tylko na szybko".
- Gdy ktoś odchodzi, proszę usunąć go ze współdzielonych sejfów i zmienić hasła, do których miał dostęp i które mógł zapamiętać lub skopiować.
Hasło główne i dzień, w którym coś pójdzie nie tak
Hasło główne to jedyny klucz. Proszę wybrać długie zdanie z czterech do sześciu losowych słów, którego nie używają Państwo nigdzie indziej. W samym menedżerze proszę również włączyć uwierzytelnianie dwuskładnikowe (2FA).
Odzyskiwanie dostępu warto zaplanować z wyprzedzeniem:
- Proszę przechowywać klucz odzyskiwania lub dostęp awaryjny oferowany przez menedżer na papierze, w bezpiecznym miejscu.
- Proszę ustalić w organizacji, kto otrzyma dostęp w razie śmierci lub długotrwałej choroby właściciela. Wiele menedżerów ma do tego funkcję dostępu awaryjnego.
- Kody zapasowe najważniejszych kont też powinny się tu znaleźć albo być przechowywane na papierze (lekcja 7.3). Nie w sejfie, do którego można wejść tylko za pomocą tych kont.
W praktyce: tak to wygląda u dostawcy
W WebOké Nextcloud nie ma osobnego menedżera haseł; obok chmury używają Państwo oddzielnego menedżera haseł, takiego jak Proton Pass lub 1Password. Poradnik Menedżer haseł w praktyce omawia oba krok po kroku: zakładanie konta, instalację, przenoszenie, współdzielenie i dostęp awaryjny. Poradnik dotyczący bezpieczeństwa WebOké Nextcloud również zaleca menedżer haseł i wskazuje go jako dobre miejsce na kody zapasowe.
W innych europejskich usługach chmurowych wygląda to podobnie: menedżer haseł jest zwykle oddzielną usługą lub aplikacją obok chmury.
Podsumowanie
- Hasła zapisane w przeglądarce na starym koncie znikną razem z nim, gdy konto zostanie zamknięte. Proszę przenieść je wcześniej.
- Menedżer haseł szyfruje dane na Państwa własnym urządzeniu; hasło główne jest jedynym kluczem.
- Eksport csv nie jest zaszyfrowany: nigdy do synchronizowanego folderu, od razu importować, od razu usuwać.
- Do haseł organizacji proszę używać współdzielonych sejfów dla poszczególnych grup i zmieniać hasła, gdy ktoś odchodzi.
- Odzyskiwanie i dostęp awaryjny proszę zaplanować z wyprzedzeniem, na papierze.
Quiz
Zadanie
Zadanie E7.4: Inwentaryzacja haseł i plan przeniesienia. Proszę ustalić, gdzie obecnie znajdują się hasła w Państwa organizacji (przeglądarka każdej osoby, arkusze, karteczki, wspólne konta), wybrać menedżer haseł przy pomocy pięciu pytań z lekcji 2.1 i spisać plan przeniesienia: kto eksportuje co, na którym komputerze, kiedy plik csv zostanie usunięty i jakie powstaną współdzielone sejfy.
Zadanie E7.4: Inwentaryzacja haseł i plan przeniesienia
Proszę znaleźć wszystkie miejsca z hasłami i bezpiecznie przenieść je do jednego menedżera haseł. Nigdy nie wklejać tutaj haseł.
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Dalsza lektura
Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców wygląda to podobnie.
- Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
- Podręcznik Nextcloud 3.3: Konfiguracja aplikacji uwierzytelniającej i zapisywanie kodów zapasowych
- NCSC (holenderskie Narodowe Centrum Cyberbezpieczeństwa), Beginnen met cybersecurity (po niderlandzku): https://www.ncsc.nl/beginnen-met-cybersecurity
- Menedżer haseł i passkeys: jak bezpiecznie zadbać o logowanie
- Menedżer haseł w praktyce 4.1: Import haseł z Chrome, Edge, Firefox i Safari
- Menedżer haseł w praktyce 4.2: Przejście z LastPass, Bitwarden lub innego menedżera haseł
- Menedżer haseł w praktyce 1.4: Porównanie wszystkich znanych menedżerów haseł: kraj, funkcje, opinie i oceny