Transferir palavras-passe para um gestor de palavras-passe

Módulo 7: Colaborar, aplicações e segurança · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: No final desta lição, será capaz de transferir com segurança palavras-passe do seu browser, de notas em papel e de folhas de cálculo para um gestor de palavras-passe adequado à sua nova configuração, incluindo cofres partilhados para a equipa.

Conceitos-chave: gestor de palavras-passe, cofre, palavra-passe mestra, chave de recuperação, palavras-passe no browser (Google, Edge, Apple), exportação em csv, cofre ou coleção partilhada, alojamento próprio, código aberto, encriptação no seu próprio dispositivo (zero-knowledge), guardar passkeys

O elemento esquecido

Em quase todos os inventários faltam as palavras-passe. Não estão num serviço cloud que vai cancelar, por isso ninguém se lembra delas. No entanto, estão muitas vezes no centro de tudo. Na Padaria O Grão, após uma ronda pelos colegas, verifica-se o seguinte:

• a maioria das palavras-passe está no Chrome, guardada na conta Google de cada pessoa;
• as palavras-passe do banco, do fornecedor grossista e da loja online estão numa folha de cálculo palavras-passe.xlsx no Google Drive;
• a palavra-passe do Wi-Fi e o código do alarme estão afixados num papel;
• dois colegas utilizam a mesma palavra-passe em todo o lado.

Se a conta Google desaparecer, as palavras-passe no Chrome desaparecem com ela. E uma folha de cálculo com palavras-passe na cloud é uma das primeiras coisas que um intruso procura. Uma mudança é, portanto, o momento certo para resolver isto.

O que faz um gestor de palavras-passe

Um gestor de palavras-passe é um cofre encriptado para palavras-passe, com uma aplicação no telemóvel e no computador e uma extensão no browser. Memoriza apenas uma palavra-passe mestra forte; o gestor cria uma palavra-passe longa e única para cada site e preenche-a por si.

O importante é onde acontece a encriptação. Nos gestores mais conhecidos, o cofre é encriptado no seu próprio dispositivo com uma chave derivada da sua palavra-passe mestra. O fornecedor guarda apenas o cofre encriptado e não consegue ler as suas palavras-passe. Isto é frequentemente designado por "zero-knowledge". A consequência: se se esquecer da palavra-passe mestra e não tiver uma chave de recuperação, nem o fornecedor o pode ajudar.

Um bom gestor também só preenche os dados no endereço verdadeiro. Um site falso do seu banco não recebe nada, mesmo que tenha exatamente o mesmo aspeto. É uma proteção adicional contra phishing.

Que tipos existem?

O nosso conselho para a maioria das pessoas e pequenas empresas: Proton Pass, ou 1Password com uma conta em 1password.eu se pretender a opção mais simples de todas. Ambos funcionam no seu Mac, no seu PC Windows, no seu telemóvel e em todos os browsers, e ambos têm cofres partilhados para uma equipa. A Bitwarden continua a ser uma empresa norte-americana, mesmo com armazenamento na UE. O KeePassXC funciona apenas em computadores; no telemóvel precisa de outra aplicação. No guia Gestor de palavras-passe na prática comparamos 23 gestores de palavras-passe quanto a facilidade, segurança e UE/RGPD (consulte Leitura adicional). Utilize também aqui as cinco perguntas da lição 2.1 (sede, proprietário, centro de dados, subcontratantes ulteriores, chave). Num gestor de palavras-passe, a última pergunta é a mais importante: quem tem a chave? Se for apenas o utilizador, o local onde está o cofre encriptado importa menos do que no caso de ficheiros comuns.

Transferir: exportar, importar e eliminar de imediato

Quase todos os browsers e gestores conseguem exportar palavras-passe para um ficheiro csv. Trata-se de um ficheiro de texto simples com, em cada linha, um site, um nome de utilizador e uma palavra-passe, sem encriptação. Qualquer pessoa que abra o ficheiro consegue ler tudo. Por isso:

1. Faça-o num computador de confiança, não num computador partilhado da loja.
2. Exporte para o seu próprio computador, não para uma pasta sincronizada nem para a cloud. Caso contrário, o ficheiro não encriptado fica em poucos segundos no servidor, nas versões e no lixo.
3. Importe-o de imediato no novo gestor.
4. Verifique por amostragem se está correto (inicie sessão em alguns sites).
5. Elimine imediatamente o ficheiro csv e esvazie também o lixo do computador.
6. Em seguida, desative a gravação de palavras-passe no browser, para que não surja uma segunda cópia desatualizada.

A folha de cálculo com palavras-passe é transferida introduzindo os dados manualmente no gestor (ou importando-a como csv, com as mesmas regras). Depois, elimine a folha de cálculo, incluindo do lixo e do histórico de versões da cloud antiga. Altere as palavras-passe mais importantes que lá estavam, pois não sabe quem viu o ficheiro ao longo dos anos.

Tenha também atenção às passkeys (lição 7.3). Uma passkey guardada na sua conta Google ou Apple nem sempre pode ser exportada. Nos sites importantes, crie uma nova passkey no seu novo gestor ou certifique-se de que conhece a palavra-passe e o segundo passo, antes de encerrar a conta antiga.

Partilhar numa equipa

Algumas palavras-passe pertencem à organização e não a uma pessoa: o banco, o fornecedor grossista, as contas das redes sociais, o Wi-Fi. Para essas, utilize um cofre partilhado ou uma coleção no gestor:

• Crie um cofre por grupo: "Loja", "Administração", "Gestão". Nem todos precisam de ver tudo.
• Nunca partilhe uma palavra-passe por chat ou por correio eletrónico. Nem mesmo "só desta vez".
• Quando alguém sai, retire essa pessoa dos cofres partilhados e altere as palavras-passe a que tinha acesso e que possa ter memorizado ou copiado.

A palavra-passe mestra e o dia em que algo corre mal

A palavra-passe mestra é a única chave. Escolha uma frase longa com quatro a seis palavras aleatórias, que não utilize em mais lado nenhum. Ative também a autenticação de dois fatores (2FA) no próprio gestor.

Prepare a recuperação com antecedência:

• Guarde a chave de recuperação ou o acesso de emergência que o seu gestor oferece em papel, num local seguro.
• Na organização, defina quem obtém acesso em caso de falecimento ou doença prolongada do proprietário. Muitos gestores têm uma função de acesso de emergência para isso.
• Os códigos de cópia de segurança das suas contas mais importantes também devem estar aqui, ou em papel (lição 7.3). Nunca num cofre ao qual só consegue aceder com essas mesmas contas.

Na prática: como funciona num fornecedor

Um Nextcloud da WebOké não inclui um gestor de palavras-passe próprio; utiliza um gestor de palavras-passe independente ao lado da sua cloud, como o Proton Pass ou o 1Password. O guia Gestor de palavras-passe na prática explica ambos passo a passo: criar a conta, instalar, transferir, partilhar e acesso de emergência. O guia sobre a segurança do Nextcloud da WebOké também recomenda um gestor de palavras-passe e indica-o como um bom local para os seus códigos de cópia de segurança.

Noutros serviços cloud europeus funciona de forma semelhante: o gestor de palavras-passe é normalmente um serviço ou aplicação independente ao lado da sua cloud.

Resumo

• As palavras-passe no browser da sua conta antiga desaparecem quando encerra essa conta. Transfira-as antes.
• Um gestor de palavras-passe encripta no seu próprio dispositivo; a palavra-passe mestra é a única chave.
• Uma exportação csv não está encriptada: nunca numa pasta sincronizada, importar de imediato, eliminar de imediato.
• Utilize cofres partilhados por grupo para as palavras-passe da organização e altere-as quando alguém sai.
• Prepare a recuperação e o acesso de emergência com antecedência, em papel.

Quiz

Exercício

Exercício E7.4: Palavras-passe em levantamento e plano de migração. Descubra onde estão atualmente as palavras-passe na sua organização (browser de cada pessoa, folhas de cálculo, notas em papel, contas partilhadas), escolha um gestor de palavras-passe com as cinco perguntas da lição 2.1 e redija o plano de migração: quem exporta o quê, em que computador, quando é eliminado o ficheiro csv e que cofres partilhados vão ser criados.

Leitura adicional

Os passos destes artigos aplicam-se aos serviços da WebOké; noutros fornecedores funciona de forma semelhante.

• Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
• Manual do Nextcloud 3.3: Configurar uma aplicação autenticadora e guardar códigos de segurança
• NCSC (o centro nacional de cibersegurança dos Países Baixos), Beginnen met cybersecurity (em neerlandês): https://www.ncsc.nl/beginnen-met-cybersecurity
• Gestor de palavras-passe e passkeys: como gerir os seus acessos com segurança
• Gestor de palavras-passe na prática 4.1: Importar palavras-passe do Chrome, Edge, Firefox e Safari
• Gestor de palavras-passe na prática 4.2: Mudar do LastPass, do Bitwarden ou de outro gestor
• Gestor de palavras-passe na prática 1.4: Todos os gestores de palavras-passe conhecidos comparados: país, opções, avaliações e pontuações