Alegerea și utilizarea managerilor de parole

Modulul 2: Parole și autentificare · Timp de citire: 9 minute

Obiectiv: După această lecție veți putea alege și configura un manager de parole, proteja parola principală și partaja parole în siguranță într-o echipă.

Concepte cheie: manager de parole, parolă principală, seif, criptare end-to-end, seif partajat, acces de urgență, manager de parole din browser

Ce face un manager de parole

În lecția 2.1 ați văzut că fiecare cont are nevoie de o parolă proprie, lungă și aleatorie. Nimeni nu poate ține minte optzeci de astfel de parole. Un manager de parole este un software care face acest lucru în locul dumneavoastră. El:

• creează pentru fiecare serviciu o parolă puternică și aleatorie;
• păstrează toate parolele criptate într-un seif;
• le completează pe site-ul corect, și doar acolo;
• vă avertizează adesea despre parole slabe, duplicate sau scurse;
• la multe produse poate păstra și codurile pentru autentificarea în doi pași (2FA) și poate stoca passkey-uri (lecțiile 2.3 și 2.4).

Dumneavoastră mai trebuie să rețineți una singură: parola principală cu care deschideți seiful. Centrul național de securitate cibernetică din Țările de Jos (NCSC) recomandă managerul de parole ca bază permanentă, inclusiv pentru organizațiile mici, cu înțelegeri clare despre ce manager folosiți și pentru ce conturi este obligatoriu.

Tipuri de manageri de parole

Nu există un singur tip care să fie cel mai bun. NCSC-ul olandez face distincție între managerul din browser, aplicația separată și varianta online (în cloud) față de cea offline (locală). În practică întâlniți următoarele forme:

Exemple cunoscute de manageri separați sunt Proton Pass, 1Password, Bitwarden și KeePassXC, pe lângă managerii integrați în browsere și sisteme de operare. În ghidul Managerul de parole în practică comparăm 23 de manageri de parole din punctul de vedere al comodității, securității și confidențialității (UE și GDPR), cu țara companiei, prețul și recenziile (vedeți Lecturi suplimentare). Recomandarea noastră acolo: Proton Pass, sau 1Password dacă doriți varianta cea mai simplă. Dacă aveți îndoieli, alegeți pe baza întrebărilor de mai jos.

Întrebări la alegere

• Funcționează pe toate dispozitivele și browserele dumneavoastră, inclusiv pe cele ale colegilor?
• Puteți partaja seifuri cu drepturi pe fiecare dosar și puteți scoate pe cineva dintr-un seif?
• Este seiful criptat end-to-end și ce anume este și ce nu este criptat (de exemplu adresele site-urilor)?
• Puteți securiza seiful cu autentificare în doi pași (2FA) sau cu un passkey?
• Există acces de urgență sau o procedură de recuperare și cum funcționează exact?
• Vă puteți exporta datele dacă doriți să schimbați managerul?
• La versiunile gratuite: care este modelul de afaceri?

Criptarea end-to-end: ce se întâmplă dacă furnizorul este spart?

La un manager în cloud bun, seiful este criptat pe dispozitivul dumneavoastră cu o cheie derivată din parola principală. Furnizorul primește doar pachetul criptat. Acest lucru se numește criptare end-to-end (uneori "zero knowledge"). Furnizorul nu vă poate citi parolele și, prin urmare, nici nu vă poate reseta parola principală.

Dacă furnizorul este spart, un atacator poate fura seifurile criptate. Apoi poate încerca să le spargă offline, ca în lecția 2.1. În acel moment, parola principală este singura dumneavoastră protecție. De aceea:

• Parola principală este lungă și unică: o frază de acces de cel puțin cinci, de preferat șase cuvinte aleatorii.
• Nu o folosiți nicăieri altundeva.
• După o scurgere de date la furnizor, schimbați parola principală și parolele celor mai importante conturi. Seiful vechi, furat, este criptat cu vechea parolă principală.

Autentificarea în doi pași pe seif ajută împotriva cuiva care are parola principală și vrea să se autentifice prin site. Nu ajută împotriva spargerii unui fișier seif furat. O spune și NCSC-ul olandez: 2FA pe manager nu este un motiv pentru o parolă principală slabă.

Protejarea parolei principale

Uitarea parolei principale este adesea definitivă la un manager bun: furnizorul nu o poate recupera. Rezolvați deci acest lucru din timp:

• Scrieți parola principală pe hârtie și păstrați-o acasă, într-un loc sigur. NCSC-ul olandez consideră acest lucru în regulă, atât timp cât nu notați la ce servește.
• Creați kitul de recuperare sau codul de urgență oferit de manager, tipăriți-l și păstrați-l împreună cu hârtia.
• Introduceți parola principală doar în aplicația sau extensia managerului, niciodată pe un site care v-o cere.
• Activați blocarea automată după câteva minute de inactivitate.

De ce completarea automată ajută împotriva phishingului

Un manager de parole leagă fiecare parolă de adresa site-ului. Pe https://bancamea.example vă completează parola. Pe o imitație precum https://bancarnea.example (rn în loc de m) sau https://bancamea-sigur.example nu face nimic, pentru că aceste adrese nu sunt la elementul respectiv.

Un om nu vede adesea diferența dintre rn și m. Managerul compară caracterele și nu obosește și nu se grăbește. Aceasta este o protecție reală, dar doar dacă îl lăsați să funcționeze:

Managerul dumneavoastră nu mai completează nimic pe un site unde o făcea întotdeauna? Nu ocoliți problema copiind parola manual. Uitați-vă mai întâi foarte atent la adresă. Acesta este exact momentul în care managerul vă avertizează.

Uneori există și un motiv întemeiat pentru care nu completează: un serviciu care s-a mutat la o adresă nouă. Verificați atunci pe altă cale, de exemplu tastând chiar dumneavoastră adresa pe care o cunoșteați deja.

Partajarea în echipă

Într-o firmă mică există întotdeauna conturi folosite în comun: magazinul online de pe platforma-magazin.example, contul la curierexpres.example, rețelele sociale ale firmei. Cel mai bine este ca fiecare să aibă propriul cont (modulul 7). Dacă nu este posibil, folosiți un seif partajat:

• Creați seifuri sau dosare pe subiecte ("Magazin online", "Financiar", "Rețele sociale") și dați acces doar celor care au nevoie.
• Nu partajați niciodată prin e-mail, chat sau foaie de calcul. Cine are acces la seiful partajat vede parola acolo.
• Pleacă cineva? Scoateți persoana din seif și schimbați parolele pe care le putea vedea. Doar scoaterea din seif nu este suficientă: persoana le poate fi copiat sau salvat.
• Organizați accesul de urgență: ce se întâmplă dacă dumneavoastră, proprietarul, sunteți bolnav sau indisponibil? Mulți manageri au o funcție prin care o persoană de încredere primește acces după o perioadă de așteptare. Sau păstrați datele de recuperare într-un plic sigilat la o a doua persoană.

În practică: trecerea într-o singură după-amiază

1. Alegeți un manager și instalați-l pe calculator și pe telefon, împreună cu extensia de browser.
2. Creați o parolă principală (frază de acces), notați-o și păstrați kitul de recuperare.
3. Activați autentificarea în doi pași pe seif.
4. Importați parolele pe care le păstra deja browserul. Un export este adesea un fișier necriptat: ștergeți-l imediat după import, inclusiv din coșul de gunoi.
5. Începeți cu cele mai importante conturi și dați fiecăruia o parolă nouă, aleatorie: căsuța de e-mail (info@example.com), găzduirea (hosting) și înregistrarea domeniului, banca și contabilitatea (de exemplu pe contabilo.example).
6. Actualizați restul atunci când vă autentificați oricum. Avertizările pentru parole duplicate vă ajută.

Folosiți un serviciu din mediul WebOké, precum o căsuță de e-mail sau Nextcloud, cu aplicații pe telefon? Pentru acesta creați uneori o parolă de aplicație separată (vedeți Baza de cunoștințe 436). Și pe aceasta o păstrați în manager, la elementul corect. La alți furnizori funcționează similar.

Rezumat

• Un manager de parole creează, păstrează și completează parole unice; dumneavoastră rețineți doar parola principală.
• Tipuri: integrat în browser sau sistem, aplicație separată cu cloud, local, open source sau găzduit de dumneavoastră. Alegeți în funcție de dispozitive, partajare, criptare și recuperare.
• La criptarea end-to-end, parola principală este ultima linie de apărare dacă furnizorul este spart.
• Dacă managerul nu completează, verificați adresa în loc să copiați parola.
• Partajați printr-un seif partajat și schimbați parolele când pleacă cineva.

Test (quiz)

Exercițiu

Exercițiul D2.2: Configurarea managerului dumneavoastră de parole. Alegeți un manager de parole, creați o parolă principală și un kit de recuperare, activați autentificarea în doi pași pe seif și dați celor mai importante cinci conturi ale dumneavoastră o parolă nouă și unică. Bifați lista de verificare și răspundeți la întrebările de reflecție. Nu introduceți nicăieri nicio parolă.

Lecturi suplimentare

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
• Creați o parolă de aplicație (necesară pentru conectarea la aplicații și dispozitive)
• Manual Nextcloud 3.5: Parole de aplicație: când și cum se folosesc
• NCSC-ul olandez, Cum aleg un manager de parole? (sursă olandeză, în limba neerlandeză): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• NCSC-ul olandez, Patru pași pentru parole mai sigure (sursă olandeză, în limba neerlandeză): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• Manager de parole și passkeys: cum vă gestionați autentificarea în siguranță
• Managerul de parole în practică 1.1: De ce un manager de parole și ce vă învață acest ghid
• Managerul de parole în practică 1.2: Proton Pass, 1Password sau browserul dumneavoastră: care vi se potrivește?
• Managerul de parole în practică 1.3: Parola principală: cum o creați, cum o păstrați și cum să nu o pierdeți niciodată
• Managerul de parole în practică 1.4: Toți managerii de parole cunoscuți comparați: țară, opțiuni, recenzii și scoruri