Výber a používanie správcu hesiel

Modul 2: Heslá a prihlasovanie · Čas čítania: 9 minút

Cieľ lekcie: Po tejto lekcii dokážete vybrať a nastaviť správcu hesiel, chrániť hlavné heslo a bezpečne zdieľať heslá v tíme.

Kľúčové pojmy: správca hesiel, hlavné heslo, trezor, end-to-end šifrovanie, zdieľaný trezor, núdzový prístup, správca hesiel v prehliadači

Čo robí správca hesiel

V lekcii 2.1 ste videli, že každý účet potrebuje vlastné, dlhé a náhodné heslo. Nikto si ich nezapamätá osemdesiat. Správca hesiel je softvér, ktorý to urobí za vás. Správca:

• vytvorí pre každú službu silné, náhodné heslo;
• uchováva všetky heslá zašifrované v trezore;
• vyplní ich na správnej webovej stránke, a iba tam;
• často upozorňuje na slabé, opakované alebo uniknuté heslá;
• pri mnohých produktoch dokáže uchovávať aj kódy pre dvojfaktorové overenie (2FA) a ukladať passkeys (lekcia 2.3 a 2.4).

Zapamätať si musíte už len jedno: hlavné heslo, ktorým trezor otvárate. Holandské NCSC odporúča správcu hesiel ako pevný základ, aj pre malé organizácie, s jasnými dohodami o tom, ktorého správcu používate a pre ktoré účty je povinný.

Druhy správcov hesiel

Neexistuje jeden najlepší druh. Holandské NCSC rozlišuje správcu v prehliadači, samostatnú aplikáciu a online (cloud) oproti offline (lokálne). V praxi sa stretnete s týmito formami:

Známe príklady samostatných správcov sú Proton Pass, 1Password, Bitwarden a KeePassXC, popri správcoch zabudovaných v prehliadačoch a operačných systémoch. V príručke Správca hesiel v praxi porovnávame 23 správcov hesiel z hľadiska pohodlia, bezpečnosti a súkromia (EÚ a GDPR), vrátane krajiny firmy, ceny a recenzií (pozri Ďalšie čítanie). Naše odporúčanie: Proton Pass, alebo 1Password, ak chcete čo najjednoduchšie riešenie. Ak váhate, rozhodnite sa podľa otázok nižšie.

Otázky pri výbere

• Funguje na všetkých vašich zariadeniach a prehliadačoch, aj na tých, ktoré používajú kolegovia?
• Môžete zdieľať trezory s oprávneniami pre jednotlivé priečinky a niekoho z trezoru opäť odobrať?
• Je trezor šifrovaný end-to-end a čo je a čo nie je zašifrované (napríklad adresy webových stránok)?
• Môžete trezor chrániť dvojfaktorovým overením (2FA) alebo passkey?
• Existuje núdzový prístup alebo postup obnovy a ako presne funguje?
• Môžete svoje údaje exportovať, ak chcete prejsť inam?
• Pri bezplatných verziách: aký je obchodný model?

End-to-end šifrovanie: čo ak niekto napadne poskytovateľa?

Pri dobrom cloudovom správcovi sa váš trezor šifruje vo vašom zariadení kľúčom, ktorý sa odvodzuje z vášho hlavného hesla. Poskytovateľ dostane iba zašifrovaný balík. Tomu sa hovorí end-to-end šifrovanie (niekedy "zero knowledge"). Poskytovateľ vaše heslá nedokáže prečítať, a preto vám ani nedokáže obnoviť hlavné heslo.

Ak útočník napadne poskytovateľa, môže ukradnúť zašifrované trezory. Potom sa ich môže pokúsiť prelomiť offline, ako v lekcii 2.1. Vaše hlavné heslo je v tej chvíli vašou jedinou ochranou. Preto:

• Hlavné heslo je dlhé a jedinečné: heslová fráza z aspoň piatich, radšej šiestich náhodných slov.
• Nikde inde ho nepoužívate.
• Po úniku u poskytovateľa zmeníte hlavné heslo aj heslá svojich najdôležitejších účtov. Starý, ukradnutý trezor je totiž zašifrovaný starým hlavným heslom.

Dvojfaktorové overenie (2FA) na trezore pomáha proti niekomu, kto pozná vaše hlavné heslo a chce sa prihlásiť cez webovú stránku. Nepomáha proti prelomeniu ukradnutého súboru trezoru. Hovorí to aj holandské NCSC: 2FA na správcovi nie je dôvodom na slabé hlavné heslo.

Ochrana hlavného hesla

Zabudnuté hlavné heslo je pri dobrom správcovi často definitívne stratené: poskytovateľ ho nedokáže získať späť. Preto si to vopred zariaďte:

• Napíšte si hlavné heslo na papier a uschovajte ho doma na bezpečnom mieste. Holandské NCSC to považuje za v poriadku, pokiaľ k nemu nenapíšete, na čo slúži.
• Vytvorte si súpravu na obnovu alebo núdzový kód, ktorý váš správca ponúka, vytlačte ho a uschovajte spolu s papierom.
• Hlavné heslo zadávajte iba do aplikácie alebo rozšírenia samotného správcu, nikdy na webovú stránku, ktorá si ho pýta.
• Zapnite automatické zamknutie po niekoľkých minútach nečinnosti.

Prečo automatické vypĺňanie pomáha proti phishingu

Správca hesiel prepojí každé heslo s adresou webovej stránky. Na https://mojabanka.example vaše heslo vyplní. Na podobne vyzerajúcej adrese ako https://rnojabanka.example (rn namiesto m) alebo https://mojabanka-bezpecne.example neurobí nič, pretože tieto adresy pri položke nie sú uložené.

Človek rozdiel medzi rn a m často nevidí. Správca porovnáva znaky a nie je unavený ani v zhone. Je to skutočná ochrana, ale iba ak ju necháte fungovať:

Váš správca zrazu nič nevyplní na stránke, kde to vždy fungovalo? Neobchádzajte to ručným skopírovaním hesla. Najprv si veľmi pozorne pozrite adresu. Presne v tejto chvíli vás správca varuje.

Niekedy existuje aj dobrý dôvod, prečo správca nevyplní heslo: služba sa presťahovala na novú adresu. Overte si to potom inou cestou, napríklad tak, že sami napíšete adresu, ktorú ste už poznali.

Zdieľanie v tíme

V malej firme sú vždy účty, ktoré používate spoločne: e-shop na eshop-platforma.example, účet u rychlokurier.example, sociálne siete firmy. Najlepšie je, ak má každý vlastný účet (modul 7). Ak to nie je možné, použite zdieľaný trezor:

• Vytvorte trezory alebo priečinky podľa témy ("E-shop", "Financie", "Sociálne siete") a prístup dajte iba tým, ktorí ho potrebujú.
• Nikdy nezdieľajte heslá cez e-mail, chat alebo tabuľku. Kto má prístup k zdieľanému trezoru, uvidí heslo tam.
• Niekto odchádza? Odoberte ho z trezoru a zmeňte heslá, ktoré mohol vidieť. Samotné odobratie z trezoru nestačí: heslá si mohol odpísať alebo uložiť.
• Zariaďte núdzový prístup: čo sa stane, ak vy ako vlastník ochoriete alebo vypadnete? Mnohí správcovia majú funkciu, pomocou ktorej dôveryhodná osoba získa prístup po čakacej lehote. Alebo uschovajte údaje na obnovu v zapečatenej obálke u druhej osoby.

V praxi: prechod za jedno popoludnie

1. Vyberte si správcu a nainštalujte ho do počítača a telefónu, spolu s rozšírením prehliadača.
2. Vytvorte hlavné heslo (heslovú frázu), zapíšte si ho a uschovajte súpravu na obnovu.
3. Zapnite dvojfaktorové overenie (2FA) na trezore.
4. Importujte heslá, ktoré už uložil váš prehliadač. Export je často nezašifrovaný súbor: hneď po importe ho vymažte, aj z koša.
5. Začnite najdôležitejšími účtami a každému dajte nové, náhodné heslo: vaša e-mailová schránka (info@example.com), váš hosting a registrácia domény, vaša banka a vaše účtovníctvo (napríklad na uctovnik.example).
6. Ostatné heslá aktualizujte, keď sa do účtov aj tak prihlasujete. Pomôžu vám upozornenia na opakované heslá.

Používate službu v prostredí WebOké, napríklad e-mailovú schránku alebo Nextcloud, s aplikáciami v telefóne? Na to si niekedy vytvoríte samostatné heslo pre aplikáciu (pozri článok 436 v znalostnej báze). Aj to uložte v správcovi, pri správnej položke. U iných poskytovateľov to funguje podobne.

Zhrnutie

• Správca hesiel vytvára, uchováva a vypĺňa jedinečné heslá; vy si pamätáte iba hlavné heslo.
• Druhy: zabudovaný v prehliadači alebo systéme, samostatná aplikácia s cloudom, lokálny, open source alebo s vlastným hostingom. Vyberajte podľa zariadení, zdieľania, šifrovania a obnovy.
• Pri end-to-end šifrovaní je vaše hlavné heslo poslednou obranou, ak niekto napadne poskytovateľa.
• Ak správca nič nevyplní, pozrite sa na adresu namiesto kopírovania hesla.
• Zdieľajte cez zdieľaný trezor a zmeňte heslá, keď niekto odchádza.

Kvíz

Úloha

Úloha D2.2: Nastavenie vášho správcu hesiel. Vyberte si správcu hesiel, vytvorte hlavné heslo a súpravu na obnovu, zapnite dvojfaktorové overenie (2FA) na trezore a svojim piatim najdôležitejším účtom dajte nové, jedinečné heslo. Odškrtnite kontrolný zoznam a odpovedzte na otázky na zamyslenie. Nikde nezadávate žiadne heslo.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Vytvoriť heslo pre aplikácie (potrebné na pripojenie aplikácií a zariadení)
• Návod na Nextcloud 3.5: Heslá aplikácií: kedy a ako ich použiť
• SK-CERT, odporúčania a rady ku kybernetickej bezpečnosti: https://www.sk-cert.sk/
• NBÚ (Národný bezpečnostný úrad): https://www.nbu.gov.sk/
• Správca hesiel a passkeys: takto si zabezpečíte prihlasovanie
• Správca hesiel v praxi 1.1: Prečo správca hesiel a čo vás táto príručka naučí
• Správca hesiel v praxi 1.2: Proton Pass, 1Password alebo váš prehliadač: ktorý je pre vás ten pravý?
• Správca hesiel v praxi 1.3: Vaše hlavné heslo: vytvorenie, uloženie a ako o ňe nikdy neprísť
• Správca hesiel v praxi 1.4: Porovnanie všetkých známych správcov hesiel: krajina, funkcie, recenzie a hodnotenie