Presun hesiel do správcu hesiel

Modul 7: Spolupráca, aplikácie a bezpečnosť · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii budete vedieť bezpečne presunúť heslá z prehliadača, papierikov a tabuliek do správcu hesiel, ktorý zodpovedá vášmu novému riešeniu, vrátane zdieľaných trezorov pre tím.

Kľúčové pojmy: správca hesiel, trezor, hlavné heslo, kľúč na obnovenie, heslá v prehliadači (Google, Edge, Apple), export ako csv, zdieľaný trezor alebo kolekcia, vlastný hosting, open source, šifrovanie vo vašom vlastnom zariadení (zero-knowledge), ukladanie prístupových kľúčov (passkeys)

Zabudnutá súčasť

Takmer v každom inventári chýbajú heslá. Nenachádzajú sa v cloudovej službe, ktorú rušíte, a preto na ne nikto nepomyslí. Napriek tomu sú často priamo v nej. V Pekárni Zrnko sa po obchôdzke ukáže:

• väčšina hesiel je uložená v prehliadači Chrome, v Google účte danej osoby;
• heslá do banky, k veľkoobchodu a do e-shopu sú v tabuľke wachtwoorden.xlsx na Google Drive;
• heslo k Wi-Fi a kód alarmu visia na papieriku;
• dvaja kolegovia používajú všade rovnaké heslo.

Ak zmizne Google účet, zmiznú s ním aj heslá v Chrome. A tabuľka s heslami v cloude je jedna z prvých vecí, ktoré útočník hľadá. Prechod je preto správny okamih na vyriešenie tohto problému.

Čo robí správca hesiel

Správca hesiel je šifrovaný trezor na heslá s aplikáciou v telefóne a počítači a s rozšírením v prehliadači. Pamätáte si jedno silné hlavné heslo; správca vytvorí pre každú stránku dlhé, jedinečné heslo a vyplní ho za vás.

Dôležité je, kde prebieha šifrovanie. Pri známych správcoch sa trezor šifruje vo vašom vlastnom zariadení kľúčom, ktorý je odvodený z vášho hlavného hesla. Poskytovateľ uchováva len zašifrovaný trezor a vaše heslá nemôže čítať. Často sa to nazýva „zero-knowledge“. Dôsledok: ak zabudnete hlavné heslo a nemáte kľúč na obnovenie, nepomôže vám ani poskytovateľ.

Dobrý správca tiež vypĺňa heslo len na skutočnej adrese. Falošná stránka vašej banky teda nedostane nič, aj keď vyzerá úplne rovnako. Je to dodatočná ochrana pred phishingom.

Aké druhy existujú?

Naša rada pre väčšinu ľudí a malých firiem: Proton Pass, alebo 1Password s účtom na 1password.eu, ak chcete úplne najjednoduchšie riešenie. Oba fungujú na vašom Macu, počítači s Windows, telefóne aj vo všetkých prehliadačoch a oba majú zdieľané trezory pre tím. Bitwarden zostáva americkou spoločnosťou, aj s ukladaním v EÚ. KeePassXC funguje len na počítačoch; v telefóne potrebujete inú aplikáciu. V príručke Správca hesiel v praxi porovnávame 23 správcov hesiel z hľadiska pohodlia, bezpečnosti a EÚ/GDPR (pozri Ďalšie čítanie). Aj tu použite päť otázok z lekcie 2.1 (sídlo, vlastník, dátové centrum, ďalší sprostredkovatelia, kľúč). Pri správcovi hesiel má najväčšiu váhu posledná otázka: kto má kľúč? Ak ho máte len vy, záleží na tom, kde je zašifrovaný trezor uložený, menej ako pri bežných súboroch.

Presun: export, import a okamžité zmazanie

Takmer každý prehliadač a správca vie heslá exportovať ako súbor csv. Je to obyčajný textový súbor, ktorý má na každom riadku stránku, používateľské meno a heslo, nezašifrované. Každý, kto súbor otvorí, si môže všetko prečítať. Preto:

1. Robte to na počítači, ktorému dôverujete, nie na zdieľanom počítači v predajni.
2. Exportujte do svojho vlastného počítača, nie do synchronizovaného priečinka ani do cloudu. Inak bude nezašifrovaný súbor v priebehu niekoľkých sekúnd na serveri, vo verziách aj v koši.
3. Ihneď ho importujte do nového správcu.
4. Náhodne skontrolujte, či je všetko v poriadku (prihláste sa na niekoľko stránok).
5. Súbor csv okamžite vymažte a vyprázdnite aj kôš v počítači.
6. Potom v prehliadači vypnite ukladanie hesiel, aby nevznikla druhá, zastaraná kópia.

Tabuľku s heslami prenesiete tak, že údaje do správcu zadáte ručne (alebo ich importujete ako csv, podľa rovnakých pravidiel). Tabuľku potom vymažte, aj z koša a histórie verzií v starom cloude. Zmeňte najdôležitejšie heslá, ktoré v nej boli, pretože neviete, kto súbor v priebehu rokov videl.

Dajte si pozor aj na prístupové kľúče (passkeys) (lekcia 7.3). Prístupový kľúč uložený vo vašom Google alebo Apple účte sa nedá vždy exportovať. Pri dôležitých stránkach si v novom správcovi vytvorte nový prístupový kľúč alebo zabezpečte, aby ste poznali heslo a druhý krok overenia, ešte predtým, ako starý účet zrušíte.

Zdieľanie v tíme

Niektoré heslá patria organizácii, nie osobe: banka, veľkoobchod, účty na sociálnych sieťach, Wi-Fi. Použite na ne zdieľaný trezor alebo kolekciu v správcovi:

• Vytvorte trezor pre každú skupinu: „Predajňa“, „Účtovníctvo“, „Administrácia“. Nie každý musí vidieť všetko.
• Nikdy nezdieľajte heslo cez chat ani e-mail. Ani „len rýchlo“.
• Ak niekto odchádza, odoberte ho zo zdieľaných trezorov a zmeňte heslá, ku ktorým mal prístup a ktoré si mohol zapamätať alebo skopírovať.

Hlavné heslo a deň, keď sa niečo pokazí

Hlavné heslo je jediný kľúč. Zvoľte dlhú frázu zo štyroch až šiestich náhodných slov, ktorú nepoužívate nikde inde. Aj na samotnom správcovi zapnite dvojfaktorové overenie (2FA).

Obnovenie si zabezpečte vopred:

• Kľúč na obnovenie alebo núdzový prístup, ktorý váš správca ponúka, uchovávajte na papieri, na bezpečnom mieste.
• V rámci organizácie sa dohodnite, kto získa prístup v prípade úmrtia alebo dlhodobej choroby vlastníka. Mnohí správcovia majú na to funkciu núdzového prístupu.
• Sem patria aj záložné kódy vašich najdôležitejších účtov, alebo na papier (lekcia 7.3). Nie do trezoru, do ktorého sa dostanete len pomocou týchto účtov.

V praxi: takto to vyzerá u poskytovateľa

V cloude WebOké Nextcloud nie je samostatný správca hesiel; popri svojom cloude používate samostatného správcu hesiel, napríklad Proton Pass alebo 1Password. Príručka Správca hesiel v praxi vysvetľuje oba krok za krokom: vytvorenie účtu, inštaláciu, presun, zdieľanie a núdzový prístup. Aj príručka o zabezpečení WebOké Nextcloud odporúča správcu hesiel a uvádza ho ako vhodné miesto pre vaše záložné kódy.

Pri iných európskych cloudových službách to funguje podobne: správca hesiel je zvyčajne samostatná služba alebo aplikácia popri vašom cloude.

Zhrnutie

• Heslá v prehliadači vášho starého účtu zmiznú spolu s ním, keď účet zrušíte. Preneste ich vopred.
• Správca hesiel šifruje vo vašom vlastnom zariadení; hlavné heslo je jediný kľúč.
• Export do csv je nezašifrovaný: nikdy nie do synchronizovaného priečinka, ihneď importovať, ihneď zmazať.
• Na heslá organizácie používajte zdieľané trezory podľa skupín a pri odchode niekoho ich zmeňte.
• Obnovenie a núdzový prístup si zabezpečte vopred, na papieri.

Kvíz

Úloha

Úloha E7.4: Prehľad hesiel a plán presunu. Zistite, kde sa heslá vo vašej organizácii teraz nachádzajú (prehliadač každej osoby, tabuľky, papieriky, zdieľané účty), vyberte správcu hesiel pomocou piatich otázok z lekcie 2.1 a napíšte plán presunu: kto exportuje čo, na ktorom počítači, kedy sa súbor csv vymaže a aké zdieľané trezory vzniknú.

Ďalšie čítanie

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
• Návod na Nextcloud 3.3: Nastavenie aplikácie autentifikátora a uloženie záložných kódov
• NCSC (holandské Národné centrum kybernetickej bezpečnosti), Beginnen met cybersecurity (v holandčine): https://www.ncsc.nl/beginnen-met-cybersecurity
• Správca hesiel a passkeys: takto si zabezpečíte prihlasovanie
• Správca hesiel v praxi 4.1: Import hesiel z prehliadačov Chrome, Edge, Firefox a Safari
• Správca hesiel v praxi 4.2: Prechod z LastPass, Bitwarden alebo iného správcu hesiel
• Správca hesiel v praxi 1.4: Porovnanie všetkých známych správcov hesiel: krajina, funkcie, recenzie a hodnotenie