Prenos gesel v upravitelja gesel

Modul 7: Sodelovanje, aplikacije in varnost · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste znali gesla varno prenesti iz brskalnika, listkov in preglednic v upravitelja gesel, ki ustreza Vaši novi ureditvi, vključno z deljenimi trezorji za ekipo.

Ključni pojmi: upravitelj gesel, trezor, glavno geslo, obnovitveni ključ, gesla v brskalniku (Google, Edge, Apple), izvoz kot csv, deljeni trezor ali zbirka, lastno gostovanje, odprta koda, šifriranje na Vaši lastni napravi (zero-knowledge), shranjevanje ključev za dostop (passkeys)

Pozabljeni del

Skoraj v vsakem popisu manjkajo gesla. Niso v storitvi v oblaku, ki jo odpovedujete, zato nanje nihče ne pomisli. Vendar so pogosto prav v središču. Pri Bakkerij De Korrel se po obhodu izkaže:

• večina gesel je shranjenih v Chromu, v Googlovem računu posamezne osebe;
• gesla za banko, veletrgovca in spletno trgovino so v preglednici wachtwoorden.xlsx v Google Drive;
• geslo za wifi in koda alarma visita na listku;
• dva sodelavca povsod uporabljata isto geslo.

Če Googlov račun izgine, z njim izginejo tudi gesla v Chromu. Preglednica z gesli v oblaku pa je ena prvih stvari, ki jih vsiljivec išče. Prehod je torej pravi trenutek, da to uredite.

Kaj počne upravitelj gesel

Upravitelj gesel je šifriran trezor za gesla, z aplikacijo na telefonu in računalniku ter razširitvijo v brskalniku. Zapomniti si morate eno močno glavno geslo; upravitelj za vsako spletno mesto ustvari dolgo, edinstveno geslo in ga izpolni namesto Vas.

Pomembno je, kje poteka šifriranje. Pri znanih upraviteljih se trezor šifrira na Vaši lastni napravi s ključem, ki je izpeljan iz Vašega glavnega gesla. Ponudnik hrani le šifriran trezor in Vaših gesel ne more prebrati. Temu pogosto pravimo "zero-knowledge". Posledica: če pozabite glavno geslo in nimate obnovitvenega ključa, Vam tudi ponudnik ne more pomagati.

Dober upravitelj gesla izpolni le na pravem naslovu. Lažno spletno mesto Vaše banke tako ne dobi ničesar, tudi če je videti povsem enako. To je dodatna zaščita pred lažnim predstavljanjem (phishingom).

Katere vrste obstajajo?

Naše priporočilo za večino ljudi in majhna podjetja: Proton Pass ali 1Password z računom na 1password.eu, če želite najpreprostejšo rešitev. Oba delujeta na Vašem Macu, Vašem računalniku z Windows, Vašem telefonu in v vseh brskalnikih, in oba imata deljene trezorje za ekipo. Bitwarden ostaja ameriško podjetje, tudi s hrambo v EU. KeePassXC deluje le na računalnikih; na telefonu potrebujete drugo aplikacijo. V priročniku Upravitelj gesel v praksi primerjamo 23 upraviteljev gesel glede preprostosti, varnosti ter EU/GDPR (glejte Nadaljnje branje). Tudi tu uporabite pet vprašanj iz lekcije 2.1 (sedež, lastnik, podatkovni center, podobdelovalci, ključ). Pri upravitelju gesel ima največjo težo zadnje vprašanje: kdo ima ključ? Če ga imate samo Vi, je lokacija šifriranega trezorja manj pomembna kot pri običajnih datotekah.

Prenos: izvoz, uvoz in takojšnji izbris

Skoraj vsak brskalnik in upravitelj lahko gesla izvozi kot datoteko csv. To je navadna besedilna datoteka, ki ima v vsaki vrstici spletno mesto, uporabniško ime in geslo, nešifrirano. Kdor datoteko odpre, lahko prebere vse. Zato:

1. To naredite na računalniku, ki mu zaupate, ne na deljenem računalniku v trgovini.
2. Izvozite na svoj računalnik, ne v sinhronizirano mapo ali v oblak. Sicer je nešifrirana datoteka v nekaj sekundah na strežniku, v različicah in v košu.
3. Datoteko takoj uvozite v novega upravitelja.
4. Z vzorčnim preverjanjem preverite, ali je vse pravilno (prijavite se na nekaj spletnih mest).
5. Datoteko csv takoj izbrišite in izpraznite tudi koš na računalniku.
6. Nato v brskalniku izklopite shranjevanje gesel, da ne nastane druga, zastarela kopija.

Preglednico z gesli prenesete tako, da podatke ročno vnesete v upravitelja (ali jih uvozite kot csv, po enakih pravilih). Preglednico nato izbrišite, tudi iz koša in zgodovine različic v starem oblaku. Spremenite najpomembnejša gesla, ki so bila v njej, saj ne veste, kdo je datoteko videl v vseh teh letih.

Bodite pozorni tudi na ključe za dostop (passkeys) (lekcija 7.3). Ključa za dostop, shranjenega v Vašem Googlovem ali Applovem računu, ni vedno mogoče izvoziti. Za pomembna spletna mesta v novem upravitelju ustvarite nov ključ za dostop ali poskrbite, da sta Vaše geslo in drugi korak znana, preden ukinete stari račun.

Deljenje v ekipi

Nekatera gesla pripadajo organizaciji, ne posamezniku: banka, veletrgovec, računi na družbenih omrežjih, wifi. Za ta gesla v upravitelju uporabite deljeni trezor ali zbirko:

• Ustvarite trezor za vsako skupino: "Trgovina", "Administracija", "Upravljanje". Ni treba, da vsi vidijo vse.
• Gesla nikoli ne delite prek klepeta ali e-pošte. Tudi "na hitro" ne.
• Ko nekdo odide, ga odstranite iz deljenih trezorjev in spremenite gesla, do katerih je imel dostop in si jih je morda zapomnil ali kopiral.

Glavno geslo in dan, ko gre kaj narobe

Glavno geslo je edini ključ. Izberite dolg stavek iz štirih do šestih naključnih besed, ki ga ne uporabljate nikjer drugje. Tudi na samem upravitelju vklopite dvostopenjsko preverjanje (2FA).

Obnovitev uredite vnaprej:

• Obnovitveni ključ ali dostop v sili, ki ga ponuja Vaš upravitelj, hranite na papirju, na varnem mestu.
• Za organizacijo se dogovorite, kdo dobi dostop ob smrti ali dolgotrajni bolezni lastnika. Mnogi upravitelji imajo za to funkcijo dostopa v sili.
• Sem sodijo tudi varnostne kode Vaših najpomembnejših računov, ali pa na papir (lekcija 7.3). Ne v trezor, do katerega pridete samo s temi računi.

V praksi: tako je videti pri ponudniku

WebOké Nextcloud nima ločenega upravitelja gesel; ob svojem oblaku uporabljate samostojnega upravitelja gesel, na primer Proton Pass ali 1Password. Priročnik Upravitelj gesel v praksi ta dva razloži korak za korakom: ustvarjanje računa, namestitev, prenos, deljenje in dostop v sili. Tudi priročnik o varnosti WebOké Nextcloud sam priporoča upravitelja gesel in ga navaja kot dobro mesto za Vaše varnostne kode.

Pri drugih evropskih storitvah v oblaku je podobno: upravitelj gesel je običajno samostojna storitev ali aplikacija ob Vašem oblaku.

Povzetek

• Gesla v brskalniku Vašega starega računa izginejo, ko ta račun ukinete. Prenesite jih vnaprej.
• Upravitelj gesel šifrira na Vaši lastni napravi; glavno geslo je edini ključ.
• Izvoz csv je nešifriran: nikoli v sinhronizirano mapo, takoj uvozite, takoj izbrišite.
• Za gesla organizacije uporabljajte deljene trezorje po skupinah in jih ob odhodu sodelavca spremenite.
• Obnovitev in dostop v sili uredite vnaprej, na papirju.

Kviz

Naloga

Naloga E7.4: Pregled gesel in načrt prenosa. Ugotovite, kje so gesla v Vaši organizaciji trenutno shranjena (brskalnik pri vsaki osebi, preglednice, listki, deljeni računi), s petimi vprašanji iz lekcije 2.1 izberite upravitelja gesel in napišite načrt prenosa: kdo izvozi kaj, na katerem računalniku, kdaj se datoteka csv izbriše in kateri deljeni trezorji bodo nastali.

Nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih je postopek podoben.

• Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
• Priročnik za Nextcloud 3.3: Namestitev overjevalnega programa in shranjevanje varnostnih kod
• NCSC (nizozemski Nacionalni center za kibernetsko varnost), Beginnen met cybersecurity (v nizozemščini): https://www.ncsc.nl/beginnen-met-cybersecurity
• Upravitelj gesel in ključi za dostop: tako varno uredite svojo prijavo
• Upravitelj gesel v praksi 4.1: Uvoz gesel iz brskalnikov Chrome, Edge, Firefox in Safari
• Upravitelj gesel v praksi 4.2: Prehod z LastPass, Bitwarden ali drugega upravitelja gesel
• Upravitelj gesel v praksi 1.4: Vsi znani upravitelji gesel v primerjavi: država, možnosti, mnenja in ocene