Izbira in uporaba upravitelja gesel

Modul 2: Gesla in prijava · Čas branja: 9 minut

Učni cilj: Po tej lekciji boste znali izbrati in nastaviti upravitelja gesel, zaščititi glavno geslo in varno deliti gesla v ekipi.

Ključni pojmi: upravitelj gesel, glavno geslo, trezor, šifriranje od konca do konca, deljeni trezor, dostop v sili, upravitelj gesel v brskalniku

Kaj počne upravitelj gesel

V lekciji 2.1 ste videli, da vsak račun potrebuje svoje dolgo in naključno geslo. Nihče si jih ne zapomni osemdeset. Upravitelj gesel je programska oprema, ki to naredi namesto Vas. Ta:

• za vsako storitev ustvari močno, naključno geslo;
• vsa gesla shrani šifrirana v trezor;
• jih vnese na pravi spletni strani in samo tam;
• pogosto opozori na šibka, podvojena ali razkrita gesla;
• pri mnogih izdelkih lahko shrani tudi kode za dvostopenjsko preverjanje (2FA) in passkeye (lekciji 2.3 in 2.4).

Zapomniti si morate le še eno geslo: glavno geslo, s katerim odprete trezor. Nizozemski NCSC priporoča upravitelja gesel kot trdno osnovo, tudi za majhne organizacije, z jasnimi dogovori, katerega upravitelja uporabljate in za katere račune je obvezen.

Vrste upraviteljev gesel

Ena sama najboljša vrsta ne obstaja. Nizozemski NCSC razlikuje med upraviteljem v brskalniku in samostojno aplikacijo ter med spletnim (v oblaku) in nespletnim (lokalnim). V praksi boste naleteli na te oblike:

Znani primeri samostojnih upraviteljev so Proton Pass, 1Password, Bitwarden in KeePassXC, poleg upraviteljev, ki so vgrajeni v brskalnike in operacijske sisteme. V priročniku Upravitelj gesel v praksi primerjamo 23 upraviteljev gesel glede preprostosti, varnosti in zasebnosti (EU in GDPR), z državo podjetja, ceno in ocenami (glejte Dodatno branje). Naš nasvet tam: Proton Pass ali 1Password, če želite najpreprostejšo rešitev. Če niste prepričani, se odločite na podlagi spodnjih vprašanj.

Vprašanja pri izbiri

• Ali deluje na vseh Vaših napravah in brskalnikih, tudi na tistih Vaših sodelavcev?
• Ali lahko delite trezorje s pravicami za posamezno mapo in nekoga iz trezorja tudi odstranite?
• Ali je trezor šifriran od konca do konca in kaj je šifrirano ter kaj ne (na primer naslovi spletnih strani)?
• Ali lahko trezor zavarujete z dvostopenjskim preverjanjem (2FA) ali passkeyem?
• Ali obstaja dostop v sili ali postopek obnovitve in kako točno deluje?
• Ali lahko svoje podatke izvozite, če želite zamenjati upravitelja?
• Pri brezplačnih različicah: kakšen je poslovni model?

Šifriranje od konca do konca: kaj, če ponudnika vdrejo?

Pri dobrem upravitelju v oblaku se Vaš trezor šifrira na Vaši napravi s ključem, ki je izpeljan iz Vašega glavnega gesla. Ponudnik prejme samo šifriran paket. Temu pravimo šifriranje od konca do konca (včasih "zero knowledge"). Ponudnik Vaših gesel ne more prebrati, zato Vam tudi glavnega gesla ne more ponastaviti.

Če ponudnika vdrejo, lahko napadalec ukrade šifrirane trezorje. Nato jih lahko poskuša razbiti brez povezave, kot v lekciji 2.1. Takrat je Vaše glavno geslo Vaša edina zaščita. Zato:

• Glavno geslo je dolgo in edinstveno: geselska fraza iz najmanj petih, raje šestih naključnih besed.
• Ne uporabljate ga nikjer drugje.
• Po uhajanju podatkov pri ponudniku spremenite glavno geslo in tudi gesla svojih najpomembnejših računov. Stari, ukradeni trezor je namreč šifriran s starim glavnim geslom.

Dvostopenjsko preverjanje (2FA) na trezorju pomaga proti nekomu, ki pozna Vaše glavno geslo in se želi prijaviti prek spletne strani. Ne pomaga pa proti razbijanju ukradene datoteke trezorja. Tudi nizozemski NCSC poudarja: 2FA na upravitelju ni razlog za šibko glavno geslo.

Zaščita glavnega gesla

Če pri dobrem upravitelju pozabite glavno geslo, je to pogosto dokončno: ponudnik ga ne more pridobiti nazaj. Zato to uredite vnaprej:

• Glavno geslo zapišite na papir in ga hranite doma na varnem mestu. Nizozemski NCSC to odobrava, dokler zraven ne napišete, čemu je namenjeno.
• Ustvarite komplet za obnovitev ali kodo za nujne primere, ki jo ponuja Vaš upravitelj, jo natisnite in hranite skupaj s papirjem.
• Glavno geslo vnašajte samo v aplikacijo ali razširitev upravitelja, nikoli na spletno stran, ki ga zahteva.
• Vklopite samodejno zaklepanje po nekaj minutah nedejavnosti.

Zakaj samodejno izpolnjevanje pomaga proti phishingu

Upravitelj gesel vsako geslo poveže z naslovom spletne strani. Na https://mojabanka.example vnese Vaše geslo. Na posnemovalnem naslovu, kot je https://rnojabanka.example (rn namesto m), ali https://mojabanka-varno.example ne naredi ničesar, ker ta naslova nista shranjena pri vnosu.

Človek razlike med rn in m pogosto ne opazi. Upravitelj primerja znake in ni nikoli utrujen ali v naglici. To je prava zaščita, vendar le, če ji pustite delovati:

Vaš upravitelj nenadoma ne izpolni ničesar na strani, kjer je to vedno storil? Ne obidite ga tako, da geslo ročno kopirate. Najprej zelo natančno preglejte naslov. Prav v tem trenutku Vas upravitelj opozarja.

Včasih obstaja tudi dober razlog, da upravitelj ne izpolni gesla: storitev se je preselila na nov naslov. To preverite po drugi poti, na primer tako, da sami vtipkate naslov, ki ste ga že poznali.

Deljenje v ekipi

V majhnem podjetju so vedno računi, ki jih uporabljate skupaj: spletna trgovina na platforma-spletnih-trgovin.example, račun pri hitrikurir.example, družbena omrežja podjetja. Najbolje je, da ima vsak svoj račun (modul 7). Če to ni mogoče, uporabite deljeni trezor:

• Ustvarite trezorje ali mape po temah ("Spletna trgovina", "Finance", "Družbena omrežja") in dostop dajte samo tistim, ki ga potrebujejo.
• Gesel nikoli ne delite po e-pošti, klepetu ali v preglednici. Kdor ima dostop do deljenega trezorja, vidi geslo tam.
• Nekdo odhaja? Odstranite ga iz trezorja in spremenite gesla, ki jih je lahko videl. Samo odstranitev iz trezorja ni dovolj: gesla si je morda prepisal ali shranil.
• Uredite dostop v sili: kaj se zgodi, če ste Vi, lastnik, bolni ali odsotni? Mnogi upravitelji imajo funkcijo, s katero zaupanja vredna oseba po čakalni dobi dobi dostop. Lahko pa podatke za obnovitev hranite v zapečateni ovojnici pri drugi osebi.

V praksi: prehod v enem popoldnevu

1. Izberite upravitelja in ga namestite na računalnik in telefon, skupaj z razširitvijo brskalnika.
2. Ustvarite glavno geslo (geselsko frazo), ga zapišite in shranite komplet za obnovitev.
3. Na trezorju vklopite dvostopenjsko preverjanje (2FA).
4. Uvozite gesla, ki jih je Vaš brskalnik že shranil. Izvoz je pogosto nešifrirana datoteka: takoj po uvozu jo izbrišite, tudi iz koša.
5. Začnite pri najpomembnejših računih in vsakemu dodelite novo, naključno geslo: Vaš poštni predal (info@example.com), Vaše gostovanje (hosting) in registracija domene, Vaša banka in Vaše računovodstvo (na primer na knjigovodko.example).
6. Ostale posodobite, ko se tako ali tako prijavite. Opozorila na podvojena gesla Vam pri tem pomagajo.

Ali uporabljate storitev v okolju WebOké, na primer poštni predal ali Nextcloud, z aplikacijami na telefonu? Za to včasih ustvarite ločeno geslo za aplikacijo (glejte Bazo znanja 436). Tudi to shranite v upravitelja, pri pravem vnosu. Pri drugih ponudnikih deluje podobno.

Povzetek

• Upravitelj gesel ustvarja, shranjuje in vnaša edinstvena gesla; Vi si zapomnite le glavno geslo.
• Vrste: vgrajen v brskalnik ali sistem, samostojna aplikacija z oblakom, lokalni, odprtokodni ali na lastnem strežniku. Izberite glede na naprave, deljenje, šifriranje in obnovitev.
• Pri šifriranju od konca do konca je Vaše glavno geslo zadnja obramba, če ponudnika vdrejo.
• Če upravitelj ne izpolni gesla, preglejte naslov, namesto da geslo kopirate.
• Delite prek deljenega trezorja in spremenite gesla, ko kdo odide.

Kviz

Naloga

Naloga D2.2: Nastavitev Vašega upravitelja gesel. Izberite upravitelja gesel, ustvarite glavno geslo in komplet za obnovitev, na trezorju vklopite dvostopenjsko preverjanje (2FA) in svojim petim najpomembnejšim računom dodelite novo, edinstveno geslo. Označite kontrolni seznam in odgovorite na vprašanja za razmislek. Gesla ne vnašate nikamor.

Dodatno branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Ustvarite geslo za aplikacije (potrebno za povezavo z aplikacijami in napravami)
• Priročnik za Nextcloud 3.5: Gesla programov: kdaj in kako
• SI-CERT, nasveti za varnost na spletu: https://www.cert.si/
• ENISA, Agencija Evropske unije za kibernetsko varnost: https://www.enisa.europa.eu/
• Upravitelj gesel in ključi za dostop: tako varno uredite svojo prijavo
• Upravitelj gesel v praksi 1.1: Zakaj upravitelj gesel in kaj Vas bo naučil ta priročnik
• Upravitelj gesel v praksi 1.2: Proton Pass, 1Password ali brskalnik: kateri je pravi za Vas?
• Upravitelj gesel v praksi 1.3: Vaše glavno geslo: kako ga ustvarite, shranite in nikoli ne izgubite
• Upravitelj gesel v praksi 1.4: Vsi znani upravitelji gesel v primerjavi: država, možnosti, mnenja in ocene