Menedżer haseł i klucze dostępu (passkeys): jak bezpiecznie zorganizować swoje logowanie
Każde konto wymaga własnego, długiego hasła. Jeśli używają Państwo tego samego hasła w wielu miejscach, wszystkie konta są zagrożone, gdy tylko jedno z nich wycieknie. Nikt nie jest w stanie zapamiętać osiemdziesięciu różnych haseł. Menedżer haseł robi to za Państwa. Tam, gdzie to możliwe, warto zastąpić hasło kluczem dostępu (passkey), którego fałszywe strony nie mogą wykorzystać.
Co robi menedżer haseł
- Tworzy dla każdej usługi długie, losowe hasło: co najmniej 15 znaków lub frazę hasłową złożoną z pięciu lub sześciu losowych słów.
- Przechowuje wszystko w zaszyfrowanej postaci w skarbcu.
- Wypełnia hasło na właściwej stronie internetowej i tylko tam.
- Często ostrzega przed zdublowanymi lub wyciekłymi hasłami, a także może przechowywać kody do weryfikacji dwuetapowej oraz klucze dostępu.
Muszą Państwo zapamiętać tylko jedno: hasło główne do skarbca.
Rodzaje
| Rodzaj | Zaleta | Na co zwrócić uwagę |
|---|---|---|
| Wbudowany w przeglądarkę lub telefon | Już dostępny i łatwy w użyciu | Często brak osobnego hasła głównego: kto ma dostęp do Państwa komputera, ma dostęp do haseł. Mniej odpowiedni dla różnych systemów i do udostępniania. |
| Osobna aplikacja z synchronizacją u dostawcy | Działa na wszystkich urządzeniach, z udostępnionymi skarbcami dla zespołu | Muszą Państwo ufać dostawcy; hasło główne musi być silne |
| Lokalny plik skarbca na własnym komputerze | Wszystko we własnych rękach | Trzeba samodzielnie zadbać o kopię zapasową i synchronizację; udostępnianie jest trudniejsze |
Znanymi przykładami są Bitwarden, 1Password, KeePassXC i Proton Pass, obok menedżerów wbudowanych w przeglądarki i telefony. Nie jest to rekomendacja. Przy wyborze warto zwrócić uwagę na: czy działa na wszystkich Państwa urządzeniach, czy można udostępniać skarbce i ponownie odebrać komuś dostęp, czy skarbiec można zabezpieczyć weryfikacją dwuetapową, czy istnieje dostęp awaryjny oraz czy można wyeksportować dane, jeśli zechcą Państwo zmienić dostawcę.
Hasło główne
- Niech to będzie fraza hasłowa złożona z pięciu lub sześciu losowych słów, wybranych przez generator, a nie przez Państwa samodzielnie. Tekst piosenki lub przysłowie można zbyt łatwo odgadnąć.
- Nie używają Państwo tego hasła nigdzie indziej i wpisują je wyłącznie w aplikacji lub rozszerzeniu samego menedżera.
- Włączają Państwo weryfikację dwuetapową dla skarbca. Nie jest to powód do skrócenia hasła głównego: jeśli dostawca zostanie zhakowany, hasło główne jest jedynym zabezpieczeniem skradzionego skarbca.
- Zapomnienie hasła jest często nieodwracalne, ponieważ dostawca nie może go odzyskać. Proszę zapisać je na papierze, bez podawania, do czego służy, i przechowywać w domu w bezpiecznym miejscu, razem z kodem odzyskiwania menedżera.
- Proszę włączyć automatyczne blokowanie po kilku minutach bezczynności.
rn a m. Zobacz Rozpoznawanie phishingu: jak czytać link i nadawcę.Udostępnianie w zespole i dostęp awaryjny
- Najlepiej dać każdemu własne konto. Jeśli jednak muszą Państwo udostępnić dane logowania, prosimy używać udostępnionego skarbca dla danego tematu i przyznawać dostęp tylko osobom, które go potrzebują. Nigdy nie należy udostępniać danych przez e-mail, czat ani arkusz kalkulacyjny.
- Gdy ktoś odchodzi, proszę usunąć go ze skarbca i zmienić hasła, które mógł widzieć.
- Proszę zorganizować dostęp awaryjny na wypadek, gdyby Państwu coś się przydarzyło: wiele menedżerów pozwala zaufanej osobie uzyskać dostęp po okresie oczekiwania. Można też przechowywać dane odzyskiwania w zapieczętowanej kopercie u drugiej osoby.
Klucze dostępu (passkeys) i klucze bezpieczeństwa
Klucz dostępu (passkey) zastępuje hasło. Jest to para kluczy: część tajna pozostaje na Państwa urządzeniu lub w menedżerze haseł, a strona internetowa przechowuje jedynie część publiczną. Klucz dostępu odblokowują Państwo odciskiem palca, twarzą lub kodem PIN, co odbywa się na własnym urządzeniu.
- Nie działa na fałszywej stronie. Klucz dostępu jest powiązany z prawdziwą domeną, co sprawdza przeglądarka. Na stronie podszywającej się pod oryginał nie ma klucza dostępu, więc nie ma nic, co można by przypadkowo wypełnić lub zatwierdzić.
- Nic do złamania. Jeśli strona internetowa wycieknie, atakujący uzyska jedynie klucze publiczne.
- Klucz bezpieczeństwa to małe urządzenie do portu usb lub do przyłożenia do telefonu, zawierające klucze dostępu, których nie można z niego usunąć. Proszę zawsze zarejestrować co najmniej dwa klucze i przechowywać zapasowy klucz w innym miejscu.
- Jeśli klucz dostępu znajduje się w menedżerze haseł lub na koncie telefonu, zostanie przeniesiony na inne Państwa urządzenia. Proszę wtedy dodatkowo dobrze zabezpieczyć to konto.
- Hasło często nadal działa. Proszę więc zadbać, by było długie i unikalne.
W WebOké
| Usługa | Co jest możliwe? |
|---|---|
| Nextcloud | Logowanie kluczem dostępu lub kluczem bezpieczeństwa jest możliwe przy opcji Logowanie bez hasła. Państwa hasło i inne metody nadal działają. Dla aplikacji tworzą Państwo hasło do aplikacji; proszę przechowywać je również w menedżerze. Zobacz Konfigurowanie aplikacji uwierzytelniającej i przechowywanie kodów zapasowych. |
| Moje WebOké | Brak kluczy dostępu. Po podaniu hasła Moje WebOké zawsze wymaga kodu logowania przesyłanego e-mailem (Kod logowania przesyłany e-mailem) lub kodu z aplikacji uwierzytelniającej. Nie ma kodów odzyskiwania: jeśli aplikacja zostanie utracona, prosimy skontaktować się z nami. |
| DirectAdmin | Uwierzytelnianie dwuetapowe z aplikacją uwierzytelniającą i kodami zapasowymi, zobacz Konfigurowanie uwierzytelniania dwuetapowego. |
| Skrzynki pocztowe | Program pocztowy loguje się za pomocą hasła. Proszę nadać każdej skrzynce pocztowej własne, długie hasło z menedżera. |
Więcej o silnych hasłach można przeczytać w Bezpieczne hasła i postępowanie w przypadku wycieku hasła oraz u NCSC w Hoe kies ik een wachtwoordmanager? i Hoe kies je een MFA methode?