Menedżer haseł i passkeys: jak bezpiecznie zadbać o logowanie
Każde konto potrzebuje własnego, długiego hasła. Jeśli używają Państwo tego samego hasła w wielu miejscach, wszystkie konta stoją otworem, gdy tylko jedno z nich wycieknie. Nikt nie zapamięta osiemdziesięciu różnych haseł. Menedżer haseł zrobi to za Państwa. Tam, gdzie to możliwe, warto zastąpić hasło kluczem passkey, którego fałszywe strony nie mogą wykorzystać.
Co robi menedżer haseł
- Tworzy dla każdej usługi długie, losowe hasło: co najmniej 15 znaków albo frazę hasłową z pięciu lub sześciu losowych słów.
- Przechowuje wszystko w zaszyfrowanym sejfie.
- Wpisuje hasło na właściwej stronie internetowej i tylko tam.
- Często ostrzega przed powtarzającymi się lub wykradzionymi hasłami, a także może przechowywać kody weryfikacji dwuetapowej i passkeys.
Muszą Państwo pamiętać już tylko jedno hasło: hasło główne do sejfu.
Rodzaje
| Rodzaj | Zaleta | Na co uważać |
|---|---|---|
| Wbudowany w przeglądarkę lub telefon | Już dostępny i wygodny | Często bez osobnego hasła głównego: kto dostanie się do Państwa komputera, ma dostęp do haseł. Mniej odpowiedni dla różnych systemów i do udostępniania. |
| Osobna aplikacja z synchronizacją przez dostawcę | Działa na wszystkich Państwa urządzeniach, ze wspólnymi sejfami dla zespołu | Ufają Państwo dostawcy; hasło główne musi być silne |
| Lokalny plik sejfu na własnym komputerze | Pełna kontrola | Kopię zapasową i synchronizację trzeba zapewnić samodzielnie; udostępnianie jest trudniejsze |
Nasza rekomendacja: Proton Pass (szwajcarska firma z rozbudowaną wersją bezpłatną) lub 1Password z kontem na 1password.eu (kanadyjska firma, płatny i bardzo wygodny). Oba działają na komputerze Mac, komputerze z systemem Windows, telefonie oraz we wszystkich popularnych przeglądarkach. Bitwarden również jest dobry, ale to firma amerykańska: obowiązuje ją prawo amerykańskie, nawet jeśli Państwa sejf znajduje się w UE. W poradniku Menedżer haseł w praktyce porównujemy 23 menedżery haseł pod względem wygody, bezpieczeństwa oraz UE/RODO i krok po kroku wyjaśniamy, jak skonfigurować Proton Pass lub 1Password.
Przy wyborze warto sprawdzić: czy działa na wszystkich Państwa urządzeniach, czy można udostępniać sejfy i ponownie odebrać komuś dostęp, czy sejf można zabezpieczyć weryfikacją dwuetapową, czy jest dostęp awaryjny i czy można wyeksportować dane w razie zmiany dostawcy?
Hasło główne
- Prosimy utworzyć frazę hasłową z pięciu lub sześciu losowych słów, wybranych przez generator, a nie samodzielnie. Tekst piosenki lub przysłowie łatwo odgadnąć.
- Prosimy nie używać go nigdzie indziej i wpisywać je wyłącznie w aplikacji lub rozszerzeniu samego menedżera.
- Prosimy włączyć weryfikację dwuetapową dla sejfu. Nie jest to powód, by skracać hasło główne: jeśli dostawca zostanie zhakowany, hasło główne będzie jedyną ochroną skradzionego sejfu.
- Zapomnienie hasła jest często nieodwracalne, ponieważ dostawca nie może go odzyskać. Prosimy zapisać je na papierze, bez informacji, do czego służy, i przechowywać w bezpiecznym miejscu w domu, razem z kodem odzyskiwania menedżera.
- Prosimy włączyć automatyczne blokowanie po kilku minutach bezczynności.
rn a m. Zobacz Jak rozpoznać phishing: jak czytać link i nadawcę.Udostępnianie w zespole i dostęp awaryjny
- Najlepiej, aby każdy miał własne konto. Jeśli jednak muszą Państwo udostępnić dane logowania, prosimy użyć wspólnego sejfu dla danego tematu i przyznać dostęp tylko osobom, które go potrzebują. Nigdy nie udostępniajcie haseł przez e-mail, czat ani arkusz kalkulacyjny.
- Gdy ktoś odchodzi, prosimy usunąć go z sejfu oraz zmienić hasła, które mógł zobaczyć.
- Prosimy zorganizować dostęp awaryjny na wypadek, gdyby Państwo nie mogli działać: wiele menedżerów wpuszcza zaufaną osobę po upływie okresu oczekiwania. Można też przechowywać dane odzyskiwania w zapieczętowanej kopercie u drugiej osoby.
Passkeys i klucze bezpieczeństwa
Passkey zastępuje hasło. To para kluczy: część tajna pozostaje na Państwa urządzeniu lub w menedżerze haseł, a strona internetowa przechowuje tylko część publiczną. Passkey odblokowują Państwo odciskiem palca, twarzą lub kodem PIN; odbywa się to na Państwa własnym urządzeniu.
- Nie działa na fałszywej stronie. Passkey jest powiązany z prawdziwą domeną, co sprawdza przeglądarka. Na stronie podszywającej się nie ma passkey, więc nie ma niczego, co można przypadkiem wpisać lub zatwierdzić.
- Nie ma czego złamać. Jeśli dane strony wyciekną, atakujący ma tylko klucze publiczne.
- Klucz bezpieczeństwa to niewielkie urządzenie do portu USB lub do przyłożenia do telefonu, z passkeys, których nie można z niego skopiować. Prosimy zawsze rejestrować co najmniej dwa klucze i przechowywać klucz zapasowy w innym miejscu.
- Jeśli passkey jest zapisany w menedżerze haseł lub na koncie telefonu, będzie dostępny także na innych Państwa urządzeniach. Prosimy wtedy szczególnie dobrze chronić to konto.
- Często hasło nadal działa. Dlatego powinno pozostać długie i unikalne.
W WebOké
| Usługa | Jakie są możliwości? |
|---|---|
| Nextcloud | Logowanie za pomocą passkey lub klucza bezpieczeństwa jest możliwe w sekcji Logowanie bez hasła. Hasło i inne metody nadal działają. Dla aplikacji tworzą Państwo hasło aplikacji; je również warto przechowywać w menedżerze. Zobacz Konfiguracja aplikacji uwierzytelniającej i przechowywanie kodów zapasowych. |
| Moje WebOké | Brak obsługi passkeys. Po podaniu hasła Moje WebOké zawsze prosi o kod logowania wysłany e-mailem (Kod logowania e-mailem) lub o kod z aplikacji uwierzytelniającej. Nie ma kodów odzyskiwania: w przypadku utraty aplikacji prosimy o kontakt z nami. |
| DirectAdmin | Two-Step Authentication z aplikacją uwierzytelniającą i kodami zapasowymi, zobacz Konfiguracja Two-Step Authentication. |
| Skrzynki pocztowe | Program pocztowy loguje się za pomocą hasła. Prosimy nadać każdej skrzynce własne, długie hasło z menedżera. |
Więcej o silnych hasłach przeczytają Państwo w artykule Bezpieczne hasła i co zrobić w przypadku wycieku hasła, a także na stronach NCSC: Jak wybrać menedżer haseł? oraz Jak wybrać metodę MFA?
Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs Bezpieczeństwo w sieci dla przedsiębiorców, lekcja 2.2 Wybór i korzystanie z menedżerów haseł, lub na bezpłatny kurs Przejście do europejskiej chmury, lekcja 7.4 Przenoszenie haseł do menedżera haseł.