Przeniesienie haseł do menedżera haseł

Moduł 7: Współpraca, aplikacje i bezpieczeństwo · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili bezpiecznie przenieść hasła z przeglądarki, karteczek i arkuszy kalkulacyjnych do menedżera haseł dopasowanego do nowej konfiguracji, łącznie ze współdzielonymi kluczami dla zespołu.

Kluczowe pojęcia: menedżer haseł, klucz (kluczyk), hasło główne, klucz odzyskiwania, hasła w przeglądarce (Google, Edge, Apple), eksport jako csv, współdzielony klucz lub kolekcja, hosting we własnym zakresie, oprogramowanie open source, szyfrowanie na własnym urządzeniu (zero-knowledge), przechowywanie kluczy dostępu (passkeys)

Zapomniany element

W niemal każdej inwentaryzacji brakuje haseł. Nie znajdują się w usłudze chmurowej, z której Państwo rezygnują, więc nikt o nich nie pomyśli. A jednak często są one w samym centrum tej zmiany. W Bakkerij De Korrel po sprawdzeniu okazuje się, że:

• większość haseł znajduje się w Chrome, zapisana na koncie Google danej osoby;
• hasła do banku, hurtowni i sklepu internetowego znajdują się w arkuszu wachtwoorden.xlsx w Google Drive;
• hasło do wifi i kod alarmu wiszą na karteczce;
• dwóch współpracowników używa wszędzie tego samego hasła.

Jeśli konto Google zniknie, razem z nim znikną hasła w Chrome. A arkusz kalkulacyjny z hasłami w chmurze to jedna z pierwszych rzeczy, których szuka włamywacz. Przejście na inną usługę to więc dobry moment, aby to uporządkować.

Co robi menedżer haseł

Menedżer haseł to zaszyfrowany klucz (kluczyk) na hasła, z aplikacją na telefon i komputer oraz rozszerzeniem w przeglądarce. Zapamiętują Państwo jedno silne hasło główne; menedżer tworzy dla każdej strony długie, unikalne hasło i wypełnia je za Państwa.

Ważne jest, gdzie odbywa się szyfrowanie. W przypadku znanych menedżerów klucz jest szyfrowany na własnym urządzeniu za pomocą klucza wyprowadzonego z hasła głównego. Dostawca przechowuje jedynie zaszyfrowany klucz i nie jest w stanie odczytać Państwa haseł. Nazywa się to często „zero-knowledge”. Konsekwencja jest taka: jeśli zapomną Państwo hasła głównego i nie mają klucza odzyskiwania, nawet dostawca nie będzie w stanie pomóc.

Dobry menedżer wypełnia hasła wyłącznie na prawdziwym adresie. Fałszywa strona Państwa banku nie otrzyma więc nic, nawet jeśli wygląda identycznie. To dodatkowa ochrona przed phishingiem.

Jakie są rodzaje menedżerów haseł?

To nie jest ranking. Dla jednoosobowej działalności KeePassXC z plikiem klucza we własnej chmurze może być w pełni wystarczający. Dla dwunastoosobowego zespołu wygodniejszy będzie menedżer ze współdzielonymi kluczami. Proszę zastosować tu także pięć pytań z lekcji 2.1 (siedziba, właściciel, centrum danych, podwykonawcy przetwarzania, klucz szyfrujący). W przypadku menedżera haseł najważniejsze jest ostatnie pytanie: kto posiada klucz? Jeśli to wyłącznie Państwo, to miejsce przechowywania zaszyfrowanego klucza ma mniejsze znaczenie niż w przypadku zwykłych plików.

Przeniesienie: eksport, import i natychmiastowe usunięcie

Niemal każda przeglądarka i menedżer haseł potrafi eksportować hasła do pliku csv. Jest to zwykły plik tekstowy, w którym każda linia zawiera stronę, nazwę użytkownika i hasło, niezaszyfrowane. Każdy, kto otworzy ten plik, może odczytać wszystko. Dlatego:

1. Proszę zrobić to na zaufanym komputerze, nie na współdzielonym komputerze sklepowym.
2. Proszę eksportować na własny komputer, nie do synchronizowanego folderu ani do chmury. W przeciwnym razie niezaszyfrowany plik w ciągu kilku sekund znajdzie się na serwerze, w wersjach i w koszu.
3. Proszę od razu zaimportować plik do nowego menedżera.
4. Proszę wyrywkowo sprawdzić poprawność (zalogować się na kilka stron).
5. Proszę natychmiast usunąć plik csv i opróżnić również kosz na komputerze.
6. Następnie proszę wyłączyć zapisywanie haseł w przeglądarce, aby nie powstała druga, nieaktualna kopia.

Arkusz kalkulacyjny z hasłami przenoszą Państwo, wpisując dane ręcznie do menedżera (albo importując je jako csv, z zachowaniem tych samych zasad). Następnie proszę usunąć arkusz, także z kosza i historii wersji starej chmury. Proszę zmienić najważniejsze hasła, które się w nim znajdowały, ponieważ nie wiadomo, kto mógł mieć wgląd w ten plik przez lata.

Proszę zwrócić uwagę również na klucze dostępu (passkeys) (lekcja 7.3). Klucza dostępu zapisanego na koncie Google lub Apple nie zawsze da się wyeksportować. Dla ważnych stron proszę utworzyć w nowym menedżerze nowy klucz dostępu lub upewnić się, że hasło i drugi etap weryfikacji są znane, zanim zlikwidują Państwo stare konto.

Współdzielenie w zespole

Niektóre hasła należą do organizacji, nie do konkretnej osoby: bank, hurtownia, konta w mediach społecznościowych, wifi. Proszę użyć do tego współdzielonego klucza lub kolekcji w menedżerze:

• Proszę utworzyć klucz dla każdej grupy: „Sklep”, „Administracja”, „Moderacja”. Nie każdy musi widzieć wszystko.
• Nigdy nie wolno udostępniać hasła przez czat lub e-mail. Nawet „na szybko”.
• Gdy ktoś odchodzi, proszę usunąć go ze współdzielonych kluczy i zmienić hasła, do których miał dostęp i które mógł zapamiętać lub skopiować.

Hasło główne i dzień, w którym coś pójdzie nie tak

Hasło główne jest jedynym kluczem. Proszę wybrać długie zdanie złożone z czterech do sześciu losowych słów, którego nigdzie indziej Państwo nie używają. Proszę włączyć uwierzytelnianie dwuskładnikowe (2FA) również w samym menedżerze.

Proszę z wyprzedzeniem zorganizować odzyskiwanie dostępu:

• Proszę przechowywać klucz odzyskiwania lub dostęp awaryjny oferowany przez menedżera na papierze, w bezpiecznym miejscu.
• Proszę ustalić w organizacji, kto otrzyma dostęp w razie śmierci lub długotrwałej choroby właściciela. Wiele menedżerów ma funkcję dostępu awaryjnego.
• Kody zapasowe do najważniejszych kont również powinny się tu znaleźć, albo na papierze (lekcja 7.3). Nie w kluczu, do którego dostęp jest możliwy tylko przy użyciu tych właśnie kont.

W praktyce: jak to wygląda u dostawcy

W Nextcloud od WebOké nie ma osobnego menedżera haseł; korzystają Państwo z wybranego przez siebie menedżera haseł. Jeśli używają Państwo KeePassXC, mogą Państwo umieścić zaszyfrowany plik klucza w swoim Nextcloud, dzięki czemu będzie on dostępny przez aplikację desktopową na wszystkich komputerach i będzie można go odzyskać za pomocą wersji. Plik jest wtedy szyfrowany Państwa hasłem głównym jeszcze przed dotarciem do serwera. Instrukcja dotycząca bezpieczeństwa Nextcloud od WebOké sama również zaleca korzystanie z menedżera haseł i wskazuje go jako dobre miejsce do przechowywania kodów zapasowych.

U innych europejskich dostawców usług chmurowych działa to podobnie: menedżer haseł to zazwyczaj osobna usługa lub aplikacja obok chmury.

Podsumowanie

• Hasła w przeglądarce ze starego konta znikną razem z likwidacją tego konta. Proszę przenieść je wcześniej.
• Menedżer haseł szyfruje dane na własnym urządzeniu; hasło główne jest jedynym kluczem.
• Eksport csv jest niezaszyfrowany: nigdy do synchronizowanego folderu, od razu zaimportować, od razu usunąć.
• Proszę używać współdzielonych kluczy dla poszczególnych grup w przypadku haseł organizacji i zmieniać je, gdy ktoś odchodzi.
• Proszę wcześniej zorganizować odzyskiwanie dostępu i dostęp awaryjny, na papierze.

Quiz

Zadanie

Zadanie E7.4: Inwentaryzacja haseł i plan przeniesienia. Proszę sprawdzić, gdzie obecnie znajdują się hasła w Państwa organizacji (przeglądarka poszczególnych osób, arkusze kalkulacyjne, karteczki, konta współdzielone), wybrać menedżera haseł za pomocą pięciu pytań z lekcji 2.1 oraz opisać plan przeniesienia: kto eksportuje co, na jakim komputerze, kiedy plik csv zostanie usunięty i jakie powstaną współdzielone klucze.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
• Podręcznik Nextcloud 3.3: Konfiguracja aplikacji uwierzytelniającej i zapisywanie kodów zapasowych
• NCSC, Beginnen met cybersecurity (holenderskie centrum cyberbezpieczeństwa, przewodnik wprowadzający): https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/