Wybór i korzystanie z menedżerów haseł

Moduł 2: Hasła i logowanie · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wybrać i skonfigurować menedżera haseł, zabezpieczyć hasło główne oraz bezpiecznie udostępniać hasła w zespole.

Pojęcia kluczowe: menedżer haseł, hasło główne, sejf (kluczyk), szyfrowanie end-to-end, udostępniony sejf, dostęp awaryjny, menedżer haseł w przeglądarce

Co robi menedżer haseł

W lekcji 2.1 pokazano, że każde konto potrzebuje własnego, długiego i losowego hasła. Nikt nie zapamięta ich osiemdziesięciu. Menedżer haseł to oprogramowanie, które robi to za użytkownika. On:

• tworzy dla każdej usługi silne, losowe hasło;
• przechowuje wszystkie hasła zaszyfrowane w sejfie;
• wypełnia je na właściwej stronie internetowej i tylko tam;
• często ostrzega przed słabymi, powtarzającymi się lub wyciekłymi hasłami;
• w wielu produktach może też przechowywać kody uwierzytelniania dwuskładnikowego oraz passkeye (lekcja 2.3 i 2.4).

Trzeba zapamiętać już tylko jedno: hasło główne, którym otwiera się sejf. Holenderskie NCSC zaleca menedżera haseł jako stałą podstawę zabezpieczeń, również dla małych organizacji, wraz z jasnymi ustaleniami, którego menedżera się używa i dla których kont jest on obowiązkowy.

Rodzaje menedżerów haseł

Nie istnieje jeden najlepszy rodzaj. Holenderskie NCSC rozróżnia menedżera wbudowanego w przeglądarkę, osobną aplikację oraz rozwiązania online (w chmurze) w porównaniu z offline (lokalnymi). W praktyce spotyka się te formy:

Znane przykłady osobnych menedżerów to Bitwarden, 1Password, KeePassXC i Proton Pass, obok menedżerów wbudowanych w przeglądarki i systemy operacyjne. Nie jest to rekomendacja: wybór należy oprzeć na pytaniach poniżej.

Pytania przy wyborze

• Czy działa na wszystkich urządzeniach i przeglądarkach, również współpracowników?
• Czy można udostępniać sejfy z uprawnieniami według folderu i czy można komuś ponownie odebrać dostęp do sejfu?
• Czy sejf jest szyfrowany end-to-end i co dokładnie jest, a co nie jest zaszyfrowane (np. adresy stron internetowych)?
• Czy sejf można zabezpieczyć uwierzytelnianiem dwuskładnikowym lub passkeyem?
• Czy istnieje dostęp awaryjny lub procedura odzyskiwania i jak dokładnie ona działa?
• Czy można wyeksportować dane w razie zmiany usługi?
• W przypadku wersji darmowych: jaki jest model finansowania?

Szyfrowanie end-to-end: co, jeśli dostawca zostanie zhakowany?

W dobrym menedżerze w chmurze sejf jest szyfrowany na własnym urządzeniu użytkownika kluczem wyprowadzonym z hasła głównego. Dostawca otrzymuje wyłącznie zaszyfrowany pakiet. Nazywa się to szyfrowaniem end-to-end (czasem określane jako „zero knowledge”). Dostawca nie może odczytać haseł, a zatem nie może też przywrócić hasła głównego.

Jeśli dostawca zostanie zhakowany, osoba atakująca może wykraść zaszyfrowane sejfy. Może następnie próbować je złamać offline, jak opisano w lekcji 2.1. Hasło główne jest wtedy jedyną ochroną. Dlatego:

• Hasło główne powinno być długie i unikalne: fraza hasłowa złożona z co najmniej pięciu, a najlepiej sześciu losowych słów.
• Nie powinno być używane nigdzie indziej.
• Po wycieku u dostawcy należy zmienić hasło główne oraz hasła do najważniejszych kont. Stary, wykradziony sejf jest przecież zaszyfrowany starym hasłem głównym.

Uwierzytelnianie dwuskładnikowe na sejfie pomaga przeciwko komuś, kto zna hasło główne i próbuje zalogować się przez stronę internetową. Nie pomaga ono jednak przy łamaniu wykradzionego pliku sejfu. Holenderskie NCSC również to podkreśla: 2FA na menedżerze nie jest powodem do stosowania słabego hasła głównego.

Ochrona hasła głównego

Zapomnienie hasła głównego w dobrym menedżerze jest zazwyczaj nieodwracalne: dostawca nie może go odzyskać. Warto więc zadbać o to wcześniej:

• Hasło główne należy zapisać na papierze i przechowywać w domu w bezpiecznym miejscu. Holenderskie NCSC uważa to za dobre rozwiązanie, pod warunkiem że nie zapisuje się obok, do czego to hasło służy.
• Należy utworzyć zestaw odzyskiwania lub kod awaryjny oferowany przez menedżera, wydrukować go i przechowywać razem z zapisanym hasłem.
• Hasło główne wpisuje się wyłącznie w aplikacji lub rozszerzeniu samego menedżera, nigdy na stronie internetowej, która o nie prosi.
• Warto włączyć automatyczne blokowanie po kilku minutach bezczynności.

Dlaczego automatyczne wypełnianie pomaga przeciwko phishingowi

Menedżer haseł łączy każde hasło z adresem strony internetowej. Na https://mijnbank.example wypełni on hasło. Na stronie podszywającej się pod ten adres, takiej jak https://rnijnbank.example (rn zamiast m) czy https://mijnbank-veilig.example, nie zrobi nic, ponieważ te adresy nie są przypisane do danego wpisu.

Człowiek często nie dostrzega różnicy między rn a m. Menedżer porównuje znaki i nie męczy się ani się nie spieszy. To realne zabezpieczenie, ale tylko wtedy, gdy pozwoli się mu działać:

Jeśli menedżer nagle niczego nie wypełnia na stronie, na której zawsze to robił, proszę nie obchodzić tego, kopiując hasło ręcznie. Proszę najpierw bardzo dokładnie sprawdzić adres. To właśnie ten moment, w którym menedżer Państwa ostrzega.

Czasem istnieje uzasadniony powód braku automatycznego wypełniania: usługa przeniosła się na nowy adres. Należy to wtedy zweryfikować inną drogą, na przykład samodzielnie wpisując adres, który był już wcześniej znany.

Udostępnianie w zespole

W małej firmie zawsze istnieją konta używane wspólnie: sklep internetowy na webwinkelplatform.example, konto u koeriersdienst.example, media społecznościowe firmy. Najlepiej, jeśli każda osoba ma własne konto (moduł 7). Jeśli nie jest to możliwe, należy skorzystać z udostępnionego sejfu:

• Należy utworzyć sejfy lub foldery tematyczne („Sklep internetowy”, „Finanse”, „Media społecznościowe”) i przyznawać dostęp wyłącznie osobom, które go potrzebują.
• Nigdy nie należy udostępniać haseł przez e-mail, czat ani arkusz kalkulacyjny. Każdy, kto ma dostęp do udostępnionego sejfu, zobaczy tam hasło.
• Gdy ktoś odchodzi z firmy? Należy usunąć tę osobę z sejfu oraz zmienić hasła, które mogła widzieć. Samo usunięcie z sejfu nie wystarczy: mogła je przepisać lub zapisać gdzie indziej.
• Należy zapewnić dostęp awaryjny: co się stanie, jeśli właściciel zachoruje lub będzie niedostępny? Wiele menedżerów oferuje funkcję, dzięki której zaufana osoba uzyskuje dostęp po określonym czasie oczekiwania. Można też przechowywać dane do odzyskiwania w zapieczętowanej kopercie u drugiej osoby.

W praktyce: zmiana w jedno popołudnie

1. Należy wybrać menedżera i zainstalować go na komputerze i telefonie, wraz z rozszerzeniem przeglądarki.
2. Należy utworzyć hasło główne (fraza hasłowa), zapisać je i zachować zestaw odzyskiwania.
3. Należy włączyć uwierzytelnianie dwuskładnikowe na sejfie.
4. Należy zaimportować hasła zapisane wcześniej w przeglądarce. Plik eksportu jest często niezaszyfrowany: należy usunąć go od razu po imporcie, również z kosza.
5. Należy zacząć od najważniejszych kont i nadać każdemu nowe, losowe hasło: skrzynka pocztowa (info@example.com), hosting i rejestracja domeny, bank oraz księgowość (na przykład na boekhoudpakket.example).
6. Resztę kont należy aktualizować przy okazji logowania. Pomocne będą ostrzeżenia o powtarzających się hasłach.

Korzystają Państwo z usługi w środowisku WebOké, takiej jak skrzynka pocztowa lub Nextcloud, z aplikacjami na telefonie? Czasami tworzy się dla nich osobne hasło aplikacji (zob. Baza wiedzy 436). Również je należy zapisać w menedżerze, przy odpowiednim wpisie. U innych dostawców działa to podobnie.

Podsumowanie

• Menedżer haseł tworzy, przechowuje i wypełnia unikalne hasła; zapamiętać trzeba tylko hasło główne.
• Rodzaje: wbudowany w przeglądarkę lub system, osobna aplikacja z chmurą, lokalny, open source lub hostowany samodzielnie. Wybór należy oprzeć na urządzeniach, udostępnianiu, szyfrowaniu i odzyskiwaniu.
• Przy szyfrowaniu end-to-end hasło główne jest ostatnią linią obrony, jeśli dostawca zostanie zhakowany.
• Jeśli menedżer nie wypełnia hasła, należy sprawdzić adres zamiast je kopiować.
• Hasła należy udostępniać przez udostępniony sejf i zmieniać je, gdy ktoś odchodzi z zespołu.

Quiz

Zadanie

Zadanie D2.2: Konfiguracja menedżera haseł. Proszę wybrać menedżera haseł, utworzyć hasło główne i zestaw odzyskiwania, włączyć uwierzytelnianie dwuskładnikowe na sejfie oraz nadać pięciu najważniejszym kontom nowe, unikalne hasła. Proszę odhaczyć listę kontrolną i odpowiedzieć na pytania refleksyjne. Nigdzie nie wpisują Państwo żadnego hasła.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• Tworzenie hasła aplikacji (potrzebnego do połączenia z aplikacjami i urządzeniami)
• Podręcznik Nextcloud 3.5: Hasła aplikacji: kiedy i jak ich używać
• Holenderskie NCSC, Jak wybrać menedżera haseł?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Holenderskie NCSC, Cztery kroki, by uczynić hasła bezpieczniejszymi: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken