Prenos gesel v upravitelja gesel

Modul 7: Sodelovanje, aplikacije in varnost · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali varno prenesti gesla iz brskalnika, listkov in preglednic v upravitelja gesel, ki ustreza Vaši novi postavitvi, vključno s skupnimi trezorji za ekipo.

Ključni pojmi: upravitelj gesel, trezor, glavno geslo, ključ za obnovitev, gesla v brskalniku (Google, Edge, Apple), izvoz v obliki csv, skupni trezor ali zbirka, samostojno gostovanje, odprta koda, šifriranje na Vaši lastni napravi (zero-knowledge), shranjevanje passkeyev

Pozabljeni del

Skoraj v vsakem popisu manjkajo gesla. Niso shranjena v oblačni storitvi, ki jo odpovedujete, zato jih nihče ne pomisli. Kljub temu so pogosto prav v središču dogajanja. Pri Bakkerij De Korrel se po kratkem pregledu izkaže naslednje:

• večina gesel je shranjenih v Chrome, pod Googlovim računom posamezne osebe;
• gesla za banko, veletrgovca in spletno trgovino so v preglednici wachtwoorden.xlsx v Google Drive;
• geslo za wifi in koda alarma visita na listku;
• dva sodelavca povsod uporabljata isto geslo.

Če Googlov račun izgine, izginejo z njim tudi gesla v Chrome. Preglednica z gesli v oblaku pa je eno prvih mest, kjer vlomilec išče. Prehod je torej pravi trenutek, da to uredite.

Kaj počne upravitelj gesel

Upravitelj gesel je šifriran trezor za gesla, z aplikacijo na telefonu in računalniku ter razširitvijo v brskalniku. Zapomnite si eno samo močno glavno geslo; upravitelj za vsako spletno mesto ustvari dolgo, edinstveno geslo in ga vnese namesto Vas.

Pomembno je, kje poteka šifriranje. Pri uveljavljenih upraviteljih se trezor šifrira na Vaši lastni napravi, s ključem, ki je izpeljan iz Vašega glavnega gesla. Ponudnik hrani samo šifrirani trezor in Vaših gesel ne more prebrati. To se pogosto imenuje "zero-knowledge". Posledica je: če pozabite glavno geslo in nimate ključa za obnovitev, Vam tudi ponudnik ne more pomagati.

Dober upravitelj vnese podatke samo na pravi naslov. Lažno spletno mesto Vaše banke torej ne dobi ničesar, tudi če je videti povsem enako. To je dodatna zaščita pred lažnim predstavljanjem (phishing).

Katere vrste obstajajo?

To ni lestvica. Za samostojnega podjetnika je lahko KeePassXC z datoteko trezorja v lastnem oblaku povsem primeren. Za ekipo dvanajstih je priročnejši upravitelj s skupnimi trezorji. Tudi tukaj uporabite pet vprašanj iz lekcije 2.1 (sedež, lastnik, podatkovni center, podobdelovalci, ključ). Pri upravitelju gesel najbolj tehta zadnje vprašanje: kdo ima ključ? Če ga imate samo Vi, je manj pomembno, kje je shranjen šifrirani trezor, kot pri navadnih datotekah.

Prenos: izvoz, uvoz in takojšnje brisanje

Skoraj vsak brskalnik in upravitelj zna gesla izvoziti v datoteko csv. To je navadna besedilna datoteka, v kateri je v vsaki vrstici spletno mesto, uporabniško ime in geslo, nešifrirano. Vsakdo, ki odpre datoteko, lahko vse prebere. Zato:

1. Postopek opravite na računalniku, ki mu zaupate, ne na skupnem računalniku v trgovini.
2. Izvozite na Vaš lastni računalnik, ne v sinhronizirano mapo ali v oblak. Sicer je nešifrirana datoteka v nekaj sekundah na strežniku, v različicah in v košu za smeti.
3. Takoj jo uvozite v novega upravitelja.
4. Z naključnim preverjanjem preglejte, ali je vse pravilno (prijavite se na nekaj spletnih mest).
5. Datoteko csv takoj izbrišite in izpraznite tudi koš za smeti na računalniku.
6. Nato izklopite shranjevanje gesel v brskalniku, da ne nastane druga, zastarela kopija.

Preglednico z gesli prenesete tako, da podatke ročno vnesete v upravitelja (ali jih uvozite kot csv, po enakih pravilih). Preglednico nato izbrišite, tudi iz koša za smeti in iz zgodovine različic starega oblaka. Spremenite najpomembnejša gesla, ki so bila v njej, saj ne veste, kdo je datoteko skozi leta videl.

Bodite pozorni tudi na passkeye (lekcija 7.3). Passkeya, ki je shranjen v Vašem Google ali Apple računu, včasih ni mogoče izvoziti. Pri pomembnih spletnih mestih v Vašem novem upravitelju ustvarite nov passkey ali poskrbite, da poznate geslo in drugi korak preverjanja, preden ukinete stari račun.

Deljenje v ekipi

Nekatera gesla pripadajo organizaciji, ne posamezniku: banka, veletrgovec, računi na družbenih omrežjih, wifi. Za to uporabite skupni trezor ali zbirko v upravitelju:

• Ustvarite trezor po skupinah: "Trgovina", "Administracija", "Skrbništvo". Ni treba, da vsi vidijo vse.
• Gesla nikoli ne delite prek klepeta ali e-pošte. Tudi ne "na hitro".
• Ko nekdo odide, ga odstranite iz skupnih trezorjev in spremenite gesla, do katerih je imel dostop in ki si jih je morda zapomnil ali kopiral.

Glavno geslo in dan, ko gre kaj narobe

Glavno geslo je edini ključ. Izberite dolg stavek iz štirih do šestih naključnih besed, ki ga ne uporabljate nikjer drugje. Na samem upravitelju prav tako vklopite dvostopenjsko preverjanje (2FA).

Obnovitev uredite vnaprej:

• Hranite ključ za obnovitev ali nujni dostop, ki ga ponuja Vaš upravitelj, na papirju, na varnem mestu.
• Za organizacijo se dogovorite, kdo dobi dostop ob smrti ali dolgotrajni bolezni lastnika. Mnogi upravitelji imajo za to funkcijo nujnega dostopa.
• Varnostne kode Vaših najpomembnejših računov spadajo sem, ali na papir (lekcija 7.3). Ne v trezor, do katerega pridete samo s temi računi.

V praksi: tako je videti pri ponudniku

V WebOké Nextcloud ni ločenega upravitelja gesel; uporabite upravitelja gesel po lastni izbiri. Če uporabljate KeePassXC, lahko šifrirano datoteko trezorja shranite v svojem Nextcloud, tako da je prek namizne aplikacije na voljo na vseh Vaših računalnikih in jo je mogoče povrniti prek različic. Datoteka je takrat šifrirana z Vašim glavnim geslom, še preden doseže strežnik. Navodila o varnosti WebOké Nextcloud tudi sama priporočajo uporabo upravitelja gesel in ga navajajo kot dobro mesto za Vaše varnostne kode.

Pri drugih evropskih oblačnih storitvah deluje podobno: upravitelj gesel je navadno ločena storitev ali aplikacija poleg Vašega oblaka.

Povzetek

• Gesla v brskalniku Vašega starega računa izginejo, ko ta račun ukinete. Prenesite jih vnaprej.
• Upravitelj gesel šifrira na Vaši lastni napravi; glavno geslo je edini ključ.
• Izvoz csv je nešifriran: nikoli v sinhronizirano mapo, takoj uvozite, takoj izbrišite.
• Za gesla organizacije uporabite skupne trezorje po skupinah in jih ob odhodu spremenite.
• Obnovitev in nujni dostop uredite vnaprej, na papirju.

Kviz

Naloga

Naloga E7.4: Pregled gesel in načrt prenosa. Ugotovite, kje so zdaj gesla v Vaši organizaciji (brskalnik posamezne osebe, preglednice, listki, skupni računi), izberite upravitelja gesel s pomočjo petih vprašanj iz lekcije 2.1, in zapišite načrt prenosa: kdo kaj izvozi, na katerem računalniku, kdaj se datoteka csv izbriše, in kateri skupni trezorji bodo vzpostavljeni.

Za nadaljnje branje

Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
• Priročnik za Nextcloud 3.3: Namestitev overjevalnega programa in shranjevanje varnostnih kod
• NCSC (nizozemski Nacionalni center za kibernetsko varnost), Začetek s kibernetsko varnostjo: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/