Izbira in uporaba upravitelja gesel

Modul 2: Gesla in prijava · Čas branja: 9 minut

Učni cilj: Po tej lekciji boste znali izbrati in nastaviti upravitelja gesel, zaščititi glavno geslo in varno deliti gesla v ekipi.

Ključni pojmi: upravitelj gesel, glavno geslo, trezor, od konca do konca šifriranje, deljeni trezor, dostop v sili, upravitelj gesel v brskalniku

Kaj počne upravitelj gesel

V lekciji 2.1 ste videli, da vsak račun potrebuje svoje lastno, dolgo in naključno geslo. Nihče si jih ne zapomni osemdeset. Upravitelj gesel je programska oprema, ki to naredi namesto Vas. On:

• za vsako storitev ustvari močno, naključno geslo;
• vsa gesla šifrirano shranjuje v trezoru;
• jih vnese na pravi spletni strani, in samo tam;
• pogosto opozori na šibka, podvojena ali uhajana gesla;
• pri mnogih izdelkih lahko shranjuje tudi kode za dvostopenjsko preverjanje (2FA) in passkeyje (lekciji 2.3 in 2.4).

Vi si zapomnite le še eno: glavno geslo, s katerim odklenete trezor. Nizozemski NCSC priporoča upravitelja gesel kot stalno osnovo, tudi za majhne organizacije, z jasnimi dogovori, katerega upravitelja uporabljate in za katere račune je obvezen.

Vrste upraviteljev gesel

Ne obstaja ena sama najboljša vrsta. Nizozemski NCSC loči upravitelja v brskalniku, samostojno aplikacijo ter spletno (oblačno) različico v primerjavi z lokalno (offline). V praksi se srečate z naslednjimi oblikami:

Znani primeri samostojnih upraviteljev so Bitwarden, 1Password, KeePassXC in Proton Pass, poleg upraviteljev, vgrajenih v brskalnike in operacijske sisteme. To ni priporočilo: izbirajte na podlagi vprašanj spodaj.

Vprašanja pri izbiri

• Ali deluje na vseh Vaših napravah in brskalnikih, tudi pri sodelavcih?
• Ali lahko delite trezorje s pravicami po mapah in nekoga pozneje tudi odstranite iz trezorja?
• Je trezor šifriran od konca do konca in kaj ostane nešifrirano (na primer naslovi spletnih strani)?
• Lahko trezor zavarujete z dvostopenjskim preverjanjem (2FA) ali s passkeyem?
• Ali obstaja dostop v sili ali ureditev za obnovitev, in kako natanko deluje?
• Lahko svoje podatke izvozite, če želite zamenjati ponudnika?
• Pri brezplačnih različicah: kakšen je poslovni model?

Šifriranje od konca do konca: kaj, če ponudnika vdrejo?

Pri dobrem oblačnem upravitelju se Vaš trezor šifrira na Vaši napravi s ključem, ki se izpelje iz Vašega glavnega gesla. Ponudnik dobi samo šifriran paket. Temu pravimo šifriranje od konca do konca (včasih "zero knowledge"). Ponudnik ne more prebrati Vaših gesel, zato Vam tudi glavnega gesla ne more povrniti.

Če pride do vdora pri ponudniku, lahko napadalec ukrade šifrirane trezorje. Nato jih lahko poskuša razbiti offline, kot je opisano v lekciji 2.1. Vaše glavno geslo je v tem trenutku Vaša edina zaščita. Zato:

• Naj bo glavno geslo dolgo in edinstveno: geselna fraza iz vsaj petih, raje šestih naključnih besed.
• Uporabljate ga nikjer drugje.
• Po uhajanju podatkov pri ponudniku spremenite glavno geslo in gesla svojih najpomembnejših računov. Stari, ukradeni trezor je namreč šifriran s starim glavnim geslom.

Dvostopenjsko preverjanje (2FA) na trezoru pomaga proti nekomu, ki ima Vaše glavno geslo in se želi prijaviti prek spletne strani. Ne pomaga pa proti razbijanju ukradene datoteke trezora. To pravi tudi nizozemski NCSC: 2FA na upravitelju ni razlog za šibko glavno geslo.

Zaščita glavnega gesla

Pozabljeno glavno geslo je pri dobrem upravitelju pogosto dokončno: ponudnik ga ne more povrniti. Zato to uredite vnaprej:

• Glavno geslo zapišite na papir in ga hranite doma na varnem mestu. Nizozemski NCSC meni, da je to povsem v redu, dokler zraven ne zapišete, za kaj je namenjeno.
• Ustvarite komplet za obnovitev ali kodo v sili, ki jo ponuja Vaš upravitelj, natisnite jo in jo hranite skupaj s papirjem.
• Glavno geslo vnesite samo v aplikaciji ali razširitvi upravitelja samega, nikoli na spletni strani, ki Vas zanj vpraša.
• Vklopite samodejno zaklepanje po nekaj minutah nedejavnosti.

Zakaj samodejno izpolnjevanje pomaga proti phishingu

Upravitelj gesel vsako geslo poveže z naslovom spletne strani. Na https://mijnbank.example vnese Vaše geslo. Na podobni strani, kot je https://rnijnbank.example (rn namesto m) ali https://mijnbank-veilig.example, ne naredi ničesar, saj ta naslova nista shranjena pri tem vnosu.

Človek razlike med rn in m pogosto ne opazi. Upravitelj primerja znake in se ne utrudi ali mudi. To je prava zaščita, vendar le, če mu pustite delovati:

Ali Vaš upravitelj nenadoma ne izpolni ničesar na strani, kjer je to vedno deloval? Tega ne obidite tako, da bi geslo ročno prekopirali. Najprej zelo natančno preverite naslov. To je ravno trenutek, ko Vas upravitelj opozarja.

Včasih obstaja tudi upravičen razlog, zakaj ne izpolni polja: storitev se je preselila na nov naslov. To preverite po drugi poti, na primer tako, da sami vtipkate naslov, ki ste ga že poznali.

Deljenje v ekipi

V majhnem podjetju vedno obstajajo računi, ki jih uporabljate skupaj: spletna trgovina na webwinkelplatform.example, račun pri koeriersdienst.example, družbena omrežja podjetja. Najbolje je, da ima vsakdo svoj lasten račun (modul 7). Če to ni mogoče, uporabite deljeni trezor:

• Ustvarite trezorje ali mape po temah ("Spletna trgovina", "Finance", "Družbena omrežja") in dostop omogočite samo tistim, ki ga potrebujejo.
• Nikoli ne delite gesel prek e-pošte, klepeta ali preglednice. Kdor ima dostop do deljenega trezorja, geslo vidi tam.
• Nekdo odide? Odstranite ga iz trezorja in spremenite gesla, ki jih je lahko videl. Zgolj odstranitev iz trezorja ni dovolj: morda jih je prepisal ali shranil.
• Uredite dostop v sili: kaj se zgodi, če Vi, lastnik, zbolite ali odpadete? Mnogi upravitelji poznajo funkcijo, s katero zaupana oseba po čakalni dobi dobi dostop. Lahko pa podatke za obnovitev hranite v zapečateni ovojnici pri drugi osebi.

V praksi: prehod v enem popoldnevu

1. Izberite upravitelja in ga namestite na računalnik in telefon, skupaj z razširitvijo brskalnika.
2. Ustvarite glavno geslo (geselno frazo), zapišite ga, shranite komplet za obnovitev.
3. Na trezoru vklopite dvostopenjsko preverjanje (2FA).
4. Uvozite gesla, ki jih je že shranil Vaš brskalnik. Izvoz je pogosto nešifrirana datoteka: takoj po uvozu jo izbrišite, tudi iz koša.
5. Začnite z najpomembnejšimi računi in vsakemu dodelite novo, naključno geslo: Vaš e-poštni predal (info@example.com), Vaše gostovanje in registracijo domene, Vašo banko in Vaše knjigovodstvo (na primer na boekhoudpakket.example).
6. Preostalo uredite sproti, ko se tja tako ali tako prijavite. Pri tem Vam pomagajo opozorila za podvojena gesla.

Uporabljate storitev v okolju WebOké, na primer e-poštni predal ali Nextcloud, z aplikacijami na telefonu? Za to včasih ustvarite ločeno geslo za aplikacijo (glejte Kennisbank 436). Tudi to shranite v upravitelju, pri pravem vnosu. Pri drugih ponudnikih deluje to na podoben način.

Povzetek

• Upravitelj gesel ustvari, shrani in vnese edinstvena gesla; Vi si zapomnite samo glavno geslo.
• Vrste: vgrajen v brskalnik ali sistem, samostojna aplikacija z oblakom, lokalen, odprtokoden ali z lastnim gostovanjem. Izbirajte glede na naprave, deljenje, šifriranje in obnovitev.
• Pri šifriranju od konca do konca je Vaše glavno geslo zadnja obramba, če pride do vdora pri ponudniku.
• Če upravitelj ne izpolni polja, preverite naslov, namesto da bi geslo kopirali ročno.
• Delite prek deljenega trezorja in spremenite gesla, ko nekdo odide.

Kviz

Naloga

Naloga D2.2: Nastavitev Vašega upravitelja gesel. Izberite upravitelja gesel, ustvarite glavno geslo in komplet za obnovitev, vklopite dvostopenjsko preverjanje (2FA) na trezoru in svojim petim najpomembnejšim računom dodelite novo, edinstveno geslo. Odkljukajte kontrolni seznam in odgovorite na vprašanja za razmislek. Nikjer ne vnašate gesla.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• Ustvarjanje gesla aplikacije (potrebno za povezavo z aplikacijami in napravami)
• Priročnik za Nextcloud 3.5: Gesla programov: kdaj in kako
• Nizozemski NCSC, Kako izbrati upravitelja gesel?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Nizozemski NCSC, Štirje koraki za varnejša gesla: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken