MENEDŻER HASEŁ

Czym jest menedżer haseł?

Dawno temu, na początku ery Internetu, mogłeś mieć kilka haseł do kilku niezbędnych aplikacji webowych, których używałeś do zakupów, nauki, pozostawania w kontakcie czy pracy. Dziś wszystko jest znacznie bardziej skomplikowane. Średnio raportuje się, że ludzie muszą pamiętać około 100 haseł.

Choć technologia obiecuje ułatwiać nam życie, to każdy nowy serwis czy aplikacja, do których się rejestrujemy, oznacza kolejne hasło do zapamiętania. Dla większości stało się to niemożliwe do zapamiętania wszystkich z nich. Pomyśl o sobie - czy używasz tych samych haseł na różnych kontach (podobnie jak dwie trzecie użytkowników internetu)? To duży błąd.

Korzystając z ogromnych list skradzionych haseł (znanych jako „dumps”) kupionych w dark web, cyberprzestępcy mogą brute force wdzierać się na inne strony lub używać starych haseł do wymuszania użytkowników w oszustwach. To efekt domina wycieku danych. Jeden wyciek prowadzi do kolejnego i kolejnego, i tak dalej.

Raportuje się, że większość wycieków danych spowodowana jest przez skompromitowane, słabe i używane ponownie hasła. 1234567, ktoś? 

Jak się tutaj znaleźliśmy i co możemy z tym zrobić?

Słynny web komiks xkcd „Password Strength” najlepiej to wyjaśnił: „Przez 20 lat wysiłków, z powodzeniem nauczyliśmy wszystkich używać haseł, które są trudne do zapamiętania dla ludzi, ale łatwe do zgadnięcia przez komputery.”

To prawda. 20 lat temu specjaliści ds. cybersecurity upominali konsumentów za niezmienianie domyślnych haseł na urządzeniach IoT (jak router internetowy) lub za używanie łatwych do zgadnięcia haseł jak „12345” lub „hasło”. Z tego wywodzi się długie i skomplikowane hasło, z którego xkcd się śmieje: zwykłe słowo z mieszanką dużych i małych liter, co najmniej jedną cyfrą i jednym symbolem.

Przy tworzeniu nowego konta, strony wymagają stworzenia długich i skomplikowanych haseł. W przeciwnym razie, nie pozwolą nawet założyć konta. Zakładając, że przejdziesz przez fazę tworzenia konta, szybko zapomnisz stworzonej niedawno przez siebie maszyny Enigmy i będziesz polegać na opcji "Zapomniałeś hasła?" w codziennym logowaniu.

Na szczęście, nie musisz pamiętać wszystkich tych haseł. Menedżer haseł zapamięta je za Ciebie.

Malwarebytes Labs definiuje menedżera haseł jako "aplikację oprogramowania zaprojektowaną do przechowywania i zarządzania poświadczeniami online. Generuje również hasła. Zwykle hasła te są przechowywane w zaszyfrowanej bazie danych i zabezpieczone hasłem głównym."

Gdy wszystkie nazwy użytkowników i hasła zostaną wprowadzone do skarbca, jedyne hasło, które musisz zapamiętać, to hasło główne. Wprowadzenie hasła głównego odblokowuje skarbiec haseł, z którego możesz pobrać potrzebne hasło.

Jakie są zalety korzystania z menedżera haseł?

Nie musisz już zapamiętywać wszystkich swoich haseł. Wystarczy, że zapamiętasz hasło główne, które odblokowuje twój skarbiec haseł. Jeśli wybierzesz menedżera haseł w chmurze, możesz uzyskać dostęp do skarbca haseł z dowolnego miejsca, z dowolnego urządzenia.

Mogą automatycznie generować bardzo bezpieczne hasła dla Ciebie. Menedżery haseł zazwyczaj zapytają Cię, czy chcesz użyć automatycznie wygenerowanego hasła, kiedy tworzysz nowe konto na stronie internetowej lub w aplikacji. Te losowe hasła są długie, alfanumeryczne i praktycznie niemożliwe do odgadnięcia.

Mogą ostrzec Cię przed phishingową stroną. Oto krótka glosa na temat oszustw phishing. Spam e-maile są fałszowane, aby wyglądały jakby pochodziły od prawdziwego nadawcy, jak przyjaciela, członka rodziny, współpracownika lub organizacji, z którą współpracujesz. Zawarte w wiadomości linki prowadzą do podobnie fałszowanych złośliwych stron internetowych zaprojektowanych do wyłudzania poświadczeń logowania. Jeśli używasz menedżera haseł opartego na przeglądarce, nie wypełni on automatycznie pól z nazwą użytkownika i hasłem, ponieważ nie rozpoznaje strony jako przypisanej do hasła.

Mogą pomóc Twoim beneficjentom po Twojej śmierci. To nazywa się cyfrowa spuścizna. W przypadku Twojej śmierci, Twoja rodzina lub osoba, którą wyznaczysz do zarządzania majątkiem, zyska dostęp do skarbca haseł.

Menedżery haseł oszczędzają czas. Oprócz przechowywania haseł, wiele menedżerów haseł również automatycznie wypełnia dane logowania dla szybszego dostępu do kont online. Ponadto, niektóre mogą przechowywać i automatycznie wypełniać imię, adres, e-mail, numer telefonu i dane karty kredytowej. To może być ogromna oszczędność czasu, na przykład podczas zakupów online.

Wiele menedżerów haseł synchronizuje się między różnymi systemami operacyjnymi (OS). Jeśli jesteś użytkownikiem Windows w pracy, a Mac w domu, skaczesz na Androidzie od poniedziałku do piątku i przechodzisz na iOS w weekendy, będziesz w stanie szybko uzyskać dostęp do swoich haseł niezależnie od używanej platformy. To samo dotyczy wszystkich najpopularniejszych przeglądarek internetowych, tj. Chrome, Firefox, Edge, Internet Explorer i Safari.

Pomagają chronić Twoją tożsamość. W okrężny sposób menedżery haseł pomagają chronić przed kradzieżą tożsamości, a oto dlaczego. Używając unikalnego hasła dla każdej witryny, zasadniczo segmentujesz swoje dane na każdej stronie internetowej i aplikacji, z której korzystasz. Jeśli przestępca włamie się na jedno z twoich kont, niekoniecznie będzie w stanie dostać się do żadnego innego. Nie jest to niezawodne, ale to dodatkowa warstwa bezpieczeństwa, którą na pewno docenisz w następstwie wycieku danych.

Czy menedżery haseł są bezpieczne?

Menedżery haseł były hakowane, ale ich ogólne wyniki w zabezpieczaniu danych użytkowników są bardzo dobre. Menedżer haseł LastPass doznał kilku wycieków danych – podobnie jak kilka innych narzędzi do zarządzania hasłami. Istnieje wiele renomowanych menedżerów haseł, które używają szyfrowania i są bezpieczne w użyciu w 2023 roku. Przykładem jest NordPass Password Manager, który znajduje się również na liście najbezpieczniejszych menedżerów haseł według Cyber News.

Warto pamiętać, że jeśli Twój telefon jest zainfekowany oprogramowaniem malware, Twój menedżer haseł może również zostać zaatakowany. Dlatego aktualizowanie oprogramowania antywirusowego i antymalware jest absolutną koniecznością.

Jakie są rodzaje menedżerów haseł?

Menedżery haseł zainstalowane na komputerze przechowują twoje hasła lokalnie na twoim urządzeniu, takim jak laptop, w zaszyfrowanym skarbcu. Nie masz do nich dostępu z innego urządzenia, a jeśli stracisz urządzenie, stracisz również wszystkie przechowywane hasła. Lokalne menedżery haseł to świetna opcja dla osób, które nie chcą, aby ich dane były przechowywane w sieci innej osoby. Niektóre menedżery haseł zainstalowane lokalnie zapewniają równowagę między prywatnością a wygodą poprzez umożliwienie tworzenia wielu skarbców haseł na różnych urządzeniach i synchronizowanie ich podczas połączenia z Internetem.

Menedżery haseł w chmurze przechowują zaszyfrowane hasła w sieci dostawcy usług. Dostawca usług jest bezpośrednio odpowiedzialny za bezpieczeństwo Twoich haseł. Główną zaletą menedżerów haseł opartych na chmurze, 1Password i NordPass będących dobrymi przykładami, jest to, że możesz uzyskać dostęp do swojego skarbca haseł z dowolnego urządzenia, o ile masz połączenie z Internetem. Webowe menedżery haseł mogą występować w różnych formach – najczęściej jako rozszerzenie przeglądarki, aplikacja na komputer lub aplikacja mobilna.

Single sign-on (SSO). W przeciwieństwie do menedżera haseł, który przechowuje unikalne hasła dla każdej aplikacji, SSO pozwala używać jednego hasła do każdej aplikacji. Pomyśl o SSO jako swoim cyfrowym paszporcie. Podczas wchodzenia do obcego kraju, paszport mówi urzędnikom w urzędzie celno-immigracyjnym, że twój kraj pochodzenia za Ciebie ręczy i że powinieneś mieć minimalne problemy z wejściem. Podobnie, używając SSO do logowania się do aplikacji, nie musisz weryfikować swojej tożsamości. Zamiast tego, dostawca SSO ręczy za Twoją tożsamość. Firmy preferują SSO nad menedżery haseł z kilku powodów. Przede wszystkim, SSO to bezpieczny i wygodny sposób, aby pracownicy mieli dostęp do aplikacji potrzebnych do wykonywania swojej pracy. SSO również redukuje czas, jaki IT spędza na rozwiązywaniu problemów i resetowaniu zapomnianych haseł.

Najlepsze praktyki dotyczące haseł

Nie używaj ponownie haseł. Nawet jeśli używasz menedżera haseł. Zamiast tego, twórz unikalne hasła dla każdej witryny i pozwól menedżerowi haseł robić to, do czego został zaprojektowany. Użyj bezpiecznego generatora silnych haseł, aby tworzyć unikalne hasła do wszystkich swoich kont.

Twórz skomplikowane hasła. Wiele menedżerów haseł pomaga sugerując silne hasła, kiedy tworzysz nowe konto na stronie. Jeśli nie, spróbuj użyć losowej kombinacji liter i cyfr, zmieniając pomiędzy wielkimi i małymi literami. Im bardziej skomplikowane i nonsensowne, tym lepiej - zwłaszcza, że nie będziesz musiał go zapamiętywać. Menedżer haseł się tym zajmie. Jedyna różnica to stworzenie hasła głównego (takiego, które odblokowuje wszystkie inne hasła). To jedno będziesz musiał zapamiętać, więc chyba że masz pamięć fotograficzną, staraj się wymyślić coś, co jest łatwe do zapamiętania dla ciebie, ale niełatwo przypisać do twojej tożsamości. Potem dodaj trochę wielkich liter, cyfr i specjalnych znaków, i masz dobrze chroniony skarbiec haseł.

Używaj przepustki haseł. Przy tworzeniu hasła głównego (tego, które odblokowuje twoje inne hasła), spróbuj użyć przepustki haseł; czyli serii słów, które są łatwe do zapamiętania, ale trudne do odgadnięcia. Coś znajomego z dziwnym zwrotem, na przykład: „fasola burrito lody split”. Lub po prostu zbiór przypadkowych rzeczy, które człowiek łatwo sobie wyobrazi, ale komputer nie: „fancy rat neon avocado car”. Wykorzystaj swoją wyobraźnię! Imiona zwierząt, dzieci lub innych członków rodziny, lub linie jak „Wpuść mnie!” są zbyt powszechne, a więc zbyt łatwe dla cyberprzestępców do rozszyfrowania.

Włącz dwuetapową (2FA) lub wieloetapową autoryzację (MFA). Jednym z najlepszych sposobów zabezpieczenia każdego konta, menedżera haseł lub nie, jest włączenie MFA. Przy menedżerze haseł z włączoną MFA, będziesz musiał zweryfikować swoją tożsamość przy użyciu dwóch lub więcej czynników autoryzacji, które obejmują coś, co znasz, coś, co posiadasz i coś, co jesteś. Coś, co wiesz, to zazwyczaj twoje hasło, ale może to być także numer PIN. Coś, co posiadasz, może być twoim telefonem komórkowym, kartą bankową lub tokenem bezpieczeństwa na USB. Wreszcie, coś, co jesteś, można zweryfikować za pomocą biometrii, takiej jak rozpoznawanie twarzy, głosu, tęczówki oka i odcisków palców. Biometria behawioralna, taka jak skanowanie klawiatury, może być również zastosowana.

Ta dodatkowa warstwa bezpieczeństwa oznacza, że każdy, kto próbuje zalogować się na Twoje konto (w tym Ty sam), będzie musiał kontrolować dodatkowe czynniki autoryzacyjne poza nazwą użytkownika i hasłem. Przykładem tego byłoby: Po wprowadzeniu hasła głównego do dostępu do menedżera haseł, kod zostanie przesłany na Twój telefon komórkowy, który będziesz musiał wprowadzić, zanim uzyskasz dostęp do skarbca. Jedną rzecz, o której należy pamiętać, kiedy używasz telefonu jako czynnika autoryzacyjnego—numery telefonów mogą być przejęte.

To nazywa się SIMjacking (znane również jako wymiana kart SIM) i dzieje się, gdy cyberprzestępca, udając Ciebie, przekonuje operatora telefonicznego do ponownego przypisania Twojego numeru telefonu do ich telefonu poprzez udane odpowiedzi na twoje pytania bezpieczeństwa. Pobieranie odpowiedzi potrzebnych przez przestępców jest często jednym z kliknięć w mediach społecznościowych. A kiedy przestępcy przejmują kontrolę nad twoim telefonem, mają wszystko, czego potrzebują, aby ukraść twoją tożsamość. W związku z tym, możesz rozważyć użycie oprogramowania autoryzacyjnego, takiego jak Authy lub Google Authenticator do krytycznych kont.

Zastanów się dwa razy nad darmowymi menedżerami haseł. Wiele z najpopularniejszych darmowych menedżerów haseł rzeczywiście działa w modelu biznesowym freemium, co oznacza, że musisz zapłacić, jeśli chcesz najlepsze—czasem niezbędne—funkcje. Czy potrzebujesz, aby twoje hasła synchronizowały się w przeglądarkach i urządzeniach? Czy potrzebujesz cyfrowej spuścizny? Czy potrzebujesz dzielić się loginami z rodziną? Czy potrzebujesz wieloetapowej autoryzacji? Darmowe menedżery haseł zazwyczaj nie zawierają tych funkcji. MFA, w szczególności, jest niezbędna. W debacie między darmowym a płatnym wybierz płatnego menedżera haseł.

Stwórz politykę zarządzania hasłami. Oto wskazówka dla małych i średnich firm: Stwórz politykę zarządzania hasłami i poinformuj pracowników, że mogą używać menedżera haseł do zabezpieczania swoich kont służbowych. Twój personel już używa różnorodnych metod, które mogą nie być bezpieczne, aby zarządzać swoimi wieloma hasłami, a większość wycieków danych zaczyna się od słabego lub ponownie użytego hasła. Oficjalna polityka menedżera haseł to pierwsza linia obrony przed cyberatakami na Twoją sieć.

Zobacz także: Passkey