Správca hesiel: ako chrániť účty bez memorovania desiatok hesiel

Správca hesiel pomáha používať odlišné prihlasovacie údaje bez memorovania. Vysvetľujeme jeho výber, ochranu hlavného hesla, bezpečný prenos údajov aj prípravu na stratu prístupu k trezoru.

Zapamätať si jedno komplikované heslo a používať ho všade vyzerá prakticky. Má to však zásadnú slabinu: ak unikne z jednej služby, útočník ho môže skúšať aj inde. Správca hesiel pomáha tento problém riešiť tým, že si nemusíte pamätať samostatné heslo ku každému účtu.

Čo správca hesiel vlastne robí

Správca hesiel uchováva prihlasovacie údaje v chránenom úložisku, ktoré sa často označuje ako trezor. Dokáže vytvárať nové náhodné heslá a pomáhať s ich vyplnením pri prihlasovaní. Podľa služby môže uchovávať aj ďalšie citlivé údaje alebo prístupové kľúče.

Zmyslom nie je zhromaždiť všetky existujúce slabé heslá na jednom mieste a prestať sa nimi zaoberať. Prínos vzniká najmä vtedy, keď postupne nahradíte opakované heslá odlišnými.

Správca zároveň nie je náhradou zabezpečenia telefónu či počítača. Odomknuté zariadenie, neaktualizovaný systém alebo škodlivý program môžu ohroziť aj údaje, ktoré inak uchovávate správne.

Vstavaný správca alebo samostatná služba

Správcu môžete mať už v prehliadači alebo operačnom systéme. Samostatné služby zase môžu uľahčovať používanie naprieč rôznymi systémami a prehliadačmi. Rozhodujúce je, či riešenie funguje na zariadeniach, ktoré skutočne používate.

Ďalší rozdiel je medzi synchronizovanou službou a riešením, pri ktorom máte databázu pod vlastnou správou. Cloudová synchronizácia uľahčuje dostupnosť na viacerých zariadeniach. Lokálne riešenie presúva väčšiu časť zodpovednosti za dostupnosť a údržbu na používateľa. Ani jedna možnosť nie je automaticky bez rizika.

Pred výberom si položte praktické otázky: Dostanete sa k heslám aj po strate telefónu? Funguje služba na pracovnom počítači, ak jej používanie zamestnávateľ povoľuje? Rozumiete spôsobu obnovy a exportu? Nestačí porovnávať iba počet doplnkových funkcií.

Hlavné heslo nesmie byť staré heslo zo všetkých účtov

Ak správca používa hlavné heslo, vytvorte preň samostatnú dlhú frázu alebo iné dostatočne silné heslo, ktoré nikde inde nepoužívate. Neopierajte ho o verejne známe osobné údaje. Zapnite tiež dostupné dodatočné overenie prihlásenia. Ochrana správcu je dôležitá, pretože jeho prístup chráni množstvo ďalších účtov.

Biometrické odomykanie môže používanie zjednodušiť, ale nenahrádza znalosť obnovovacieho postupu. Pred spoliehaním sa na odtlačok prsta si overte, čo budete potrebovať na novom zariadení alebo po odhlásení.

Rovnako nepredpokladajte, že zabudnuté hlavné heslo vždy vyrieši zákaznícka podpora. Napríklad Bitwarden vysvetľuje, že jeho možnosti obnovy závisia od vopred dostupných spôsobov a nastavení; poskytovateľ vám jednoducho neprečíta zabudnuté heslo ani obsah trezoru.

Obnovu pripravte mimo jediného zariadenia

Predstavte si situáciu: heslo k správcovi máte uložené iba v správcovi a jeho druhý faktor iba v telefóne. Po strate telefónu potrebujete prístup k trezoru, ale údaje na jeho otvorenie sú za rovnakými zamknutými dverami.

Riešením je vopred pripravená nezávislá cesta podľa možností služby. Môže ísť o bezpečne uložené obnovovacie údaje, ďalšie overovacie zariadenie alebo podporovaný núdzový prístup. Rozhodujúce je, aby ste vedeli, čo konkrétna možnosť obnovuje a čo nie.

Obnovovací dokument neukladajte bez ochrany na plochu počítača. Zároveň ho nenechávajte iba v taške spolu so zariadením, ktorého stratu má riešiť. Samotné vytvorenie zálohy nestačí, ak k nej pri probléme nebudete mať prístup.

Prenos hesiel môže vytvoriť nechránenú kópiu

Pri prechode medzi správcami sa môžete stretnúť s exportom do súboru CSV alebo JSON. Prípona súboru sama nehovorí, že je obsah zašifrovaný. Napríklad 1Password upozorňuje, že jeho nešifrovaný export dokáže prečítať každý, kto súbor získa.

Export preto neposielajte cez bežný e-mail a nenechávajte ho v priečinku, ktorý sa automaticky zdieľa. Po overení úspešného prenosu odstráňte nepotrebné nešifrované kópie.

Pri zálohovaní preverujte aj obnoviteľnosť šifrovaného exportu. Bitwarden napríklad rozlišuje export viazaný na pôvodný účet a export chránený samostatným heslom. Nie každá šifrovaná kópia je použiteľná rovnakým spôsobom pri strate účtu.

Heslá nemeňte iba kvôli kalendáru

Automatická zmena dobre zvoleného hesla každý mesiac nie je univerzálnou podmienkou bezpečnosti. NIST neodporúča vyžadovať pravidelné zmeny bez dôvodu, ale požaduje zmenu pri dôkaze o kompromitovaní.

Heslo zmeňte pri jeho prezradení, opakovanom používaní alebo dôvodnom podozrení na zneužitie. Pri pracovných účtoch dodržiavajte pravidlá organizácie a prípadné zmeny riešte so správcom.

Dôležité je aj miesto zmeny: nový údaj treba nastaviť v príslušnej službe. Samotná úprava uloženého textu v správcovi hesiel nezmení prihlasovanie na webe.

Praktická úloha: začnite tromi účtami

Vyberte hlavný e-mail a dva ďalšie dôležité účty. Skontrolujte, či nemajú rovnaké heslo. Pri každom si poznačte iba stav zabezpečenia a pripravenosť obnovy, nie samotné tajné údaje.

Po zmene overte nové prihlásenie na vlastnom dôveryhodnom zariadení. Pôvodnú funkčnú reláciu počas nastavovania zbytočne nerušte, kým nepotvrdíte, že nový spôsob funguje.

Cieľom prvého kroku nie je presunúť všetko naraz. Je ním správne nastaviť postup, ktorý potom zopakujete pri ostatných účtoch.