Upravitelj lozinki i passkeyji: ovako sigurno uredite svoju prijavu
Svaki račun treba vlastitu, dugu lozinku. Ako istu lozinku koristite na više mjesta, sva su ta mjesta otvorena čim jedna procuri. Nitko ne može zapamtiti osamdeset različitih lozinki. Upravitelj lozinki to radi umjesto Vas. Gdje je moguće, lozinku zamijenite pristupnim ključem (passkey), koji lažne stranice ne mogu zloupotrijebiti.
Što radi upravitelj lozinki
- Za svaku uslugu stvara dugu, nasumičnu lozinku: najmanje 15 znakova ili lozinku od pet ili šest nasumičnih riječi.
- Sve čuva šifrirano u trezoru.
- Lozinku unosi na pravoj web-stranici i samo na njoj.
- Često upozorava na ponovljene ili procurjele lozinke te može čuvati i kodove za autentifikaciju u dva koraka i pristupne ključeve.
Vi pamtite samo jednu: glavnu lozinku trezora.
Vrste
| Vrsta | Prednost | Pazite |
|---|---|---|
| Ugrađen u Vaš preglednik ili telefon | Već postoji i jednostavan je | Često nema zasebne glavne lozinke: tko uđe u Vaše računalo, dolazi i do Vaših lozinki. Manje prikladan za različite sustave i za dijeljenje. |
| Zasebna aplikacija sa sinkronizacijom putem pružatelja | Radi na svim Vašim uređajima, sa zajedničkim trezorima za tim | Vjerujete pružatelju; Vaša glavna lozinka mora biti jaka |
| Lokalna datoteka trezora na Vašem računalu | Sve je u Vašim rukama | Sami se brinete za sigurnosnu kopiju i sinkronizaciju; dijeljenje je teže |
Naš savjet: Proton Pass (švicarska tvrtka s izdašnom besplatnom verzijom) ili 1Password s računom na 1password.eu (kanadska tvrtka, plaća se i vrlo je jednostavan). Oba rade na Vašem Macu, Windows računalu, telefonu i u svim velikim preglednicima. Bitwarden je također dobar, ali je riječ o američkoj tvrtki: na nju se primjenjuje američki zakon, čak i ako je Vaš trezor u EU. U priručniku Upravitelj lozinki u praksi uspoređujemo 23 upravitelja lozinki prema jednostavnosti, sigurnosti i EU/GDPR-u, a korak po korak pročitajte kako postaviti Proton Pass ili 1Password.
Pri odabiru obratite pozornost na sljedeće: radi li na svim Vašim uređajima, možete li dijeliti trezore i nekome ponovno ukinuti pristup, možete li trezor zaštititi autentifikacijom u dva koraka, postoji li pristup u hitnim slučajevima te možete li izvesti svoje podatke ako želite prijeći drugom pružatelju?
Glavna lozinka
- Neka to bude lozinka od riječi: pet ili šest nasumičnih riječi koje odabire generator, a ne Vi sami. Tekst pjesme ili poslovica mogu se pogoditi.
- Ne koristite je nigdje drugdje i upisujte je samo u aplikaciju ili proširenje samog upravitelja.
- Uključite autentifikaciju u dva koraka na trezoru. To nije razlog za kraću glavnu lozinku: ako pružatelj bude hakiran, Vaša je glavna lozinka jedina zaštita Vašeg ukradenog trezora.
- Zaboravljena lozinka često je trajno izgubljena jer je pružatelj ne može vratiti. Zapišite je na papir, bez navođenja čemu služi, i čuvajte je kod kuće na sigurnom mjestu, zajedno s kodom za oporavak Vašeg upravitelja.
- Uključite automatsko zaključavanje nakon nekoliko minuta neaktivnosti.
rn i m. Pogledajte Prepoznavanje phishinga: kako pročitati poveznicu i pošiljatelja.Dijeljenje u timu i pristup u hitnim slučajevima
- Radije svakome dajte vlastiti račun. Ako ipak morate dijeliti prijavu, koristite zajednički trezor po temi i pristup dajte samo onima kojima je potreban. Nikada ne dijelite putem e-pošte, chata ili proračunske tablice.
- Kada netko ode, uklonite ga iz trezora i promijenite lozinke koje je mogao vidjeti.
- Uredite pristup u hitnim slučajevima za slučaj da Vi ne budete dostupni: mnogi upravitelji puštaju osobu od povjerenja unutra nakon razdoblja čekanja. Ili podatke za oporavak čuvajte u zapečaćenoj omotnici kod druge osobe.
Pristupni ključevi i sigurnosni ključevi
Pristupni ključ (passkey) zamjenjuje lozinku. To je par ključeva: tajni dio ostaje na Vašem uređaju ili u Vašem upravitelju lozinki, a web-stranica čuva samo javni dio. Pristupni ključ otključavate otiskom prsta, licem ili PIN-om; to se događa na Vašem vlastitom uređaju.
- Ne radi na lažnoj stranici. Pristupni ključ pripada pravoj domeni, a to provjerava Vaš preglednik. Na stranici koja samo izgleda slično nema pristupnog ključa, pa nema ničega što biste slučajno mogli unijeti ili odobriti.
- Nema se što probiti. Ako web-stranica procuri, napadač ima samo javne ključeve.
- Sigurnosni ključ je mali uređaj za USB priključak ili za prislanjanje uz telefon, s pristupnim ključevima koji se s njega ne mogu skinuti. Uvijek registrirajte najmanje dva ključa i rezervni ključ čuvajte na drugom mjestu.
- Ako je Vaš pristupni ključ spremljen u upravitelju lozinki ili na računu Vašeg telefona, prenosi se i na Vaše druge uređaje. Taj račun tada posebno dobro zaštitite.
- Često i Vaša lozinka i dalje radi. Zato neka ostane duga i jedinstvena.
Kod WebOké
| Usluga | Što je moguće? |
|---|---|
| Nextcloud | Prijava pristupnim ključem ili sigurnosnim ključem moguća je pod Prijava bez lozinke. Vaša lozinka i Vaše druge metode i dalje rade. Za aplikacije izradite lozinku za aplikaciju; i nju spremite u svoj upravitelj. Pogledajte Postavljanje aplikacije za autentifikaciju i čuvanje rezervnih kodova. |
| Moj WebOké | Nema pristupnih ključeva. Nakon Vaše lozinke Moj WebOké uvijek traži kod za prijavu putem e-pošte (Kod za prijavu putem e-pošte) ili kod iz aplikacije za autentifikaciju. Nema kodova za oporavak: ako izgubite aplikaciju, obratite nam se. |
| DirectAdmin | Two-Step Authentication s aplikacijom za autentifikaciju i rezervnim kodovima, pogledajte Postavljanje Two-Step Authentication. |
| Poštanski sandučići | Program za e-poštu prijavljuje se lozinkom. Svakom poštanskom sandučiću dodijelite vlastitu, dugu lozinku iz svog upravitelja. |
Više o jakim lozinkama pročitajte u članku Sigurne lozinke i što učiniti kada lozinka procuri te kod NCSC-a u člancima Kako odabrati upravitelj lozinki? i Kako odabrati MFA metodu?
Želite saznati više? Pohađajte besplatni tečaj Sigurno na internetu za poduzetnike, lekcija 2.2 Odabir i korištenje upravitelja lozinki, ili besplatni tečaj Prelazak na europski oblak, lekcija 7.4 Prijenos lozinki u upravitelj lozinki.