Odabir i korištenje upravitelja lozinki

Modul 2: Lozinke i prijava · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete odabrati i postaviti upravitelja lozinki, zaštititi glavnu lozinku i sigurno dijeliti lozinke u timu.

Ključni pojmovi: upravitelj lozinki, glavna lozinka, trezor, end-to-end enkripcija, dijeljeni trezor, pristup za hitne slučajeve, upravitelj lozinki u pregledniku

Što radi upravitelj lozinki

U lekciji 2.1 vidjeli ste da svaki račun treba vlastitu, dugu i nasumičnu lozinku. Nitko ih ne pamti osamdeset. Upravitelj lozinki je softver koji to radi umjesto Vas. On:

• za svaku uslugu izrađuje jaku, nasumičnu lozinku;
• sve lozinke čuva šifrirane u trezoru;
• unosi ih na pravoj web stranici, i samo tamo;
• često upozorava na slabe, duplicirane ili procurjele lozinke;
• kod mnogih proizvoda može čuvati i kodove za dvofaktorsku autentifikaciju te spremati passkeyeve (lekcije 2.3 i 2.4).

Vi pamtite još samo jednu: glavnu lozinku kojom otvarate trezor. Nizozemski NCSC preporučuje upravitelj lozinki kao osnovu, čak i za male organizacije, uz jasne dogovore koji se upravitelj koristi i za koje je račune obvezan.

Vrste upravitelja lozinki

Ne postoji jedna najbolja vrsta. Nizozemski NCSC razlikuje upravitelja u pregledniku, zasebnu aplikaciju, te online (cloud) naspram offline (lokalno). U praksi ćete naići na ove oblike:

Poznati primjeri zasebnih upravitelja su Bitwarden, 1Password, KeePassXC i Proton Pass, uz upravitelje koji su ugrađeni u preglednike i operativne sustave. Ovo nije preporuka: birajte na temelju pitanja u nastavku.

Pitanja pri odabiru

• Radi li na svim Vašim uređajima i preglednicima, uključujući one kolega?
• Možete li dijeliti trezore s pravima po mapama, i naknadno nekome ukinuti pristup trezoru?
• Je li trezor end-to-end šifriran, i što je, a što nije šifrirano (na primjer adrese web stranica)?
• Možete li trezor zaštititi dvofaktorskom autentifikacijom (2FA) ili passkeyem?
• Postoji li pristup za hitne slučajeve ili postupak oporavka, i kako točno funkcionira?
• Možete li izvesti svoje podatke ako želite prijeći na drugo rješenje?
• Kod besplatnih verzija: koji je model zarade?

End-to-end enkripcija: što ako dobavljač bude hakiran?

Kod dobrog cloud upravitelja Vaš se trezor šifrira na Vašem uređaju ključem koji se izvodi iz Vaše glavne lozinke. Dobavljač dobiva samo šifrirani paket. To se naziva end-to-end enkripcija (ponekad "zero knowledge"). Dobavljač ne može pročitati Vaše lozinke, pa stoga ni ne može vratiti Vašu glavnu lozinku umjesto Vas.

Ako dobavljač bude hakiran, napadač može ukrasti šifrirane trezore. Zatim ih može pokušati razbiti offline, kao u lekciji 2.1. Vaša glavna lozinka je u tom trenutku Vaša jedina zaštita. Zato:

• Glavna lozinka je duga i jedinstvena: lozinka rečenica od najmanje pet, radije šest nasumičnih riječi.
• Ne koristite je nigdje drugdje.
• Nakon curenja podataka kod dobavljača mijenjate glavnu lozinku i lozinke svojih najvažnijih računa. Stari, ukradeni trezor je naime šifriran starom glavnom lozinkom.

Dvofaktorska autentifikacija na trezoru pomaže protiv nekoga tko ima Vašu glavnu lozinku i želi se prijaviti putem web stranice. Ne pomaže protiv razbijanja ukradene datoteke trezora. Nizozemski NCSC to i sam kaže: 2FA na upravitelju nije razlog za slabu glavnu lozinku.

Zaštita glavne lozinke

Zaboravljena glavna lozinka kod dobrog upravitelja često je konačna: dobavljač je ne može vratiti. Zato ovo riješite unaprijed:

• Zapišite glavnu lozinku na papir i čuvajte ga kod kuće na sigurnom mjestu. Nizozemski NCSC smatra da je to u redu, sve dok uz nju ne napišete za što služi.
• Izradite komplet za oporavak ili hitni kod koji nudi Vaš upravitelj, ispišite ga i čuvajte uz papir s lozinkom.
• Glavnu lozinku upisujte samo u aplikaciji ili ekstenziji samog upravitelja, nikad na web stranici koja je traži.
• Uključite automatsko zaključavanje nakon nekoliko minuta neaktivnosti.

Zašto automatsko popunjavanje pomaže protiv phishinga

Upravitelj lozinki povezuje svaku lozinku s adresom web stranice. Na https://mijnbank.example on unosi Vašu lozinku. Na lažnoj, sličnoj adresi poput https://rnijnbank.example (rn umjesto m) ili https://mijnbank-veilig.example ne radi ništa, jer te adrese nisu povezane s tom stavkom.

Čovjek često ne vidi razliku između rn i m. Upravitelj uspoređuje znakove i ne umara se niti žuri. To je prava zaštita, ali samo ako mu dopustite da radi svoj posao:

Vaš upravitelj odjednom ništa ne popunjava na stranici na kojoj je to uvijek radio? Nemojte to zaobići ručnim kopiranjem lozinke. Prvo pažljivo pogledajte adresu. Ovo je upravo trenutak u kojem Vas upravitelj upozorava.

Ponekad postoji i dobar razlog zašto se lozinka ne popunjava: usluga se preselila na novu adresu. To tada provjerite drugim putem, na primjer tako da sami upišete adresu koju ste već poznavali.

Dijeljenje u timu

U malom poduzeću uvijek postoje računi koje koristite zajedno: web trgovina na webwinkelplatform.example, račun kod koeriersdienst.example, društvene mreže tvrtke. Najbolje je da svatko ima vlastiti račun (modul 7). Ako to nije moguće, koristite dijeljeni trezor:

• Izradite trezore ili mape po temi ("Web trgovina", "Financije", "Društvene mreže") i dajte pristup samo onima kojima je potreban.
• Nikada ne dijelite putem e-pošte, chata ili proračunske tablice. Tko ima pristup dijeljenom trezoru, vidi lozinku tamo.
• Netko odlazi? Uklonite ga iz trezora i promijenite lozinke koje je mogao vidjeti. Samo uklanjanje iz trezora nije dovoljno: mogao ih je prepisati ili spremiti.
• Riješite pristup za hitne slučajeve: što se događa ako Vi, vlasnik, razbolite ili budete nedostupni? Mnogi upravitelji imaju funkciju kojom pouzdana osoba nakon razdoblja čekanja dobiva pristup. Ili podatke za oporavak čuvate u zapečaćenoj omotnici kod druge osobe.

U praksi: prelazak u jednom poslijepodnevu

1. Odaberite upravitelja i instalirajte ga na računalo i telefon, s ekstenzijom za preglednik.
2. Izradite glavnu lozinku (lozinku rečenicu), zapišite je, sačuvajte komplet za oporavak.
3. Uključite dvofaktorsku autentifikaciju na trezoru.
4. Uvezite lozinke koje je Vaš preglednik već spremio. Izvoz je često nešifrirana datoteka: odmah je izbrišite nakon uvoza, i iz koša za smeće.
5. Počnite s najvažnijim računima i svakom dajte novu, nasumičnu lozinku: Vašu poštu (info@example.com), Vaš hosting i registraciju domene, Vašu banku i Vaše računovodstvo (na primjer na boekhoudpakket.example).
6. Ostalo ažurirajte kad god se ipak prijavite. Upozorenja o dupliciranim lozinkama pomažu Vam u tome.

Koristite li uslugu u okruženju WebOké, poput e-pošte ili Nextcloud, s aplikacijama na telefonu? Za to ponekad trebate zasebnu lozinku za aplikaciju (vidi Kennisbank 436). I nju čuvate u upravitelju, uz odgovarajuću stavku. Kod drugih dobavljača to funkcionira slično.

Sažetak

• Upravitelj lozinki izrađuje, čuva i unosi jedinstvene lozinke; Vi pamtite samo glavnu lozinku.
• Vrste: ugrađen u preglednik ili sustav, zasebna aplikacija s cloudom, lokalni, otvorenog koda ili vlastiti hosting. Birajte prema uređajima, dijeljenju, enkripciji i oporavku.
• Kod end-to-end enkripcije Vaša je glavna lozinka posljednja linija obrane ako dobavljač bude hakiran.
• Ako upravitelj ništa ne popunjava, pogledajte adresu umjesto da kopirate lozinku.
• Dijelite putem dijeljenog trezora i mijenjajte lozinke kad netko ode.

Kviz

Zadatak

Zadatak D2.2: Postavljanje Vašeg upravitelja lozinki. Odaberite upravitelja lozinki, izradite glavnu lozinku i komplet za oporavak, uključite dvofaktorsku autentifikaciju na trezoru i dodijelite svojih pet najvažnijih računa novu, jedinstvenu lozinku. Označite kontrolni popis i odgovorite na pitanja za razmišljanje. Nigdje ne unosite lozinku.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih dobavljača to funkcionira slično.

• DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
• Izrada lozinke aplikacije (potrebna za povezivanje s aplikacijama i uređajima)
• Nextcloud priručnik 3.5: App-lozinke: kada i kako
• Nizozemski NCSC, Kako odabrati upravitelja lozinki?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Nizozemski NCSC, Četiri koraka za sigurnije lozinke: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken