Прехвърляне на паролите към мениджър на пароли

Модул 7: Сътрудничество, приложения и сигурност · Време за четене: 10 минути

Учебна цел: След този урок ще можете безопасно да прехвърлите паролите от Вашия браузър, бележки и таблици към мениджър на пароли, който пасва на Вашата нова организация, включително споделени трезори за екипа.

Основни понятия: мениджър на пароли, трезор, главна парола, ключ за възстановяване, пароли в браузъра (Google, Edge, Apple), износ като csv, споделен трезор или колекция, собствен хостинг, отворен код, криптиране на собственото Ви устройство (zero-knowledge), съхранение на passkeys

Забравеният елемент

В почти всяка инвентаризация липсват паролите. Те не се намират в облачна услуга, която прекратявате, затова никой не се сеща за тях. А всъщност често са точно в центъра на нещата. При Bakkerij De Korrel след един оглед се оказва следното:

• повечето пароли се намират в Chrome, съхранени в профила на Google на съответния човек;
• паролите за банката, доставчика на едро и онлайн магазина се намират в таблица wachtwoorden.xlsx в Google Drive;
• паролата за wifi и кодът на алармата висят на бележка;
• двама колеги използват навсякъде една и съща парола.

Ако профилът в Google изчезне, заедно с него изчезват и паролите в Chrome. А таблица с пароли в облака е едно от първите неща, които търси един нападател. Преходът към нова услуга е, следователно, точно подходящият момент да решите този проблем.

Какво прави мениджър на пароли

Един мениджър на пароли е криптиран трезор за пароли, с приложение за телефон и компютър и разширение за браузъра. Запомняте една силна главна парола; мениджърът създава за всеки сайт дълга, уникална парола и я попълва вместо Вас.

Важно е къде се извършва криптирането. При известните мениджъри трезорът се криптира на Вашето собствено устройство с ключ, изведен от главната Ви парола. Доставчикът пази само криптирания трезор и не може да прочете Вашите пароли. Това често се нарича "zero-knowledge". Последицата: ако забравите главната си парола и нямате ключ за възстановяване, дори доставчикът не може да Ви помогне.

Добрият мениджър попълва данните само на истинския адрес. Фалшив сайт на Вашата банка следователно не получава нищо, дори ако изглежда абсолютно идентично. Това е допълнителна защита срещу phishing.

Какви видове съществуват?

Това не е класация. За едноличен търговец KeePassXC с файла на трезора в собствения облак може да е напълно достатъчен. За екип от дванадесет души мениджър със споделени трезори е по-практичен. Използвайте петте въпроса от урок 2.1 (седалище, собственик, център за данни, подизпълнители, ключ) и тук. При мениджър на пароли последният въпрос тежи най-много: кой разполага с ключа? Ако това сте само Вие, тогава мястото на съхранение на криптирания трезор е по-маловажно, отколкото при обикновени файлове.

Прехвърляне: износ, внос и незабавно изтриване

Почти всеки браузър и мениджър могат да изнасят пароли като csv файл. Това е обикновен текстов файл, в който на всеки ред има сайт, потребителско име и парола, некриптирани. Всеки, който отвори файла, може да прочете всичко. Затова:

1. Направете го на компютър, на който имате доверие, не на споделен компютър в магазина.
2. Изнесете на собствения си компютър, не в синхронизирана папка или облак. Иначе некриптираният файл за секунди се озовава на сървъра, във версиите и в кошчето.
3. Веднага го внесете в новия мениджър.
4. Проверете на принципна извадка дали всичко е наред (влезте в няколко сайта).
5. Изтрийте csv файла веднага, и изпразнете и кошчето на компютъра.
6. След това изключете запазването на пароли в браузъра, за да не се образува второ, остаряло копие.

Таблицата с пароли прехвърляте, като ръчно въведете данните в мениджъра (или я внесете като csv, при спазване на същите правила). След това изтрийте таблицата, също и от кошчето и историята на версиите на стария облак. Сменете най-важните пароли, които е съдържала, защото не знаете кой е виждал файла през годините.

Обърнете внимание и на passkeys (урок 7.3). Passkey, запазен в профила Ви в Google или Apple, не винаги може да се изнесе. При важните сайтове създайте в новия си мениджър нов passkey или се уверете, че паролата и вторият фактор са Ви известни, преди да закриете стария профил.

Споделяне в екип

Някои пароли принадлежат на организацията, не на отделен човек: банката, доставчикът на едро, профилите в социалните мрежи, wifi. За тях използвайте споделен трезор или колекция в мениджъра:

• Създайте трезор за всяка група: "Магазин", "Администрация", "Управление". Не е нужно всеки да вижда всичко.
• Никога не споделяйте парола чрез чат или имейл. Дори не "само набързо".
• Ако някой напусне, премахнете го от споделените трезори и сменете паролите, до които е имал достъп и които може да е запомнил или копирал.

Главната парола и денят, в който нещо се обърка

Главната парола е единственият ключ. Изберете дълго изречение от четири до шест случайни думи, които не използвате никъде другаде. Включете и двуфакторна идентификация (2FA) за самия мениджър.

Уредете възстановяването предварително:

• Запазете ключа за възстановяване или аварийния достъп, предлаган от Вашия мениджър, на хартия, на сигурно място.
• За организацията уговорете предварително кой получава достъп при смърт или продължително боледуване на собственика. Много мениджъри имат функция за аварийен достъп точно за тази цел.
• Резервните кодове на най-важните Ви профили също принадлежат тук, или на хартия (урок 7.3). Не в трезор, до който се стига само с тези профили.

На практика: ето как изглежда при един доставчик

В WebOké Nextcloud няма отделен мениджър на пароли; използвате мениджър на пароли по избор. Ако използвате KeePassXC, можете да поставите криптирания файл на трезора в своя Nextcloud, така че чрез приложението за компютър да бъде наличен на всичките Ви компютри и да може да се възстановява чрез версиите. Файлът тогава е вече криптиран с Вашата главна парола, преди да достигне до сървъра. Ръководството за сигурността на WebOké Nextcloud самото препоръчва мениджър на пароли и го посочва като добро място за Вашите резервни кодове.

При други европейски облачни услуги работи по подобен начин: мениджърът на пароли обикновено е отделна услуга или приложение, различно от Вашия облак.

Обобщение

• Паролите в браузъра на стария Ви профил изчезват заедно с него, когато го закриете. Прехвърлете ги предварително.
• Мениджър на пароли криптира на Вашето собствено устройство; главната парола е единственият ключ.
• Износ като csv е некриптиран: никога в синхронизирана папка, веднага внасяне, веднага изтриване.
• Използвайте споделени трезори по група за паролите на организацията и ги сменяйте при напускане на служител.
• Уредете възстановяването и аварийния достъп предварително, на хартия.

Тест

Задача

Задача E7.4: Картографиране на паролите и план за прехвърляне. Проучете къде в момента се намират паролите във Вашата организация (браузър за всеки човек, таблици, бележки, споделени профили), изберете мениджър на пароли с помощта на петте въпроса от урок 2.1, и напишете плана за прехвърляне: кой какво изнася, на кой компютър, кога ще бъде изтрит csv файлът, и какви споделени трезори ще бъдат създадени.

Прочетете още

Стъпките в тези статии важат за услугите на WebOké; при други доставчици работи по подобен начин.

• Nextcloud наръчник 3.1: Как WebOké защитава Вашия Nextcloud?
• Nextcloud наръчник 3.3: Настройване на приложение за удостоверяване и съхраняване на резервни кодове
• NCSC (Нидерландският национален център за киберсигурност), Beginnen met cybersecurity: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/