Модул 2 · 2.2
Избор и използване на мениджър на пароли
Модул 2: Пароли и вход в системата · Време за четене: 9 минути
Учебна цел: След този урок ще можете да изберете и настроите мениджър на пароли, да защитите главната парола и да споделяте пароли безопасно в екип.
Основни понятия: мениджър на пароли, главна парола, трезор (vault), end-to-end криптиране, споделен трезор, аварийно достъп, вграден в браузъра мениджър на пароли
Какво прави мениджърът на пароли
В урок 2.1 видяхте, че всеки акаунт се нуждае от собствена, дълга и случайна парола. Никой не може да запомни осемдесет такива. Мениджърът на пароли е софтуер, който върши това вместо Вас. Той:
- създава за всяка услуга силна, случайна парола;
- съхранява всички пароли криптирани в трезор;
- попълва ги на правилния уебсайт, и само там;
- често предупреждава за слаби, дублирани или изтекли пароли;
- при много продукти може да съхранява и кодовете за двуфакторно удостоверяване, както и passkeys (урок 2.3 и 2.4).
Вие трябва да запомните само едно нещо: главната парола, с която отваряте трезора. Нидерландският национален екип за киберсигурност (NCSC) препоръчва мениджър на пароли като стабилна основа дори за малки организации, с ясни правила кой мениджър се използва и за кои акаунти е задължителен.
Видове мениджъри на пароли
Няма един най-добър вид. Нидерландският NCSC разграничава мениджъра, вграден в браузъра, самостоятелното приложение, както и онлайн (облачен) спрямо офлайн (локален) вариант. На практика ще срещнете следните форми:
| Вид | Пример как работи | Предимства | Недостатъци |
|---|---|---|---|
| Вграден в браузъра или операционната система | Браузърът или Вашият телефон предлага да запази парола и по-късно я попълва автоматично | Вече е наличен, лесен е, синхронизира се в рамките на една и съща екосистема | Често няма отделна главна парола: който влезе в компютъра Ви, влиза и в паролите Ви; по-малко подходящ между различни системи и за споделяне в екип |
| Самостоятелно приложение с облачна синхронизация | Отделно приложение и разширение за браузъра на всички Ваши устройства, трезорът е криптиран при доставчика | Работи на всички системи, споделени трезори, управление за екипи, предупреждения | Доверявате се на доставчика; необходима е силна главна парола |
| Локален (офлайн) | Криптиран файл с трезор на Вашия собствен компютър | Вие сами контролирате всичко | Сами трябва да се грижите за резервно копие и синхронизация; споделянето е по-трудно |
| Отворен код, евентуално със собствен хостинг | Кодът може публично да се проверява; някои решения се стартират на собствен сървър | Проверим, без зависимост от една компания | Собственият хостинг означава сами да актуализирате, защитавате и правите резервни копия |
Известни примери за самостоятелни мениджъри са Bitwarden, 1Password, KeePassXC и Proton Pass, освен мениджърите, вградени в браузъри и операционни системи. Това не е препоръка: изберете въз основа на въпросите по-долу.
Въпроси при избора
- Работи ли на всички Ваши устройства и браузъри, включително тези на колегите?
- Можете ли да споделяте трезори с права по папки и по-късно да премахнете някого от трезор?
- Трезорът криптиран ли е end-to-end, и какво остава криптирано, а какво не (например адресите на уебсайтовете)?
- Можете ли да защитите трезора с двуфакторно удостоверяване или passkey?
- Има ли аварийно достъп или процедура за възстановяване, и как точно работи тя?
- Можете ли да експортирате данните си, ако решите да смените мениджъра?
- При безплатни версии: какъв е бизнес моделът?
End-to-end криптиране: какво, ако доставчикът бъде хакнат?
При добър облачен мениджър Вашият трезор се криптира на Вашето устройство с ключ, изведен от главната Ви парола. Доставчикът получава само криптирания пакет. Това се нарича end-to-end криптиране (понякога „zero knowledge“). Доставчикът не може да прочете паролите Ви и следователно не може да възстанови и главната Ви парола вместо Вас.
Ако доставчикът бъде хакнат, нападателят може да открадне криптираните трезори. След това може да се опита да ги разбие офлайн, както в урок 2.1. В този момент главната Ви парола е единствената Ви защита. Затова:
- Главната парола е дълга и уникална: парола фраза от поне пет, по-добре шест случайни думи.
- Не я използвате никъде другаде.
- След изтичане на данни при доставчика сменяте главната си парола, както и паролите на най-важните си акаунти. Старият, откраднат трезор все пак е криптиран със старата главна парола.
Двуфакторното удостоверяване на трезора помага срещу някой, който знае главната Ви парола и иска да влезе през уебсайта. То не помага срещу разбиването на откраднат файл с трезор. Нидерландският NCSC също го посочва: 2FA на мениджъра не е основание за слаба главна парола.
Защита на главната парола
Забравянето на главната парола при добър мениджър често е необратимо: доставчикът не може да я възстанови. Затова уредете това предварително:
- Запишете главната парола на хартия и я съхранявайте вкъщи на сигурно място. Нидерландският NCSC смята това за напълно приемливо, стига да не пишете до нея за какво служи.
- Създайте комплекта за възстановяване или аварийния код, който предлага Вашият мениджър, разпечатайте го и го съхранявайте заедно с хартията.
- Въвеждайте главната парола само в приложението или разширението на самия мениджър, никога на уебсайт, който я поиска.
- Включете автоматичното заключване след няколко минути бездействие.
Защо автоматичното попълване помага срещу фишинг
Мениджърът на пароли свързва всяка парола с адреса на уебсайта. На https://mijnbank.example той попълва паролата Ви. На двойник като https://rnijnbank.example (rn вместо m) или https://mijnbank-veilig.example той не прави нищо, защото тези адреси не са записани при елемента.
Човек често не забелязва разликата между rn и m. Мениджърът сравнява символите и не се уморява и не бърза. Това е истинска защита, но само ако му позволите да работи:
Ако мениджърът Ви внезапно не попълва нищо на сайт, където това винаги се случваше, не го заобикаляйте, като копирате паролата на ръка. Първо разгледайте внимателно адреса. Точно това е моментът, в който мениджърът Ви предупреждава.
Понякога има основателна причина за непопълване: услуга, която се е преместила на нов адрес. Тогава проверете това по друг начин, например като сами въведете адреса, който вече познавате.
Споделяне в екип
При малка фирма винаги има акаунти, които използвате заедно: онлайн магазина на webwinkelplatform.example, акаунта при koeriersdienst.example, социалните мрежи на фирмата. Най-добре е всеки да има собствен акаунт (модул 7). Ако това не е възможно, използвайте споделен трезор:
- Създайте трезори или папки по теми („Онлайн магазин“, „Финанси“, „Социални мрежи“) и давайте достъп само на тези, на които е нужен.
- Никога не споделяйте чрез имейл, чат или таблица. Който има достъп до споделения трезор, вижда паролата там.
- Напуска ли някой? Премахнете го от трезора и сменете паролите, които е могъл да вижда. Само премахването от трезора не е достатъчно: той може да ги е преписал или запазил другаде.
- Уредете аварийно достъп: какво се случва, ако Вие, собственикът, сте болен или не сте на разположение? Много мениджъри имат функция, при която доверено лице получава достъп след период на изчакване. Или съхранявате данните за възстановяване в запечатан плик при второ лице.
На практика: преминаване за един следобед
- Изберете мениджър и го инсталирайте на компютъра и телефона, заедно с разширението за браузъра.
- Създайте главна парола (парола фраза), запишете я, съхранете комплекта за възстановяване.
- Включете двуфакторно удостоверяване на трезора.
- Импортирайте паролите, които браузърът Ви вече е запазил. Експортираният файл често е некриптиран: изтрийте го веднага след импортирането, включително от кошчето.
- Започнете с най-важните акаунти и дайте на всеки нова, случайна парола: пощенската Ви кутия (
info@example.com), хостинга и регистрацията на домейна Ви, банката и счетоводството Ви (например наboekhoudpakket.example). - Обновете останалите, когато така или иначе влизате в тях. Предупрежденията за дублирани пароли ще Ви помогнат.
Използвате ли услуга в средата на WebOké, като пощенска кутия или Nextcloud, с приложения на телефона? За тях понякога се създава отделна парола за приложение (вижте База знания 436). Съхранявайте и нея в мениджъра, при правилния елемент. При други доставчици работи подобно.
Обобщение
- Мениджърът на пароли създава, съхранява и попълва уникални пароли; Вие запомняте само главната парола.
- Видове: вграден в браузъра или системата, самостоятелно приложение с облак, локален, отворен код или собствен хостинг. Избирайте според устройствата, споделянето, криптирането и възстановяването.
- При end-to-end криптиране главната Ви парола е последната защита, ако доставчикът бъде хакнат.
- Ако мениджърът не попълва паролата, погледнете адреса, вместо да копирате.
- Споделяйте чрез споделен трезор и сменяйте паролите, когато някой напусне.
Тест (quiz)
Задача
Задача D2.2: Настройване на Вашия мениджър на пароли. Изберете мениджър на пароли, създайте главна парола и комплект за възстановяване, включете двуфакторно удостоверяване на трезора и задайте нова, уникална парола за петте си най-важни акаунта. Отметнете контролния списък и отговорете на въпросите за размисъл. Никъде не въвеждате реална парола.
Задача D2.2: Настройване на Вашия мениджър на пароли
Ето как да подходите: (1) Изберете вид мениджър на пароли (вграден, отделно приложение с облак, локален, с отворен код или самостоятелно хостван) въз основа на въпросите от урок 2.2. (2) Инсталирайте го на компютъра и телефона си, заедно с разширението за браузъра. (3) Създайте главна парола: парола фраза от поне пет, по-добре шест случайни думи. Запишете я на хартия и я съхранявайте вкъщи на сигурно място, заедно с комплекта за възстановяване или аварийния код на мениджъра. (4) Включете двуфакторно удостоверяване (2FA) за трезора. (5) Импортирайте съществуващите пароли от браузъра си и незабавно изтрийте експортирания файл, включително от кошчето. (6) Задайте нова, случайна парола от поне 15 знака на петте си най-важни акаунта: пощенска кутия, хостинг или регистрация на домейн, банка, счетоводство и акаунта, от който зависят останалите. (7) Ако работите с други хора: създайте споделен трезор за общите акаунти и добавете само хората, на които наистина им е нужен достъп.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Още за четене
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.
- Ръководство за DirectAdmin 3.7: Сигурни пароли и какво да правите при изтекла парола
- Създаване на парола за приложение (нужна за свързване с приложения и устройства)
- Nextcloud наръчник 3.5: App-пароли: кога и как
- Нидерландският NCSC, Как да избера мениджър на пароли?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
- Нидерландският NCSC, Четири стъпки за по-сигурни пароли: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken