Módulo 7 · 7.4
Transferir palavras-passe para um gestor de palavras-passe
Módulo 7: Colaborar, aplicações e segurança · Tempo de leitura: 10 minutos
Objetivo de aprendizagem: Após esta lição, saberá transferir palavras-passe de forma segura a partir do seu browser, de papéis e de folhas de cálculo para um gestor de palavras-passe adequado à sua nova configuração, incluindo cofres partilhados para a equipa.
Conceitos fundamentais: gestor de palavras-passe, cofre, palavra-passe principal, chave de recuperação, palavras-passe no browser (Google, Edge, Apple), exportação como csv, cofre ou coleção partilhada, alojamento próprio, código aberto, encriptação no próprio dispositivo (zero-knowledge), guardar chaves de acesso (passkeys)
O elemento esquecido
Em quase todos os inventários faltam as palavras-passe. Não estão num serviço de cloud que vai cancelar, por isso ninguém se lembra delas. No entanto, estão muitas vezes bem no centro de tudo. Na Bakkerij De Korrel, uma ronda revela o seguinte:
- a maioria das palavras-passe está no Chrome, guardada na conta Google da pessoa;
- as palavras-passe do banco, do grossista e da loja online estão numa folha de cálculo
wachtwoorden.xlsxno Google Drive; - a palavra-passe do wifi e o código do alarme estão escritos num papel;
- dois colegas utilizam a mesma palavra-passe em todo o lado.
Se a conta Google desaparecer, as palavras-passe no Chrome desaparecem com ela. E uma folha de cálculo com palavras-passe na cloud é uma das primeiras coisas que um intruso procura. Uma mudança é, por isso, o momento ideal para resolver esta situação.
O que faz um gestor de palavras-passe
Um gestor de palavras-passe é um cofre encriptado para palavras-passe, com uma aplicação no telemóvel e no computador e uma extensão no browser. Você memoriza uma palavra-passe principal forte; o gestor cria para cada site uma palavra-passe longa e única e preenche-a automaticamente.
É importante saber onde ocorre a encriptação. Nos gestores mais conhecidos, o cofre é encriptado no próprio dispositivo com uma chave derivada da sua palavra-passe principal. O fornecedor guarda apenas o cofre encriptado e não consegue ler as suas palavras-passe. A isto chama-se frequentemente "zero-knowledge". A consequência é que, se esquecer a sua palavra-passe principal e não tiver uma chave de recuperação, nem o fornecedor pode ajudá-lo.
Um bom gestor só preenche automaticamente no endereço verdadeiro. Um site falso do seu banco não recebe, portanto, nada, mesmo que tenha exatamente o mesmo aspeto. Esta é uma proteção adicional contra phishing.
Que tipos existem?
| Tipo | Exemplos | Por trás do software | A ter em atenção |
|---|---|---|---|
| Ficheiro local, não é um serviço | KeePassXC (e outros programas KeePass) | Projeto de comunidade de código aberto | Você próprio guarda e sincroniza o ficheiro do cofre, por exemplo na sua nova cloud. Partilhar numa equipa é mais difícil |
| Serviço, código aberto, também pode ser alojado por si | Bitwarden | Bitwarden Inc., uma empresa norte-americana. Também oferece uma localização de dados na UE; o servidor também pode ser gerido por si | No serviço de cloud, o fornecedor continua a ser norte-americano, mesmo com armazenamento na UE (lição 2.1). Alojar por si próprio elimina esse problema |
| Serviço, código aberto, orientado para equipas | Passbolt | Passbolt SA, Luxemburgo | Forte na partilha por grupo; pode ser alojado por si ou utilizado como serviço |
| Serviço de um fornecedor europeu de privacidade | Proton Pass | Proton AG, Suíça (não é UE, mas tem uma decisão de adequação) | É uma boa opção se já utilizar outros serviços Proton |
| Incorporado no browser ou no sistema operativo | Gestor de Palavras-passe do Google, Edge, Palavras-passe da Apple | Google, Microsoft, Apple (EUA) | Prático, mas fica preso a essa conta e a esse ecossistema |
Isto não é uma lista de classificação. Para uma empresa em nome individual, o KeePassXC com o ficheiro do cofre na sua própria cloud pode ser uma excelente opção. Para uma equipa de doze pessoas, é mais prático um gestor com cofres partilhados. Utilize também aqui as cinco perguntas da lição 2.1 (sede, proprietário, centro de dados, subcontratantes, chave). Num gestor de palavras-passe, a última pergunta tem o maior peso: quem tem a chave? Se for apenas você, importa menos onde está guardado o cofre encriptado do que no caso de ficheiros comuns.
Transferir: exportar, importar e eliminar de imediato
Quase todos os browsers e gestores conseguem exportar palavras-passe como ficheiro csv. Trata-se de um ficheiro de texto comum com, em cada linha, um site, um nome de utilizador e uma palavra-passe, sem encriptação. Qualquer pessoa que abra o ficheiro consegue ler tudo. Por isso:
- Faça-o num computador em que confia, não num computador partilhado da loja.
- Exporte para o seu próprio computador, não para uma pasta sincronizada ou para a cloud. Caso contrário, o ficheiro não encriptado fica em segundos no servidor, nas versões e no lixo.
- Importe-o imediatamente para o novo gestor.
- Verifique por amostragem se está correto (inicie sessão em alguns sites).
- Elimine o ficheiro csv de imediato, e esvazie também o lixo do computador.
- De seguida, desative a opção de guardar palavras-passe no browser, para que não surja uma segunda cópia, desatualizada.
A folha de cálculo com palavras-passe transfere-a inserindo os dados manualmente no gestor (ou importando-os como csv, com as mesmas regras). Elimine depois a folha de cálculo, também do lixo e do histórico de versões da cloud antiga. Altere as palavras-passe mais importantes que nela constavam, pois não sabe quem viu o ficheiro ao longo dos anos.
Preste também atenção às chaves de acesso (passkeys) (lição 7.3). Uma passkey guardada na sua conta Google ou Apple nem sempre pode ser exportada. Para os sites importantes, crie uma nova passkey no seu novo gestor ou assegure-se de que conhece a palavra-passe e o segundo fator, antes de encerrar a conta antiga.
Partilhar numa equipa
Algumas palavras-passe pertencem à organização, não a uma pessoa: o banco, o grossista, as contas de redes sociais, o wifi. Para isso, utilize um cofre partilhado ou coleção no gestor:
- Crie um cofre por grupo: "Loja", "Administração", "Gestão". Nem todos precisam de ver tudo.
- Nunca partilhe uma palavra-passe por chat ou email. Nem mesmo "rapidamente".
- Se alguém sair, remova-o dos cofres partilhados e altere as palavras-passe a que tinha acesso e que possa ter memorizado ou copiado.
A palavra-passe principal e o dia em que algo corre mal
A palavra-passe principal é a única chave. Escolha uma frase longa de quatro a seis palavras aleatórias, que não utilize em mais lado nenhum. Ative também a autenticação de dois fatores (2FA) no próprio gestor.
Preveja a recuperação com antecedência:
- Guarde a chave de recuperação ou o acesso de emergência que o seu gestor oferece em papel, num local seguro.
- Combine, para a organização, quem obtém acesso em caso de falecimento ou doença prolongada do proprietário. Muitos gestores têm uma função de acesso de emergência para isso.
- Os códigos de recuperação das suas contas mais importantes também pertencem aqui, ou em papel (lição 7.3). Não num cofre a que só consegue aceder com essas mesmas contas.
Na prática: como funciona num fornecedor
Num Nextcloud WebOké não existe um gestor de palavras-passe próprio; utiliza um gestor de palavras-passe à sua escolha. Se utilizar o KeePassXC, pode colocar o ficheiro encriptado do cofre no seu Nextcloud, para que fique disponível através da aplicação de ambiente de trabalho em todos os seus computadores e possa ser recuperado através das versões. O ficheiro fica então encriptado com a sua palavra-passe principal antes de chegar ao servidor. O manual sobre a segurança do Nextcloud WebOké recomenda também, por si só, um gestor de palavras-passe, e refere-o como um bom local para guardar os seus códigos de recuperação.
Noutros serviços de cloud europeus, o funcionamento é semelhante: o gestor de palavras-passe é, geralmente, um serviço ou aplicação separada, ao lado da sua cloud.
Resumo
- As palavras-passe no browser da sua conta antiga desaparecem com essa conta quando a encerrar. Transfira-as com antecedência.
- Um gestor de palavras-passe encripta no próprio dispositivo; a palavra-passe principal é a única chave.
- Uma exportação csv não está encriptada: nunca numa pasta sincronizada, importe de imediato, elimine de imediato.
- Utilize cofres partilhados por grupo para as palavras-passe da organização, e altere-as quando alguém sair.
- Preveja a recuperação e o acesso de emergência com antecedência, em papel.
Quiz
Exercício
Exercício E7.4: Palavras-passe mapeadas e plano de transferência. Descubra onde estão atualmente as palavras-passe na sua organização (browser por pessoa, folhas de cálculo, papéis, contas partilhadas), escolha um gestor de palavras-passe com as cinco perguntas da lição 2.1, e escreva o plano de transferência: quem exporta o quê, em que computador, quando o ficheiro csv é eliminado, e que cofres partilhados serão criados.
Exercício E7.4: Palavras-passe em levantamento e plano de migração
Procure todos os locais com palavras-passe e transfira-as de forma segura para um único gestor de palavras-passe. Nunca cole palavras-passe aqui.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; noutros fornecedores, o funcionamento é semelhante.
- Manual do Nextcloud 3.1: Como é que a WebOké protege a sua Nextcloud?
- Manual do Nextcloud 3.3: Configurar uma aplicação autenticadora e guardar códigos de segurança
- NCSC, Começar com cibersegurança (nota: o NCSC, Centro Nacional de Segurança Cibernética, é o organismo neerlandês para este tema): https://www.ncsc.nl/beginnen-met-cybersecurity
- KeePassXC: https://keepassxc.org/