Jak wybrać menedżer haseł i dobrze z niego korzystać

Gdy dochodzi do wycieku danych z serwisu, skradzione pary adresu e-mail i hasła rzadko zostają u tego, kto je pierwotnie wykradł. Są sprzedawane i wprowadzane do zautomatyzowanych narzędzi, które próbują tej samej kombinacji u dostawców poczty, w sklepach, sieciach społecznościowych i na platformach do gier. Ta technika, zwana credential stuffing, działa tylko wtedy, gdy ludzie powtarzają hasła, i jest jednym z najczęstszych sposobów przejmowania zwykłych kont.

Unikalne hasła przerywają ten łańcuch. Jeśli każde konto ma własne, długie, losowe hasło, wyciek w jednym serwisie zostaje ograniczony do tego serwisu. Haczyk w tym, że nikt nie zapamięta dziesiątek losowych ciągów znaków, a właśnie do tego menedżer haseł jest stworzony.

Menedżer haseł przechowuje twoje loginy w zaszyfrowanym sejfie, który otwiera się jednym hasłem głównym, a na zaufanych urządzeniach często także odciskiem palca lub twarzą. Generuje długie losowe hasła podczas rejestracji lub zmiany hasła i wypełnia je za ciebie przy logowaniu.

Autouzupełnianie to również cichy element ochrony przed phishingiem. Menedżer dopasowuje zapisane loginy do dokładnego adresu strony, więc zwykle nie zaproponuje hasła do banku na podobnie wyglądającej domenie. Jeśli menedżer nagle nie rozpoznaje strony logowania, z której często korzystasz, zatrzymaj się i sprawdź adres, zanim wpiszesz cokolwiek ręcznie.

Większość menedżerów robi więcej niż przechowywanie haseł. Częste dodatki to bezpieczne notatki na kody zapasowe i dane odzyskiwania, przechowywanie kluczy dostępu, alerty, gdy zapisane hasło pojawi się w znanym wycieku, ostrzeżenia o słabych lub powtarzanych hasłach oraz bezpieczne udostępnianie rodzinie lub zespołowi.

Na pierwszym miejscu jest szyfrowanie. Szukaj szyfrowania end-to-end, czasem opisywanego jako architektura zero-knowledge, co oznacza, że sejf jest szyfrowany na twoim urządzeniu, a dostawca nie może go odczytać. Opublikowana dokumentacja bezpieczeństwa i niezależne audyty to dobre oznaki, że firma traktuje to poważnie.

Następnie sprawdź, czy menedżer działa wszędzie tam, gdzie ty: w przeglądarkach, z których korzystasz, na telefonie i komputerze, z niezawodną synchronizacją między nimi. Sam sejf powinien obsługiwać uwierzytelnianie dwuskładnikowe, najlepiej z aplikacją uwierzytelniającą lub kluczem bezpieczeństwa, aby skradzione hasło główne samo nie wystarczyło do jego otwarcia.

Na koniec pomyśl o wyjściu, zanim dołączysz. Dobry menedżer pozwala wyeksportować dane w standardowym formacie, więc nigdy nie jesteś uwiązany. Przeczytaj, co się dzieje, jeśli zapomnisz hasła głównego: niektóre usługi oferują zestaw odzyskiwania lub zaufany kontakt, a rygorystyczne rozwiązania typu zero-knowledge mogą nie mieć odzyskiwania w ogóle, co sprawia, że bezpiecznie przechowywany arkusz awaryjny jest niezbędny.

Przeglądarki i systemy operacyjne mają dziś sprawne menedżery haseł. Menedżer haseł Google jest wbudowany w Chrome i Androida, urządzenia Apple zawierają menedżer haseł synchronizowany przez pęk kluczy iCloud (iCloud Keychain), a Microsoft Edge zapisuje hasła na koncie Microsoft. Nie wiążą się z dodatkowym kosztem, są już na urządzeniu i synchronizują się automatycznie w obrębie własnego ekosystemu.

Ich ograniczeniem jest właśnie ten ekosystem. Jeśli łączysz iPhone'a z komputerem z Windows albo przełączasz się między kilkoma przeglądarkami, wbudowany menedżer może nie towarzyszyć ci wszędzie wygodnie. Samodzielne menedżery, w tym oferowane przez dostawców skupionych na prywatności, takich jak Proton, działają na różnych platformach i w różnych przeglądarkach i zwykle dodają bogatsze udostępnianie, bezpieczne notatki i elastyczniejsze porządkowanie.

Każdy z tych wyborów jest znacznie lepszy niż powtarzanie haseł. Wybierz ten, z którego naprawdę będziesz korzystać codziennie, i unikaj rozdzielania loginów między kilka menedżerów, bo łatwo wtedy stracić orientację, która kopia jest aktualna.

Twoje hasło główne to jedyne hasło, które musisz pamiętać, więc niech będzie długie i łatwe do zapamiętania, a nie krótkie i skomplikowane. Hasło złożone z kilku niepowiązanych słów łatwiej wpisać i znacznie trudniej odgadnąć niż krótki ciąg symboli. Nigdy nie używaj go nigdzie indziej.

Od razu włącz w menedżerze uwierzytelnianie dwuskładnikowe i przechowuj jego kody zapasowe lub zestaw awaryjny offline, na przykład na papierze w bezpiecznym miejscu w domu. Jeśli menedżer oferuje metodę odzyskiwania, skonfiguruj ją teraz, a nie po zablokowaniu się.

Potem dostosuj kilka ustawień: blokuj sejf po krótkim czasie bezczynności, wymagaj hasła głównego lub biometrii po ponownym uruchomieniu i aktualizuj aplikacje oraz rozszerzenia przeglądarki, by otrzymywać poprawki bezpieczeństwa.

Większość menedżerów potrafi zaimportować hasła zapisane w przeglądarce lub wyeksportowane z innego menedżera, zwykle jako plik CSV. Ten plik to zwykły, niezaszyfrowany tekst, więc wyeksportuj go, od razu zaimportuj, a potem usuń, także kopię w folderze pobranych plików i w koszu.

Po imporcie wyłącz zapisywanie haseł w przeglądarce, jeśli przechodzisz na samodzielny menedżer, aby nowe loginy nie trafiały w dwa miejsca. Potem otwórz raport bezpieczeństwa menedżera i zacznij poprawiać powtarzane i słabe hasła. Zacznij od kont e-mail, bo mogą resetować wszystko inne, a potem przejdź do kont finansowych, służbowych i społecznościowych.

Nie musisz zmieniać wszystkiego w jeden wieczór. Aktualizuj każde pozostałe hasło przy najbliższym logowaniu do danego serwisu, a w ciągu kilku tygodni większość twojego sejfu będzie składać się z unikalnych, wygenerowanych haseł.

Dane logowania, które docierają do ciebie w e-mailu, we współdzielonym dokumencie lub na stronie zamówienia, należą do menedżera, a nie do zrzutów ekranu czy zwykłych notatek. Utwórz nowy wpis z adresem strony, nazwą użytkownika i hasłem, a adres e-mail do odzyskiwania, kody zapasowe i inne dane konfiguracji dodaj w polu notatek wpisu.

Jeśli konto pochodzi z zakupu w rStock, dostarczona zawartość pojawia się na twojej stronie zamówienia jako zapis dostawy powiązany z zamówieniem. Skopiuj go do menedżera, potem zmień hasło na nowo wygenerowane, ustaw własne opcje odzyskiwania i włącz uwierzytelnianie dwuskładnikowe. Zrobienie tego bez zwłoki pozwala też sprawdzić, czy wszystko działa, dopóki możesz jeszcze otworzyć spór w ograniczonym czasie po dostawie. Zawsze korzystaj z takich kont zgodnie z warunkami korzystania danej marki. rStock nie jest powiązany z żadną marką wymienioną w tym artykule.

Gdy konto jest już zabezpieczone, usuń wszelkie dodatkowe kopie wklejone do notatek, czatów lub plików tekstowych. Twój menedżer powinien być jedynym miejscem, w którym znajduje się aktualne hasło, co ułatwia jego aktualizację i utrudnia znalezienie go komukolwiek innemu.