Jelszókezelők kiválasztása és használata

Modul 2: Jelszavak és bejelentkezés · Olvasási idő: 9 perc

Tanulási cél: Ennek a leckének a végén képes lesz jelszókezelőt választani és beállítani, megvédeni a mesterjelszót, és biztonságosan megosztani jelszavakat egy csapatban.

Kulcsfogalmak: jelszókezelő, mesterjelszó, széf, végponttól végpontig titkosítás, megosztott széf, vészhozzáférés, böngésző jelszókezelője

Mit tesz egy jelszókezelő

A 2.1 leckében láthatta, hogy minden fiókhoz saját, hosszú és véletlenszerű jelszóra van szükség. Nyolcvanból senki sem tud ennyit fejben tartani. A jelszókezelő olyan szoftver, amely ezt elvégzi Ön helyett. A jelszókezelő:

• minden szolgáltatáshoz erős, véletlenszerű jelszót készít;
• az összes jelszót titkosítva tárolja egy széfben;
• kitölti őket a megfelelő weboldalon, és csak ott;
• gyakran figyelmeztet a gyenge, duplikált vagy kiszivárgott jelszavakra;
• sok termék esetében a kétlépcsős azonosítás kódjait is megőrzi, és passkeyeket is tud tárolni (2.3 és 2.4 lecke).

Önnek már csak egyet kell megjegyeznie: a mesterjelszót, amellyel a széfet kinyitja. A holland NCSC a jelszókezelő használatát javasolja alapvető eszközként, kisebb szervezetek számára is, egyértelmű megállapodásokkal arról, melyik kezelőt használják, és mely fiókoknál kötelező.

A jelszókezelők típusai

Nincs egyetlen legjobb típus. A holland NCSC megkülönbözteti a böngészőbe épített kezelőt, a külön alkalmazást, valamint az online (felhő alapú) és az offline (helyi) megoldásokat. A gyakorlatban az alábbi formákkal találkozhat:

Az önálló kezelők ismert példái a Bitwarden, az 1Password, a KeePassXC és a Proton Pass, a böngészőkbe és operációs rendszerekbe épített kezelők mellett. Ez nem ajánlás: válasszon az alábbi kérdések alapján.

Kérdések a választáshoz

• Működik minden eszközén és böngészőjében, a kollégái eszközein is?
• Lehet széfeket megosztani mappánkénti jogosultságokkal, és valakit utólag kizárni a széfből?
• A széf végponttól végpontig titkosított, és mi marad titkosítatlan (például a weboldalak címei)?
• Védhető-e a széf kétlépcsős azonosítással vagy passkeyvel?
• Van-e vészhozzáférés vagy helyreállítási lehetőség, és pontosan hogyan működik?
• Tudja-e exportálni az adatait, ha váltani szeretne?
• Ingyenes verzióknál: mi az üzleti modell?

Végponttól végpontig titkosítás: mi van, ha a szolgáltatót feltörik?

Egy jó felhős kezelőnél a széf az Ön eszközén titkosítódik egy olyan kulccsal, amelyet a mesterjelszavából vezetnek le. A szolgáltató csak a titkosított csomagot kapja meg. Ezt nevezik végponttól végpontig titkosításnak (néha "zero knowledge" titkosításnak). A szolgáltató nem tudja elolvasni a jelszavait, ezért a mesterjelszavát sem tudja Ön helyett visszaállítani.

Ha a szolgáltatót feltörik, a támadó ellophatja a titkosított széfeket. Ezeket utána offline próbálhatja feltörni, ahogy azt a 2.1 leckében is láthatta. Ilyenkor a mesterjelszava az egyetlen védelme. Ezért:

• A mesterjelszó hosszú és egyedi legyen: legalább öt, inkább hat véletlenszerű szóból álló jelmondat.
• Sehol máshol ne használja.
• A szolgáltatónál történt adatszivárgás után változtassa meg a mesterjelszavát és a legfontosabb fiókjainak jelszavait is. A régi, ellopott széf ugyanis a régi mesterjelszóval van titkosítva.

A széfre beállított kétlépcsős azonosítás azt akadályozza meg, hogy valaki a mesterjelszavával a weboldalon keresztül jelentkezzen be. Nem véd azonban az ellopott széffájl feltörése ellen. Ezt a holland NCSC is kiemeli: a kezelőn lévő 2FA nem indok a gyenge mesterjelszóra.

A mesterjelszó védelme

Egy jó kezelőnél a mesterjelszó elfelejtése gyakran végleges: a szolgáltató nem tudja visszaszerezni. Ezért ezt előre rendezze el:

• Írja fel a mesterjelszót papírra, és tárolja otthon egy biztonságos helyen. A holland NCSC szerint ez rendben van, amíg nem írja mellé, mire való.
• Készítse el a kezelő által kínált helyreállítási csomagot vagy vészkódot, nyomtassa ki, és tárolja a papír mellett.
• A mesterjelszót kizárólag a kezelő saját alkalmazásában vagy bővítményében írja be, soha olyan weboldalon, amely azt kéri.
• Kapcsolja be az automatikus zárolást néhány perc tétlenség után.

Miért segít az automatikus kitöltés az adathalászat ellen

A jelszókezelő minden jelszót a weboldal címéhez köt. A https://mijnbank.example címen kitölti a jelszavát. Egy hasonló, megtévesztő címen, mint a https://rnijnbank.example (rn az m helyett) vagy a https://mijnbank-veilig.example, semmit nem tesz, mert ezek a címek nincsenek az elemhez mentve.

Egy ember gyakran nem veszi észre a különbséget az rn és az m között. A kezelő karaktereket hasonlít össze, és nem fárad el, nem siet. Ez valódi védelem, de csak akkor, ha hagyja működni:

Hirtelen nem tölt ki semmit a kezelője egy olyan oldalon, ahol ezt mindig megtette? Ne kerülje meg úgy, hogy kézzel másolja be a jelszót. Nézze meg előbb nagyon alaposan a címet. Ez pontosan az a pillanat, amikor a kezelő figyelmeztetni próbálja Önt.

Néha valódi oka is van annak, hogy a kezelő nem tölt ki semmit: egy szolgáltatás átköltözött egy új címre. Ilyenkor ezt más úton ellenőrizze, például úgy, hogy saját maga beírja azt a címet, amelyet már ismert.

Megosztás a csapatban

Egy kisvállalkozásnál mindig vannak olyan fiókok, amelyeket közösen használnak: a webáruház a webwinkelplatform.example címen, a fiók a koeriersdienst.example szolgáltatónál, a vállalkozás közösségi médiás fiókjai. A legjobb, ha mindenkinek saját fiókja van (7. modul). Ha ez nem megoldható, használjon megosztott széfet:

• Hozzon létre széfeket vagy mappákat témánként ("Webáruház", "Pénzügy", "Közösségi média"), és csak azoknak adjon hozzáférést, akiknek szükségük van rá.
• Soha ne osszon meg jelszót e-mailben, chaten vagy táblázatban. Aki hozzáfér a megosztott széfhez, ott látja a jelszót.
• Ha valaki távozik? Vegye ki a széfből, és változtassa meg azokat a jelszavakat, amelyeket láthatott. Önmagában a széfből való eltávolítás nem elég: lehet, hogy lemásolta vagy elmentette azokat.
• Gondoskodjon vészhozzáférésről: mi történik, ha Ön, a tulajdonos, megbetegszik vagy elérhetetlenné válik? Sok kezelőnél van olyan funkció, amely egy várakozási idő után egy megbízott személynek hozzáférést ad. Vagy a helyreállítási adatokat egy lezárt borítékban tárolja egy második személynél.

A gyakorlatban: váltás egyetlen délután alatt

1. Válasszon egy kezelőt, és telepítse számítógépére és telefonjára, a böngészőbővítménnyel együtt.
2. Hozzon létre egy mesterjelszót (jelmondatot), írja fel, és tárolja a helyreállítási csomagot.
3. Kapcsolja be a kétlépcsős azonosítást a széfen.
4. Importálja a böngészője által már tárolt jelszavakat. Az exportfájl gyakran titkosítatlan: az importálás után azonnal törölje, a lomtárból is.
5. Kezdje a legfontosabb fiókokkal, és adjon mindegyiknek új, véletlenszerű jelszót: a postafiókja (info@example.com), a tárhelye és domainregisztrációja, a bankja és a könyvelése (például a boekhoudpakket.example oldalon).
6. A többit frissítse, amikor úgyis bejelentkezik. A duplikált jelszavakra vonatkozó figyelmeztetések segítenek ebben.

Használ WebOké-környezetben szolgáltatást, például postafiókot vagy Nextcloudot, telefonos alkalmazásokkal? Ehhez néha külön alkalmazásjelszót kell létrehoznia (lásd a 436-os tudásbázis cikket). Ezt is tárolja a kezelőben, a megfelelő elemnél. Más szolgáltatóknál ez hasonlóan működik.

Összefoglalás

• A jelszókezelő egyedi jelszavakat készít, tárol és tölt ki; Önnek csak a mesterjelszót kell megjegyeznie.
• Típusok: böngészőbe vagy rendszerbe épített, önálló alkalmazás felhővel, helyi, nyílt forráskódú vagy saját üzemeltetésű. Válasszon eszközök, megosztás, titkosítás és helyreállítás alapján.
• Végponttól végpontig titkosítás esetén a mesterjelszó az utolsó védelmi vonal, ha a szolgáltatót feltörik.
• Ha a kezelő nem tölt ki semmit, nézze meg a címet, ahelyett hogy másolna.
• Osszon meg megosztott széfen keresztül, és változtassa meg a jelszavakat, ha valaki távozik.

Kvíz

Feladat

Feladat D2.2: A jelszókezelő beállítása. Válasszon egy jelszókezelőt, hozzon létre mesterjelszót és helyreállítási csomagot, kapcsolja be a kétlépcsős azonosítást a széfen, és adjon öt legfontosabb fiókjának új, egyedi jelszót. Pipálja ki az ellenőrzőlistát, és válaszoljon a reflexiós kérdésekre. Sehova nem ír be jelszót.

Bővebben

A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan működik.

• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Alkalmazásjelszó létrehozása (alkalmazások és eszközök csatlakoztatásához szükséges)
• Nextcloud kézikönyv 3.5: Alkalmazásjelszavak: mikor és hogyan
• A holland NCSC: Hogyan válasszak jelszókezelőt?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• A holland NCSC: Négy lépés a jelszavak biztonságosabbá tételéhez: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken