Modul 7 · 7.4
Přesun hesel do správce hesel
Modul 7: Spolupráce, aplikace a zabezpečení · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete bezpečně přesunout hesla z prohlížeče, papírků a tabulek do správce hesel, který odpovídá Vašemu novému nastavení, včetně sdílených trezorů pro tým.
Klíčové pojmy: správce hesel, trezor, hlavní heslo, obnovovací klíč, hesla v prohlížeči (Google, Edge, Apple), export jako csv, sdílený trezor nebo kolekce, vlastní hostování, open source, šifrování na vlastním zařízení (zero-knowledge), ukládání passkeys
Opomíjená součást
Téměř v každém inventáři chybí hesla. Nestojí v cloudové službě, kterou rušíte, takže na ně nikdo nemyslí. Přesto jsou často uprostřed dění. U Bakkerij De Korrel se po kontrole ukáže:
- většina hesel je uložena v prohlížeči Chrome, v Google účtu dané osoby;
- hesla k bance, velkoobchodu a e-shopu jsou v tabulce
wachtwoorden.xlsxna Google Drive; - heslo k wifi a kód k alarmu visí na papírku;
- dva kolegové používají všude stejné heslo.
Pokud Google účet zanikne, zmizí s ním i hesla uložená v Chromu. A tabulka s hesly v cloudu patří mezi první věci, které hledá útočník. Přechod je tedy vhodnou příležitostí to vyřešit.
Co dělá správce hesel
Správce hesel je šifrovaný trezor pro hesla, s aplikací v telefonu i počítači a rozšířením v prohlížeči. Pamatujete si jen jedno silné hlavní heslo; správce pro každou stránku vytvoří dlouhé, jedinečné heslo a sám ho za Vás vyplní.
Důležité je, kde probíhá šifrování. U známých správců se trezor šifruje na Vašem vlastním zařízení klíčem odvozeným z Vašeho hlavního hesla. Poskytovatel uchovává pouze šifrovaný trezor a Vaše hesla nemůže přečíst. Tomu se často říká „zero-knowledge“. Důsledek: pokud zapomenete hlavní heslo a nemáte obnovovací klíč, nepomůže Vám ani poskytovatel.
Dobrý správce vyplní heslo pouze na skutečné adrese. Falešná stránka Vaší banky tedy nedostane nic, i kdyby vypadala úplně stejně. Jde o další ochranu proti phishingu.
Jaké existují druhy?
| Druh | Příklady | Kdo stojí za softwarem | Na co dát pozor |
|---|---|---|---|
| Lokální soubor, žádná služba | KeePassXC (a další programy KeePass) | Open source komunitní projekt | Soubor trezoru ukládáte a synchronizujete sami, například ve svém novém cloudu. Sdílení v týmu je obtížnější |
| Služba, open source, lze provozovat i sám | Bitwarden | Bitwarden Inc., americká společnost. Nabízí také umístění dat v EU; server si můžete provozovat i sami | U cloudové služby zůstává poskytovatel americký, i při uložení dat v EU (lekce 2.1). Vlastní hostování to odstraní |
| Služba, open source, zaměřená na týmy | Passbolt | Passbolt SA, Lucembursko | Silná stránka ve sdílení po skupinách; vlastní hostování nebo jako služba |
| Služba evropského poskytovatele zaměřeného na soukromí | Proton Pass | Proton AG, Švýcarsko (mimo EU, ale s rozhodnutím o odpovídající ochraně) | Vhodné, pokud už používáte jiné služby Proton |
| Vestavěné v prohlížeči nebo operačním systému | Správce hesel Google, Edge, Hesla Apple | Google, Microsoft, Apple (USA) | Praktické, ale je to vázané na daný účet a ekosystém |
Nejde o žebříček. Pro živnostníka může plně postačovat KeePassXC se souborem trezoru ve vlastním cloudu. Pro tým o dvanácti lidech je praktičtější správce se sdílenými trezory. Použijte i zde pět otázek z lekce 2.1 (sídlo, vlastník, datové centrum, subzpracovatelé, klíč). U správce hesel váží nejvíc poslední otázka: kdo má klíč? Pokud ho máte jen Vy, méně záleží na tom, kde šifrovaný trezor leží, než u běžných souborů.
Přesun: export, import a okamžité smazání
Téměř každý prohlížeč i správce dokáže hesla exportovat jako csv soubor. Je to obyčejný textový soubor, kde je na každém řádku stránka, uživatelské jméno a heslo, nešifrovaně. Kdokoli, kdo soubor otevře, si může vše přečíst. Proto:
- Dělejte to na počítači, kterému důvěřujete, ne na sdíleném počítači v prodejně.
- Exportujte na svůj vlastní počítač, nikoli do synchronizované složky nebo do cloudu. Jinak bude nešifrovaný soubor během pár sekund na serveru, ve verzích i v koši.
- Ihned ho naimportujte do nového správce.
- Namátkou zkontrolujte, zda vše sedí (přihlaste se na pár stránek).
- Soubor csv okamžitě smažte a vyprázdněte i koš počítače.
- Poté vypněte ukládání hesel v prohlížeči, aby nevznikla druhá, zastaralá kopie.
Tabulku s hesly přesunete tak, že údaje ručně vložíte do správce (nebo je naimportujete jako csv, podle stejných pravidel). Tabulku poté smažte, včetně koše a historie verzí ve starém cloudu. Změňte nejdůležitější hesla, která v ní byla, protože nevíte, kdo soubor v průběhu let viděl.
Pozor také na passkeys (lekce 7.3). Passkey uloženou ve Vašem Google nebo Apple účtu nelze vždy exportovat. U důležitých stránek vytvořte v novém správci nový passkey, nebo se ujistěte, že znáte heslo a druhý krok, než starý účet zrušíte.
Sdílení v týmu
Některá hesla patří organizaci, ne jednotlivci: banka, velkoobchod, účty na sociálních sítích, wifi. Pro ně použijte sdílený trezor nebo kolekci ve správci:
- Vytvořte trezor pro každou skupinu: „Prodejna“, „Administrativa“, „Správa“. Ne každý musí vidět vše.
- Nikdy nesdílejte heslo přes chat nebo e‑mail. Ani „jen rychle“.
- Odchází-li někdo z organizace, odeberte ho ze sdílených trezorů a změňte hesla, ke kterým měl přístup a která si mohl zapamatovat nebo zkopírovat.
Hlavní heslo a den, kdy se něco pokazí
Hlavní heslo je jediný klíč. Zvolte dlouhou větu ze čtyř až šesti náhodných slov, kterou nepoužíváte nikde jinde. Na samotném správci také zapněte dvoufázové ověření.
Obnovu si předem zajistěte:
- Obnovovací klíč nebo nouzový přístup, který Váš správce nabízí, uchovejte na papíře, na bezpečném místě.
- Pro organizaci si domluvte, kdo získá přístup v případě úmrtí nebo dlouhodobé nemoci majitele. Mnoho správců má pro to funkci nouzového přístupu.
- Záložní kódy k Vašim nejdůležitějším účtům patří sem také, případně na papír (lekce 7.3). Ne do trezoru, do kterého se dostanete jen pomocí těchto účtů.
V praxi: jak to vypadá u poskytovatele
V WebOké Nextcloud není zabudovaný samostatný správce hesel; použijete správce hesel dle vlastního výběru. Používáte-li KeePassXC, můžete šifrovaný soubor trezoru uložit do svého Nextcloud, takže bude přes desktopovou aplikaci dostupný na všech Vašich počítačích a díky verzím ho půjde obnovit. Soubor je přitom zašifrován Vaším hlavním heslem ještě předtím, než se dostane na server. Manuál o zabezpečení WebOké Nextcloud sám doporučuje správce hesel a uvádí ho jako vhodné místo pro Vaše záložní kódy.
U jiných evropských cloudových služeb to funguje obdobně: správce hesel bývá obvykle samostatnou službou nebo aplikací vedle Vašeho cloudu.
Shrnutí
- Hesla v prohlížeči Vašeho starého účtu zaniknou spolu s tímto účtem, pokud ho zrušíte. Přesuňte je předem.
- Správce hesel šifruje na Vašem vlastním zařízení; hlavní heslo je jediný klíč.
- Export csv je nešifrovaný: nikdy do synchronizované složky, ihned naimportovat, ihned smazat.
- Pro hesla organizace používejte sdílené trezory podle skupin a při odchodu je měňte.
- Obnovu a nouzový přístup si zajistěte předem, na papíře.
Kvíz
Úkol
Úkol E7.4: Přehled hesel a plán přesunu. Zjistěte, kde jsou hesla ve Vaší organizaci aktuálně uložena (prohlížeč u každé osoby, tabulky, papírky, sdílené účty), vyberte správce hesel pomocí pěti otázek z lekce 2.1 a sepište plán přesunu: kdo co exportuje, na jakém počítači, kdy bude soubor csv smazán a jaké sdílené trezory vzniknou.
Úkol E7.4: Přehled hesel a plán přesunu
Najděte všechna místa, kde máte uložená hesla, a bezpečně je přesuňte do jednoho správce hesel. Nikdy sem hesla nevkládejte.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučená literatura
Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
- Příručka k Nextcloud 3.3: Nastavení aplikace pro ověřování se a uložení záložních kódů
- NCSC, Začínáme s kybernetickou bezpečností (nizozemský Národní úřad pro kybernetickou bezpečnost): https://www.ncsc.nl/beginnen-met-cybersecurity
- KeePassXC: https://keepassxc.org/