Výběr a používání správce hesel
Modul 2: Hesla a přihlašování · Doba čtení: 9 minut
Cíl lekce: Po této lekci dokážete vybrat a nastavit správce hesel, ochránit hlavní heslo a bezpečně sdílet hesla v týmu.
Klíčové pojmy: správce hesel, hlavní heslo, trezor, end-to-end šifrování, sdílený trezor, nouzový přístup, správce hesel v prohlížeči
Co správce hesel dělá
V lekci 2.1 jste se dozvěděli, že každý účet potřebuje vlastní, dlouhé a náhodné heslo. Osmdesát hesel si nikdo nezapamatuje. Správce hesel je software, který to za Vás udělá. Správce:
- vytvoří pro každou službu silné, náhodné heslo;
- uchovává všechna hesla zašifrovaná v trezoru;
- vyplní je na správné webové stránce, a pouze tam;
- často upozorní na slabá, zdvojená nebo uniklá hesla;
- u mnoha produktů umí uchovávat i kódy pro dvoufázové ověření a ukládat passkeys (lekce 2.3 a 2.4).
Vy si pamatujete už jen jedno: hlavní heslo, kterým trezor otevíráte. Nizozemské NCSC doporučuje správce hesel jako standardní základ, i pro malé organizace, s jasnou dohodou o tom, který správce používáte a pro které účty je jeho použití povinné.
Druhy správců hesel
Neexistuje jeden nejlepší typ. Nizozemské NCSC rozlišuje správce v prohlížeči, samostatnou aplikaci a online (cloudové) řešení oproti offline (lokálnímu). V praxi se setkáte s těmito formami:
| Druh | Příklad fungování | Výhody | Nevýhody |
|---|---|---|---|
| Vestavěný v prohlížeči nebo operačním systému | Prohlížeč nebo telefon nabídne uložení hesla a později ho vyplní | Už je k dispozici, snadné použití, synchronizace v rámci stejného ekosystému | Často chybí samostatné hlavní heslo: kdo se dostane do Vašeho počítače, dostane se i k heslům; méně vhodné mezi různými systémy a pro sdílení v týmu |
| Samostatná aplikace s cloudovou synchronizací | Samostatná aplikace a rozšíření prohlížeče ve všech Vašich zařízeních, trezor zašifrovaný u dodavatele | Funguje na všech systémech, sdílené trezory, správa pro týmy, upozornění | Důvěřujete dodavateli; potřebujete silné hlavní heslo |
| Lokální (offline) | Zašifrovaný soubor trezoru ve Vašem vlastním počítači | Vše máte pod vlastní kontrolou | Sám se musíte postarat o zálohu a synchronizaci; sdílení je obtížnější |
| Open source, případně vlastní hosting | Kód je veřejně kontrolovatelný; některé řešení si provozujete na vlastním serveru | Ověřitelné, žádná závislost na jedné firmě | Vlastní hosting znamená, že si sami zajišťujete aktualizace, zabezpečení a zálohy |
Známé příklady samostatných správců jsou Bitwarden, 1Password, KeePassXC a Proton Pass, kromě správců zabudovaných v prohlížečích a operačních systémech. Toto není doporučení: vyberte podle otázek níže.
Otázky při výběru
- Funguje na všech Vašich zařízeních a prohlížečích, včetně těch Vašich kolegů?
- Lze sdílet trezory s právy podle složky a lze z trezoru někoho opět vyřadit?
- Je trezor šifrovaný end-to-end a co je a co není zašifrováno (například adresy webových stránek)?
- Lze trezor zabezpečit dvoufázovým ověřením nebo passkey?
- Existuje nouzový přístup nebo postup pro obnovu, a jak přesně funguje?
- Lze své údaje exportovat, pokud budete chtít přejít na jiné řešení?
- U bezplatných verzí: jaký je obchodní model?
End-to-end šifrování: co když dodavatele napadnou hackeři?
U dobrého cloudového správce se Váš trezor šifruje na Vašem zařízení klíčem odvozeným z Vašeho hlavního hesla. Dodavatel dostane pouze zašifrovaný balík. Tomu se říká end-to-end šifrování (někdy „zero knowledge“). Dodavatel nemůže Vaše hesla přečíst, a tudíž Vám nemůže ani obnovit hlavní heslo.
Pokud dodavatele napadnou hackeři, může útočník ukrást zašifrované trezory. Může je pak zkusit prolomit offline, jak bylo popsáno v lekci 2.1. Vaše hlavní heslo je v tu chvíli Vaší jedinou obranou. Proto:
- Hlavní heslo je dlouhé a jedinečné: heslová fráze z minimálně pěti, raději šesti náhodných slov.
- Nepoužíváte ho nikde jinde.
- Po úniku u dodavatele změníte své hlavní heslo i hesla nejdůležitějších účtů. Starý, ukradený trezor je totiž zašifrovaný starým hlavním heslem.
Dvoufázové ověření na trezoru pomáhá proti tomu, kdo zná Vaše hlavní heslo a chce se přihlásit přes webovou stránku. Nepomáhá proti prolomení ukradeného souboru trezoru. Nizozemské NCSC to samo říká: 2FA na správci hesel není důvod pro slabé hlavní heslo.
Ochrana hlavního hesla
Zapomenutí hlavního hesla je u dobrého správce často nevratné: dodavatel ho nemůže obnovit. Zařiďte si tedy předem:
- Napište si hlavní heslo na papír a uložte ho doma na bezpečném místě. Nizozemské NCSC to považuje za v pořádku, pokud k němu nenapíšete, k čemu slouží.
- Vytvořte sadu pro obnovu nebo nouzový kód, který Váš správce nabízí, vytiskněte ho a uložte spolu s papírem.
- Hlavní heslo pište pouze do aplikace nebo rozšíření samotného správce, nikdy na webovou stránku, která o něj žádá.
- Zapněte automatické uzamčení po pár minutách nečinnosti.
Proč automatické vyplňování pomáhá proti phishingu
Správce hesel spojuje každé heslo s adresou webové stránky. Na https://mijnbank.example vyplní Vaše heslo. Na napodobenině jako https://rnijnbank.example (rn místo m) nebo https://mijnbank-veilig.example neudělá nic, protože tyto adresy nejsou u daného záznamu uložené.
Člověk rozdíl mezi rn a m často nepozná. Správce porovnává znaky a neunaví se ani nespěchá. To je skutečná ochrana, ale pouze pokud ho necháte pracovat:
Váš správce najednou nic nevyplní na stránce, kde to vždy fungovalo? Neobcházejte to ručním zkopírováním hesla. Nejprve se velmi pozorně podívejte na adresu. Přesně v tento okamžik Vás správce varuje.
Někdy existuje i dobrý důvod, proč se heslo nevyplní: služba se přestěhovala na novou adresu. To pak ověřte jinou cestou, například zadáním adresy, kterou jste již dříve znali.
Sdílení v týmu
V malé firmě vždy existují účty, které používáte společně: e-shop na webwinkelplatform.example, účet u koeriersdienst.example, sociální sítě firmy. Nejlepší je, když má každý vlastní účet (modul 7). Pokud to nejde, použijte sdílený trezor:
- Vytvořte trezory nebo složky podle tématu („E-shop“, „Finance“, „Sociální sítě“) a přístup dejte pouze těm, kdo ho potřebují.
- Nikdy nesdílejte přes e-mail, chat nebo tabulku. Kdo má přístup ke sdílenému trezoru, uvidí heslo tam.
- Někdo odchází? Vyřaďte ho z trezoru a změňte hesla, která mohl vidět. Pouhé vyřazení z trezoru nestačí: mohl si je opsat nebo uložit.
- Zajistěte nouzový přístup: co se stane, když Vy, vlastník, onemocníte nebo vypadnete? Mnoho správců má funkci, kdy důvěryhodná osoba získá přístup po uplynutí čekací doby. Nebo uchováte údaje pro obnovu v zapečetěné obálce u druhé osoby.
V praxi: přechod během jednoho odpoledne
- Vyberte správce a nainstalujte ho do počítače a telefonu, včetně rozšíření prohlížeče.
- Vytvořte hlavní heslo (heslovou frázi), zapište si ho, uložte sadu pro obnovu.
- Zapněte dvoufázové ověření na trezoru.
- Importujte hesla, která už uchovával Váš prohlížeč. Export je často nezašifrovaný soubor: ihned po importu ho smažte, i z koše.
- Začněte u nejdůležitějších účtů a dejte každému nové, náhodné heslo: Vaši e-mailovou schránku (
info@example.com), hosting a registraci domény, banku a účetnictví (například naboekhoudpakket.example). - Zbytek doplňte postupně, až se do daných účtů stejně přihlásíte. Upozornění na zdvojená hesla Vám pomohou.
Používáte službu v prostředí WebOké, jako je e-mailová schránka nebo Nextcloud, s aplikacemi v telefonu? Pro ně si někdy vytváříte samostatné heslo aplikace (viz Znalostní báze 436). I to uložíte do správce, u správné položky. U jiných poskytovatelů to funguje obdobně.
Shrnutí
- Správce hesel vytváří, uchovává a vyplňuje jedinečná hesla; Vy si pamatujete pouze hlavní heslo.
- Druhy: vestavěný v prohlížeči nebo systému, samostatná aplikace s cloudem, lokální, open source nebo vlastní hosting. Vybírejte podle zařízení, sdílení, šifrování a obnovy.
- U end-to-end šifrování je Vaše hlavní heslo poslední obranou, pokud dodavatele napadnou hackeři.
- Pokud správce nevyplní heslo, podívejte se na adresu místo kopírování.
- Sdílejte přes sdílený trezor a při odchodu někoho z týmu měňte hesla.
Kvíz
Úkol
Úkol D2.2: Nastavení správce hesel. Vyberte si správce hesel, vytvořte hlavní heslo a sadu pro obnovu, zapněte dvoufázové ověření na trezoru a dejte svým pěti nejdůležitějším účtům nové, jedinečné heslo. Odškrtněte checklist a odpovězte na reflexní otázky. Nikam přitom nevyplňujete žádné heslo.
Úkol D2.2: Nastavení správce hesel
Postupujte takto: (1) Vyberte typ správce hesel (zabudovaný, samostatná aplikace s cloudem, lokální, open source nebo vlastní hosting) podle otázek v lekci 2.2. (2) Nainstalujte ho na počítač a telefon, včetně rozšíření do prohlížeče. (3) Vytvořte hlavní heslo: heslovou frázi z nejméně pěti, raději šesti náhodných slov. Napište ho na papír a uložte jej doma na bezpečném místě, společně se záchrannou sadou nebo nouzovým kódem správce. (4) Zapněte dvoufázové ověření (2FA) pro trezor. (5) Importujte stávající hesla z prohlížeče a exportovaný soubor hned poté odstraňte, i z koše. (6) Nastavte svým pěti nejdůležitějším účtům nové, náhodné heslo o délce alespoň 15 znaků: e-mailová schránka, hosting nebo registrace domény, banka, účetnictví a účet, na kterém závisí zbytek. (7) Pokud pracujete s dalšími lidmi: vytvořte sdílený trezor pro sdílené účty a přidejte do něj jen ty, kdo je skutečně potřebují.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
- Vytvoření hesla pro aplikaci (nutné pro připojení aplikací a zařízení)
- Příručka k Nextcloud 3.5: Hesla aplikací: kdy a jak je použít
- NÚKIB, doporučení k zabezpečení: https://nukib.gov.cz/
- NÚKIB, zásady kybernetické bezpečnosti: https://nukib.gov.cz/