Modulul 7 · 7.4
Transferul parolelor către un manager de parole
Modulul 7: Colaborare, aplicații și securitate · Timp de citire: 10 minute
Obiectiv de învățare: După această lecție veți putea transfera în siguranță parolele din browserul dumneavoastră, de pe bilețele și din foi de calcul într-un manager de parole potrivit noii dumneavoastră configurații, inclusiv cavouri partajate pentru echipă.
Noțiuni-cheie: manager de parole, cavou, parolă principală, cheie de recuperare, parole salvate în browser (Google, Edge, Apple), export ca csv, cavou sau colecție partajată, găzduire proprie, open source, criptare pe propriul dispozitiv (zero-knowledge), păstrarea cheilor de acces (passkeys)
Elementul uitat
În aproape fiecare inventar lipsesc parolele. Ele nu se află într-un serviciu cloud pe care îl reziliați, așa că nimeni nu se gândește la ele. Totuși, de multe ori se află chiar în mijlocul lucrurilor. La Bakkerij De Korrel, un inventar arată următoarele:
- majoritatea parolelor se află în Chrome, salvate în contul Google al persoanei respective;
- parolele băncii, angrosistului și magazinului online se află într-o foaie de calcul
wachtwoorden.xlsxîn Google Drive; - parola de wifi și codul alarmei sunt notate pe un bilețel;
- doi colegi folosesc peste tot aceeași parolă.
Dacă dispare contul Google, dispar odată cu el și parolele din Chrome. Iar o foaie de calcul cu parole în cloud este unul dintre primele lucruri pe care le caută un intrus. Trecerea la un alt furnizor este deci momentul potrivit pentru a rezolva această problemă.
Ce face un manager de parole
Un manager de parole este un cavou criptat pentru parole, cu o aplicație pe telefon și calculator și o extensie în browser. Dumneavoastră rețineți o singură parolă principală robustă; managerul creează pentru fiecare site o parolă lungă și unică și o completează automat pentru dumneavoastră.
Este important unde are loc criptarea. La managerii cunoscuți, cavoul este criptat pe propriul dumneavoastră dispozitiv cu o cheie derivată din parola principală. Furnizorul păstrează doar cavoul criptat și nu vă poate citi parolele. Acest lucru este adesea numit "zero-knowledge". Consecința: dacă uitați parola principală și nu aveți o cheie de recuperare, nici furnizorul nu vă poate ajuta.
Un manager bun completează datele doar pe adresa reală. Un site fals al băncii dumneavoastră nu primește deci nimic, chiar dacă arată exact la fel. Aceasta este o protecție suplimentară împotriva phishingului.
Ce tipuri există?
| Tip | Exemple | În spatele software-ului | De reținut |
|---|---|---|---|
| Fișier local, fără serviciu | KeePassXC (și alte programe KeePass) | Proiect comunitar open source | Dumneavoastră păstrați și sincronizați singur fișierul cavoului, de exemplu în noul dumneavoastră cloud. Partajarea în echipă este mai dificilă |
| Serviciu, open source, poate fi găzduit și propriu | Bitwarden | Bitwarden Inc., o companie americană. Oferă și o locație de stocare în UE; serverul poate fi găzduit și de dumneavoastră | La serviciul cloud, furnizorul rămâne american, chiar și cu stocare în UE (lecția 2.1). Găzduirea proprie elimină acest aspect |
| Serviciu, open source, axat pe echipe | Passbolt | Passbolt SA, Luxemburg | Puternic la partajarea pe grupuri; găzduire proprie sau ca serviciu |
| Serviciu al unui furnizor european axat pe confidențialitate | Proton Pass | Proton AG, Elveția (nu este UE, dar există o decizie de adecvare) | Se potrivește bine dacă deja folosiți alte servicii Proton |
| Integrat în browser sau sistem de operare | Google Password Manager, Edge, Apple Passwords | Google, Microsoft, Apple (SUA) | Practic, dar legat de acel cont și de acel ecosistem |
Acesta nu este un clasament. Pentru o întreprindere individuală, KeePassXC cu fișierul cavoului în propriul cloud poate fi perfect. Pentru o echipă de doisprezece oameni, un manager cu cavouri partajate este mai practic. Folosiți și aici cele cinci întrebări din lecția 2.1 (sediu, proprietar, centru de date, subprocesatori, cheie). La un manager de parole, ultima întrebare cântărește cel mai mult: cine are cheia? Dacă aceasta sunteți doar dumneavoastră, atunci contează mai puțin unde se află cavoul criptat decât în cazul fișierelor obișnuite.
Transferul: export, import și eliminare imediată
Aproape fiecare browser și manager poate exporta parolele ca fișier csv. Acesta este un fișier text obișnuit, cu pe fiecare rând un site, un nume de utilizator și o parolă, necriptat. Oricine deschide fișierul poate citi totul. De aceea:
- Faceți acest lucru pe un calculator de încredere, nu pe un calculator comun din magazin.
- Exportați pe propriul dumneavoastră calculator, nu într-un folder sincronizat sau în cloud. Altfel, fișierul necriptat ajunge în câteva secunde pe server, în versiuni și în coșul de reciclare.
- Importați-l imediat în noul manager.
- Verificați prin sondaj dacă totul este corect (autentificați-vă pe câteva site-uri).
- Ștergeți imediat fișierul csv și goliți și coșul de reciclare al calculatorului.
- Dezactivați apoi salvarea parolelor în browser, astfel încât să nu apară o a doua copie, învechită.
Foaia de calcul cu parole o transferați introducând manual datele în manager (sau importând-o ca csv, cu aceleași reguli). Ștergeți apoi foaia de calcul, inclusiv din coșul de reciclare și din istoricul versiunilor din vechiul cloud. Modificați cele mai importante parole care se aflau acolo, deoarece nu știți cine a văzut fișierul de-a lungul anilor.
Acordați atenție și cheilor de acces (passkeys) (lecția 7.3). O cheie de acces salvată în contul dumneavoastră Google sau Apple nu poate fi întotdeauna exportată. Creați pentru site-urile importante o cheie de acces nouă în noul dumneavoastră manager sau asigurați-vă că parola și al doilea factor sunt cunoscute, înainte de a desființa vechiul cont.
Partajarea în echipă
Unele parole aparțin organizației, nu unei persoane: banca, angrosistul, conturile de social media, wifi-ul. Folosiți pentru acestea un cavou partajat sau o colecție în manager:
- Creați câte un cavou per grup: "Magazin", "Administrație", "Administrare". Nu este nevoie ca toată lumea să vadă totul.
- Nu partajați niciodată o parolă prin chat sau e-mail. Nici măcar "doar rapid".
- Dacă cineva pleacă din organizație, eliminați-l din cavourile partajate și modificați parolele la care avea acces și pe care le-ar fi putut reține sau copia.
Parola principală și ziua în care lucrurile merg prost
Parola principală este singura cheie. Alegeți o frază lungă formată din patru până la șase cuvinte aleatorii, pe care nu o folosiți nicăieri altundeva. Activați și autentificarea în doi pași (2FA) pentru managerul însuși.
Pregătiți din timp recuperarea:
- Păstrați cheia de recuperare sau accesul de urgență oferit de managerul dumneavoastră pe hârtie, într-un loc sigur.
- Stabiliți în cadrul organizației cine primește acces în caz de deces sau de boală de lungă durată a proprietarului. Mulți manageri au o funcție dedicată pentru acces de urgență.
- Codurile de rezervă (backup codes) ale conturilor dumneavoastră cele mai importante aparțin tot aici, sau pe hârtie (lecția 7.3). Nu într-un cavou la care aveți acces doar cu acele conturi.
În practică: așa arată la un furnizor
Într-un Nextcloud WebOké nu există un manager de parole separat; folosiți un manager de parole la alegere. Dacă folosiți KeePassXC, puteți pune fișierul criptat al cavoului în Nextcloud-ul dumneavoastră, astfel încât să fie disponibil prin aplicația desktop pe toate calculatoarele dumneavoastră și să poată fi recuperat prin versiuni. Fișierul este atunci criptat cu parola dumneavoastră principală înainte de a ajunge pe server. Ghidul privind securitatea Nextcloud WebOké recomandă el însuși un manager de parole și îl menționează ca loc potrivit pentru codurile dumneavoastră de rezervă.
La alte servicii cloud europene funcționează similar: managerul de parole este de obicei un serviciu sau o aplicație separată, alături de cloud-ul dumneavoastră.
Rezumat
- Parolele din browserul vechiului dumneavoastră cont dispar odată cu desființarea acelui cont. Transferați-le din timp.
- Un manager de parole criptează pe propriul dumneavoastră dispozitiv; parola principală este singura cheie.
- Un export csv este necriptat: niciodată într-un folder sincronizat, importați imediat, ștergeți imediat.
- Folosiți cavouri partajate pe grupuri pentru parolele organizației și modificați-le la plecarea cuiva.
- Pregătiți din timp recuperarea și accesul de urgență, pe hârtie.
Quiz
Exercițiu
Exercițiul E7.4: Parolele inventariate și planul de transfer. Aflați unde se află acum parolele din organizația dumneavoastră (browser per persoană, foi de calcul, bilețele, conturi partajate), alegeți un manager de parole cu ajutorul celor cinci întrebări din lecția 2.1 și scrieți planul de transfer: cine exportă ce, pe ce calculator, când va fi șters fișierul csv și ce cavouri partajate vor fi create.
Exercițiul E7.4: Inventarierea parolelor și planul de migrare
Căutați toate locurile unde sunt stocate parole și mutați-le în siguranță într-un singur manager de parole. Nu lipiți niciodată parole aici.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Pentru lectură suplimentară
Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori funcționează similar.
- Manual Nextcloud 3.1: Cum vă securizează WebOké Nextcloud-ul?
- Manual Nextcloud 3.3: Configurarea unei aplicații de autentificare și păstrarea codurilor de rezervă
- NCSC (Centrul Național de Securitate Cibernetică, cel olandez), Introducere în securitatea cibernetică: https://www.ncsc.nl/beginnen-met-cybersecurity
- KeePassXC: https://keepassxc.org/