Modulul 2 · 2.2
Alegerea și utilizarea managerilor de parole
Modulul 2: Parole și autentificare · Timp de citire: 9 minute
Obiectiv de învățare: După această lecție veți putea alege și configura un manager de parole, veți proteja parola principală și veți partaja parole în siguranță într-o echipă.
Noțiuni cheie: manager de parole, parolă principală, cutie (seif), criptare end-to-end, cutie partajată, acces de urgență, manager de parole din browser
Ce face un manager de parole
În lecția 2.1 ați văzut că fiecare cont are nevoie de o parolă proprie, lungă și aleatorie. Nimeni nu reține optzeci de parole. Un manager de parole este un software care face asta pentru dumneavoastră. Acesta:
- creează pentru fiecare serviciu o parolă puternică și aleatorie;
- păstrează toate parolele criptate într-o cutie (seif);
- le completează pe site-ul corect, și numai acolo;
- adesea avertizează asupra parolelor slabe, duplicate sau scurse;
- la multe produse poate păstra și codurile pentru autentificarea în doi pași și stoca passkey-uri (lecțiile 2.3 și 2.4).
Dumneavoastră mai rețineți doar una: parola principală cu care deschideți cutia. Autoritatea națională de securitate cibernetică din Țările de Jos recomandă un manager de parole ca bază standard, inclusiv pentru organizații mici, cu reguli clare privind managerul folosit și conturile pentru care este obligatoriu.
Tipuri de manageri de parole
Nu există un singur tip, cel mai bun. Autoritatea națională de securitate cibernetică din Țările de Jos deosebește managerul din browser, aplicația separată, și varianta online (cloud) față de cea offline (locală). În practică întâlniți aceste forme:
| Tip | Exemplu de funcționare | Avantaje | Dezavantaje |
|---|---|---|---|
| Integrat în browser sau sistemul de operare | Browserul sau telefonul dumneavoastră vă propune să salveze o parolă și o completează ulterior | Deja disponibil, ușor de folosit, se sincronizează în același ecosistem | Deseori nu are o parolă principală separată: cine ajunge în computerul dumneavoastră, ajunge și la parole; mai puțin potrivit între sisteme diferite și pentru partajare în echipă |
| Aplicație separată cu sincronizare în cloud | O aplicație separată și o extensie de browser pe toate dispozitivele dumneavoastră, cutia fiind criptată la furnizor | Funcționează pe toate sistemele, cutii partajate, administrare pentru echipe, avertismente | Aveți încredere în furnizor; aveți nevoie de o parolă principală puternică |
| Local (offline) | Un fișier de cutie criptat pe propriul dumneavoastră computer | Dumneavoastră păstrați totul sub propriul control | Trebuie să vă ocupați singur de copia de siguranță și sincronizare; partajarea este mai dificilă |
| Open source, eventual găzduit chiar de dumneavoastră | Codul poate fi verificat public; unele îl rulați pe propriul server | Verificabil, fără dependență de o singură companie | Găzduirea proprie înseamnă actualizare, securizare și copii de siguranță pe cont propriu |
Exemple cunoscute de manageri separați sunt Bitwarden, 1Password, KeePassXC și Proton Pass, pe lângă managerii integrați în browsere și sisteme de operare. Aceasta nu este o recomandare: alegeți pe baza întrebărilor de mai jos.
Întrebări pentru alegere
- Funcționează pe toate dispozitivele și browserele dumneavoastră, inclusiv ale colegilor?
- Puteți partaja cutii cu drepturi pe folder, și puteți scoate pe cineva ulterior dintr-o cutie?
- Este cutia criptată end-to-end, și ce rămâne criptat, respectiv ce nu (de exemplu adresele site-urilor web)?
- Puteți proteja cutia cu autentificare în doi pași sau un passkey?
- Există acces de urgență sau o soluție de recuperare, și cum funcționează exact?
- Vă puteți exporta datele dacă doriți să treceți la alt serviciu?
- La versiunile gratuite: care este modelul de venituri?
Criptarea end-to-end: ce se întâmplă dacă furnizorul este hacked?
La un manager cloud bun, cutia dumneavoastră este criptată pe propriul dumneavoastră dispozitiv cu o cheie derivată din parola principală. Furnizorul primește doar pachetul criptat. Aceasta se numește criptare end-to-end (uneori „zero knowledge”). Furnizorul nu vă poate citi parolele și deci nici nu vă poate recupera parola principală.
Dacă furnizorul este hacked, un atacator poate fura cutiile criptate. Acesta le poate încerca apoi să le spargă offline, ca în lecția 2.1. Parola dumneavoastră principală este în acel moment singura protecție. De aceea:
- Parola principală este lungă și unică: o frază-parolă de cel puțin cinci, de preferință șase cuvinte aleatorii.
- Nu o folosiți nicăieri altundeva.
- După o scurgere de date la furnizor, schimbați parola principală ȘI parolele conturilor dumneavoastră cele mai importante. Vechea cutie furată este, la urma urmei, criptată cu vechea parolă principală.
Autentificarea în doi pași pe cutie ajută împotriva cuiva care are parola dumneavoastră principală și vrea să se autentifice prin site-ul web. Nu ajută împotriva spargerii unui fișier de cutie furat. Autoritatea națională de securitate cibernetică din Țările de Jos o spune și ea: 2FA pe manager nu este un motiv pentru o parolă principală slabă.
Protejarea parolei principale
Uitarea parolei principale este, la un manager bun, adesea definitivă: furnizorul nu o poate recupera. Reglementați deci acest lucru în prealabil:
- Notați parola principală pe hârtie și păstrați-o acasă într-un loc sigur. Autoritatea națională de securitate cibernetică din Țările de Jos consideră acest lucru acceptabil, atâta timp cât nu notați și pentru ce este.
- Creați kitul de recuperare sau codul de urgență oferit de managerul dumneavoastră, imprimați-l și păstrați-l alături de hârtie.
- Introduceți parola principală doar în aplicația sau extensia managerului, niciodată pe un site web care o solicită.
- Activați blocarea automată după câteva minute de inactivitate.
De ce completarea automată ajută împotriva phishingului
Un manager de parole asociază fiecare parolă cu adresa site-ului web. Pe https://mijnbank.example completează parola dumneavoastră. Pe un lookalike precum https://rnijnbank.example (rn în loc de m) sau https://mijnbank-veilig.example nu face nimic, pentru că aceste adrese nu sunt asociate acelui element.
Un om adesea nu vede diferența dintre rn și m. Managerul compară caractere și nu obosește și nu se grăbește. Aceasta este o protecție reală, dar numai dacă îl lăsați să lucreze:
Managerul dumneavoastră dintr-o dată nu completează nimic pe un site unde o făcea mereu? Nu ocoliți acest lucru copiind parola manual. Priviți mai întâi cu mare atenție adresa. Acesta este exact momentul în care managerul vă avertizează.
Uneori există și un motiv întemeiat pentru care nu se completează: un serviciu care s-a mutat la o adresă nouă. Verificați atunci acest lucru pe altă cale, de exemplu tastând dumneavoastră înșivă adresa pe care o cunoșteați deja.
Partajarea în echipă
La o companie mică există mereu conturi pe care le folosiți împreună: magazinul online de pe webwinkelplatform.example, contul de la koeriersdienst.example, social media a afacerii. Cel mai bine este ca fiecare să aibă propriul cont (modulul 7). Dacă acest lucru nu este posibil, folosiți o cutie partajată:
- Creați cutii sau foldere pe subiecte („Magazin online”, „Financiar”, „Social media”) și acordați acces doar celor care au nevoie de el.
- Nu partajați niciodată prin e-mail, chat sau un fișier de calcul tabelar. Cine are acces la cutia partajată, vede parola acolo.
- Pleacă cineva? Scoateți-l din cutie și schimbați parolele pe care le putea vedea. Scoaterea din cutie, singură, nu este suficientă: persoana ar fi putut să le copieze sau să le salveze.
- Reglementați accesul de urgență: ce se întâmplă dacă dumneavoastră, proprietarul, sunteți bolnav sau indisponibil? Multe manageri au o funcție prin care o persoană de încredere primește acces după o perioadă de așteptare. Sau păstrați datele de recuperare într-un plic sigilat la o a doua persoană.
În practică: trecerea la un alt manager într-o după-amiază
- Alegeți un manager și instalați-l pe computer și telefon, cu extensia de browser.
- Creați o parolă principală (frază-parolă), notați-o, păstrați kitul de recuperare.
- Activați autentificarea în doi pași pe cutie.
- Importați parolele pe care browserul dumneavoastră le-a salvat deja. Un export este adesea un fișier necriptat: ștergeți-l imediat după import, inclusiv din coșul de reciclare.
- Începeți cu conturile cele mai importante și dați-i fiecăruia o parolă nouă, aleatorie: căsuța dumneavoastră de e-mail (
info@example.com), găzduirea (hosting) și înregistrarea domeniului dumneavoastră, banca și contabilitatea dumneavoastră (de exemplu peboekhoudpakket.example). - Actualizați restul pe măsură ce vă autentificați oricum. Avertismentele pentru parole duplicate vă ajută.
Folosiți un serviciu din mediul WebOké, precum o căsuță de e-mail sau Nextcloud, cu aplicații pe telefonul dumneavoastră? Pentru acestea creați uneori o parolă de aplicație separată (vezi Baza de cunoștințe 436). Și pe aceasta o păstrați în manager, la elementul corect. La alți furnizori funcționează similar.
Rezumat
- Un manager de parole creează, păstrează și completează parole unice; dumneavoastră rețineți doar parola principală.
- Tipuri: integrat în browser sau sistem, aplicație separată cu cloud, local, open source sau găzduit chiar de dumneavoastră. Alegeți în funcție de dispozitive, partajare, criptare și recuperare.
- La criptarea end-to-end, parola dumneavoastră principală este ultima apărare dacă furnizorul este hacked.
- Dacă managerul nu completează, priviți adresa în loc să copiați.
- Partajați printr-o cutie partajată și schimbați parolele când cineva pleacă.
Test
Exercițiu
Exercițiul D2.2: Configurarea managerului dumneavoastră de parole. Alegeți un manager de parole, creați o parolă principală și un kit de recuperare, activați autentificarea în doi pași pe cutie și dați celor cinci conturi cele mai importante ale dumneavoastră o parolă nouă, unică. Bifați lista de verificare și răspundeți la întrebările de reflecție. Nu completați nicăieri o parolă.
Exercițiul D2.2: Configurarea managerului dumneavoastră de parole
Iată cum procedați: (1) Alegeți un tip de manager de parole (integrat, aplicație separată cu cloud, local, open source sau găzduit chiar de dumneavoastră) pe baza întrebărilor din lecția 2.2. (2) Instalați-l pe calculator și pe telefon, împreună cu extensia de browser. (3) Creați o parolă principală: o frază de tip parolă de cel puțin cinci, de preferință șase cuvinte alese aleatoriu. Notați-o pe hârtie și păstrați-o acasă într-un loc sigur, împreună cu kitul de recuperare sau codul de urgență al managerului. (4) Activați autentificarea în doi pași (2FA) pentru seiful de parole. (5) Importați parolele existente din browser și ștergeți imediat fișierul de export, inclusiv din coșul de reciclare. (6) Dați celor mai importante cinci conturi ale dumneavoastră o parolă nouă, aleatorie, de cel puțin 15 caractere: căsuța de e-mail, găzduirea (hosting) sau înregistrarea domeniului, banca, contabilitatea și contul de care depind celelalte. (7) Dacă lucrați cu alte persoane: creați un seif partajat pentru conturile comune și adăugați în el doar persoanele care au nevoie de acces.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lectură suplimentară
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.
- Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
- Crearea unei parole de aplicație (necesară pentru conectarea aplicațiilor și dispozitivelor)
- Manual Nextcloud 3.5: Parole de aplicație: când și cum se folosesc
- Autoritatea națională de securitate cibernetică din Țările de Jos, Cum aleg un manager de parole?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
- Autoritatea națională de securitate cibernetică din Țările de Jos, Patru pași pentru parole mai sigure: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken