Správce hesel a passkey
Z předchozích kapitol plynou dvě pravidla: heslo má být dlouhé a náhodné a každá služba má mít jiné. Desítky takových hesel si ale nikdo nezapamatuje, a právě k tomu slouží správce hesel.
Správce hesel
Správce hesel je šifrovaný trezor na hesla. Pamatujete si jen jedno hlavní heslo a správce za vás hesla vygeneruje, uloží a při přihlášení vyplní.
Pomáhá i proti podvodným stránkám: heslo vyplní jen na doméně, pro kterou je uložené, takže na falešné mojebanka-prihlaseni.cz nic nenabídne. Kdo už si zvykl, že heslo vyplňuje správce, zbystří, když to jednou neudělá.
| Správce | Kde žijí hesla |
|---|---|
| vestavěný v prohlížeči nebo systému (Google, Apple, Microsoft) | ve vašem účtu u dané firmy, nejspíš ho už máte |
| Bitwarden | v cloudu, šifrovaně; open source, základní verze zdarma |
| KeePassXC | v jednom šifrovaném souboru u vás, bez cloudu; open source |
Hlavní heslo je jediné, které si musíte pamatovat, takže by mělo být heslovou frází. Účet správce chraňte i dvoufázovým ověřením.
Všechna hesla na jednom místě
Trochu zvláštní může připadat dát všechna hesla do jednoho trezoru. Co když unikne zrovna ten?
Trezor se šifruje vaším hlavním heslem přímo ve vašem zařízení a provozovatel ho nedokáže otevřít. Únik u něj tedy vydá zašifrovaný soubor. To se stalo v roce 2022 správci LastPass: útočníci odnesli zašifrované trezory uživatelů a ohrožení byli hlavně ti, kdo měli slabé hlavní heslo.
Ve firmách se hesla ke sdíleným účtům ukládají do společného trezoru ve správci hesel. Tabulka s hesly na sdíleném disku do praxe nepatří.
Passkey
Passkey (přístupový klíč) nahrazuje heslo úplně. Stojí na asymetrickém šifrování z lekce o zabezpečení. Při registraci vytvoří zařízení pár klíčů. Veřejný klíč si uloží služba, soukromý zůstane v telefonu, v počítači nebo ve správci hesel.
Při přihlášení pošle server výzvu. Zařízení ji podepíše soukromým klíčem, ale až po odemčení otiskem prstu, obličejem nebo PINem. Server pak podpis ověří veřejným klíčem.
Proti heslu má passkey tři výhody:
- Na serveru není nic, co by stálo za ukradení. Veřejný klíč je veřejný.
- Nedá se vylákat. Passkey je svázaný s doménou, takže ho podvodná stránka nepoužije.
- Nemusíte si nic pamatovat.
Zatím ho ale nenabízí každá služba, takže s hesly a správcem hesel budeme ještě nějakou dobu žít.