Paroļu pārvaldnieku izvēle un lietošana

2. modulis: Paroles un pieteikšanās · Lasīšanas laiks: 9 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izvēlēties un iestatīt paroļu pārvaldnieku, aizsargāt galveno paroli un droši koplietot paroles komandā.

Pamatjēdzieni: paroļu pārvaldnieks, galvenā parole, glabātuve, pilnīga šifrēšana (end-to-end), koplietota glabātuve, ārkārtas piekļuve, pārlūkprogrammas paroļu pārvaldnieks

Ko dara paroļu pārvaldnieks

Nodarbībā 2.1 Jūs uzzinājāt, ka katram kontam ir nepieciešama sava, gara un nejauša parole. Neviens neatceras astoņdesmit paroles. Paroļu pārvaldnieks ir programmatūra, kas to dara Jūsu vietā. Tā:

• katram pakalpojumam izveido stipru, nejaušu paroli;
• visas paroles glabā šifrētā glabātuvē;
• ievada tās pareizajā tīmekļa vietnē, un tikai tur;
• bieži brīdina par vājām, dublētām vai noplūdušām parolēm;
• daudzos produktos var glabāt arī divu faktoru autentifikācijas kodus un passkey (nodarbības 2.3 un 2.4).

Jūs atcerēsieties tikai vienu: galveno paroli, ar kuru Jūs atverat glabātuvi. Nīderlandes NCSC iesaka paroļu pārvaldnieku kā pastāvīgu pamatu, arī mazām organizācijām, ar skaidru vienošanos par to, kuru pārvaldnieku lietot un kuriem kontiem tas ir obligāts.

Paroļu pārvaldnieku veidi

Nav viena labākā veida. Nīderlandes NCSC izšķir pārvaldnieku pārlūkprogrammā, atsevišķu lietotni, kā arī tiešsaistes (mākoņa) un bezsaistes (lokālo) risinājumu. Praksē Jūs sastapsiet šādus veidus:

Pazīstami atsevišķu pārvaldnieku piemēri ir Bitwarden, 1Password, KeePassXC un Proton Pass, papildus tiem, kas iebūvēti pārlūkprogrammās un operētājsistēmās. Tas nav ieteikums: izvēlieties, pamatojoties uz tālāk minētajiem jautājumiem.

Jautājumi izvēles brīdī

• Vai tas darbojas visās Jūsu ierīcēs un pārlūkprogrammās, arī kolēģu ierīcēs?
• Vai varat koplietot glabātuves ar tiesībām pa mapēm un vēlāk kādu no glabātuves izņemt?
• Vai glabātuve ir pilnīgi šifrēta (end-to-end), un kas tajā tiek un netiek šifrēts (piemēram, tīmekļa vietņu adreses)?
• Vai glabātuvi varat aizsargāt ar divu faktoru autentifikāciju vai passkey?
• Vai ir ārkārtas piekļuve vai atjaunošanas kārtība, un kā tā tieši darbojas?
• Vai varat eksportēt savus datus, ja vēlaties mainīt pārvaldnieku?
• Bezmaksas versijām: kāds ir ieņēmumu modelis?

Pilnīga šifrēšana (end-to-end): kas notiek, ja piegādātājs tiek uzlauzts?

Labā mākoņa pārvaldniekā Jūsu glabātuve tiek šifrēta Jūsu ierīcē ar atslēgu, kas tiek atvasināta no Jūsu galvenās paroles. Piegādātājs saņem tikai šifrētu paketi. To sauc par pilnīgu šifrēšanu (end-to-end) (dažreiz "zero knowledge"). Piegādātājs nevar izlasīt Jūsu paroles, un tāpēc nevar arī atjaunot Jūsu galveno paroli.

Ja piegādātājs tiek uzlauzts, uzbrucējs var nozagt šifrētās glabātuves. Tad viņš var mēģināt tās uzlauzt bezsaistē, kā aprakstīts nodarbībā 2.1. Jūsu galvenā parole tajā brīdī ir vienīgā aizsardzība. Tāpēc:

• Galvenā parole ir gara un unikāla: paroles frāze no vismaz pieciem, vēlams sešiem nejaušiem vārdiem.
• Jūs to nelietojat nekur citur.
• Pēc noplūdes pie piegādātāja Jūs maināt gan galveno paroli, gan Jūsu svarīgāko kontu paroles. Vecā, nozagtā glabātuve taču ir šifrēta ar veco galveno paroli.

Divu faktoru autentifikācija glabātuvei palīdz pret kādu, kam ir Jūsu galvenā parole un kurš vēlas pieteikties caur tīmekļa vietni. Tā nepalīdz pret nozagta glabātuves faila uzlaušanu. To saka arī Nīderlandes NCSC: 2FA pārvaldniekam nav iemesls vājai galvenajai parolei.

Galvenās paroles aizsardzība

Galvenās paroles aizmiršana labā pārvaldniekā bieži ir neatgriezeniska: piegādātājs to nevar atgūt. Tāpēc nokārtojiet to iepriekš:

• Pierakstiet galveno paroli uz papīra un glabājiet to droša vietā mājās. Nīderlandes NCSC uzskata to par pieņemamu, ja vien blakus Jūs nepierakstāt, kam tā paredzēta.
• Izveidojiet atjaunošanas komplektu vai ārkārtas kodu, ko piedāvā Jūsu pārvaldnieks, izdrukājiet to un glabājiet kopā ar papīru.
• Ievadiet galveno paroli tikai paša pārvaldnieka lietotnē vai paplašinājumā, nekad tīmekļa vietnē, kas to pieprasa.
• Ieslēdziet automātisko bloķēšanu pēc dažām minūtēm neaktivitātes.

Kāpēc automātiska ievadīšana palīdz pret pikšķerēšanu

Paroļu pārvaldnieks katru paroli sasaista ar tīmekļa vietnes adresi. Vietnē https://mijnbank.example tas ievada Jūsu paroli. Līdzīgā viltus vietnē, piemēram, https://rnijnbank.example (rn vietā m) vai https://mijnbank-veilig.example, tas neko neievada, jo šīs adreses nav saistītas ar attiecīgo ierakstu.

Cilvēks bieži nepamana atšķirību starp rn un m. Pārvaldnieks salīdzina rakstzīmes un nenogurst, un nesteidzas. Tā ir īsta aizsardzība, bet tikai tad, ja Jūs ļaujat tai strādāt:

Vai Jūsu pārvaldnieks pēkšņi neko neievada vietnē, kur tas vienmēr bija ievadījis? Tad nerīkojieties ap to, kopējot paroli ar roku. Vispirms rūpīgi apskatiet adresi. Tas ir tieši tas brīdis, kad pārvaldnieks Jūs brīdina.

Dažreiz ir arī pamatots iemesls, kāpēc tas neievada paroli: pakalpojums pārcēlies uz jaunu adresi. Tādā gadījumā pārbaudiet to citā veidā, piemēram, pats ievadot adresi, kuru jau zinājāt.

Koplietošana komandā

Mazā uzņēmumā vienmēr ir konti, ko lietojat kopā: interneta veikals vietnē webwinkelplatform.example, konts pie koeriersdienst.example, uzņēmuma sociālie tīkli. Labākais risinājums ir, ja katram ir savs konts (modulis 7). Ja tas nav iespējams, izmantojiet koplietotu glabātuvi:

• Izveidojiet glabātuves vai mapes pēc tēmas ("Interneta veikals", "Finanses", "Sociālie tīkli") un piešķiriet piekļuvi tikai tiem, kam tā nepieciešama.
• Nekad nekoplietojiet paroles pa e-pastu, tērzēšanu vai izklājlapu. Ikviens, kam ir piekļuve koplietotajai glabātuvei, redz paroli tur.
• Vai kāds aiziet? Izņemiet viņu no glabātuves un nomainiet paroles, kuras viņš varēja redzēt. Tikai izņemšana no glabātuves nav pietiekama: viņš varētu būt tās pārrakstījis vai saglabājis citur.
• Nokārtojiet ārkārtas piekļuvi: kas notiks, ja Jūs, īpašnieks, saslimsiet vai nebūsiet pieejams? Daudziem pārvaldniekiem ir funkcija, ar kuru uzticama persona pēc gaidīšanas laika iegūst piekļuvi. Vai arī glabājiet atjaunošanas datus aizzīmogotā aploksnē pie otras personas.

Praksē: pāreja vienā pēcpusdienā

1. Izvēlieties pārvaldnieku un instalējiet to datorā un telefonā, kopā ar pārlūkprogrammas paplašinājumu.
2. Izveidojiet galveno paroli (paroles frāzi), pierakstiet to, saglabājiet atjaunošanas komplektu.
3. Ieslēdziet divu faktoru autentifikāciju glabātuvei.
4. Importējiet paroles, kuras jau glabāja Jūsu pārlūkprogramma. Eksporta fails bieži ir nešifrēts: dzēsiet to uzreiz pēc importēšanas, arī no miskastes.
5. Sāciet ar svarīgākajiem kontiem un katram piešķiriet jaunu, nejaušu paroli: Jūsu pasta kastīti (info@example.com), mitināšanu un domēna reģistrāciju, banku un grāmatvedību (piemēram, vietnē boekhoudpakket.example).
6. Pārējo atjauniniet, kad tāpat piesakāties. Brīdinājumi par dublētām parolēm Jums palīdzēs.

Vai lietojat kādu pakalpojumu WebOké vidē, piemēram, pasta kastīti vai Nextcloud, ar lietotnēm telefonā? Dažreiz tam izveidojat atsevišķu lietotnes paroli (skatiet Zināšanu bāzi 436). Arī to glabājiet pārvaldniekā, pie atbilstošā ieraksta. Pie citiem piegādātājiem tas darbojas līdzīgi.

Kopsavilkums

• Paroļu pārvaldnieks izveido, glabā un ievada unikālas paroles; Jūs atceraties tikai galveno paroli.
• Veidi: iebūvēts pārlūkprogrammā vai sistēmā, atsevišķa lietotne ar mākoni, lokāls, atvērtā koda vai pašu izvietots. Izvēlieties, ņemot vērā ierīces, koplietošanu, šifrēšanu un atjaunošanu.
• Pilnīgas šifrēšanas (end-to-end) gadījumā Jūsu galvenā parole ir pēdējā aizsardzības līnija, ja piegādātājs tiek uzlauzts.
• Ja pārvaldnieks neko neievada, apskatiet adresi, nevis kopējiet paroli.
• Koplietojiet, izmantojot koplietotu glabātuvi, un mainiet paroles, kad kāds aiziet.

Tests

Uzdevums

Uzdevums D2.2: Paroļu pārvaldnieka iestatīšana. Izvēlieties paroļu pārvaldnieku, izveidojiet galveno paroli un atjaunošanas komplektu, ieslēdziet divu faktoru autentifikāciju glabātuvei un piešķiriet saviem pieciem svarīgākajiem kontiem jaunu, unikālu paroli. Atzīmējiet kontrolsarakstu un atbildiet uz pārdomu jautājumiem. Nekur neievadiet paroli.

Papildu lasāmviela

Soļi WebOké rakstos attiecas uz WebOké vidi; citiem piegādātājiem tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 3.7: Drošas paroles un kas jādara, ja parole ir noplūdusi
• Lietotnes paroles izveide (nepieciešama savienojumam ar lietotnēm un ierīcēm)
• Nextcloud rokasgrāmata 3.5: Lietotņu paroles: kad un kā
• Nīderlandes NCSC, Kā izvēlēties paroļu pārvaldnieku?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Nīderlandes NCSC, Četri soļi, lai padarītu savas paroles drošākas: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken