Tak, menedżer haseł może zostać zaatakowany, a zapisane w nim dane mogą zostać skradzione. Jednak kradzież zaszyfrowanej bazy nie oznacza automatycznie poznania wszystkich haseł. O skutkach decyduje między innymi sposób szyfrowania, siła hasła głównego, zabezpieczenia urządzenia i to, do czego przestępca rzeczywiście uzyskał dostęp.
Inaczej wygląda włamanie na serwer dostawcy, inaczej wyłudzenie danych logowania, a jeszcze inaczej przejęcie komputera z otwartym sejfem. Dlatego pytanie „czy menedżer jest bezpieczny?” warto uzupełnić drugim: przed jakim rodzajem ataku ma nas chronić?
Co właściwie oznacza zhakowanie menedżera haseł?
Pod tym określeniem może kryć się kilka różnych sytuacji.
| Co przejął przestępca? | Co to oznacza dla zapisanych haseł? |
|---|---|
| Zaszyfrowaną kopię sejfu | Musi jeszcze pokonać zabezpieczenia potrzebne do odszyfrowania danych. |
| Hasło główne | Ryzyko jest poważne, ale dostęp może wymagać dodatkowego składnika lub uwierzytelnienia. |
| Odblokowany sejf na urządzeniu | Może odczytać lub skopiować dostępne wpisy. |
| Niezaszyfrowany eksport haseł | Dane mogą być czytelne bez znajomości hasła głównego. |
| Urządzenie z działającym złośliwym oprogramowaniem | Może przechwytywać dane podczas korzystania z nich, zależnie od uprawnień i możliwości programu. |
To rozróżnienie ma praktyczne znaczenie. Informacja o incydencie u dostawcy nie musi oznaczać, że wszystkie hasła są już publiczne. Z kolei przejęcie jednego komputera może narazić konkretną osobę mimo prawidłowego działania infrastruktury producenta.
Jeśli dopiero poznajesz takie narzędzia, zacznij od poradnika Menedżer haseł – jak działa, czy jest bezpieczny i jak zacząć go używać?.
Co chroni hasła po kradzieży zaszyfrowanej bazy?
Podstawową ochroną jest szyfrowanie. Bez odpowiedniego klucza skopiowana baza nie powinna ujawniać czytelnych haseł. Samo uzyskanie dostępu do pliku nie wystarcza wtedy do otwarcia sejfu.
W rozwiązaniach wykorzystujących szyfrowanie end-to-end dane są szyfrowane na urządzeniu użytkownika przed przesłaniem do synchronizacji. Dostawca przechowuje zaszyfrowaną zawartość, zamiast zwykłej listy loginów i haseł.
Z tym wiąże się określenie zero knowledge: konstrukcja usługi ma uniemożliwiać dostawcy odczytanie chronionej zawartości sejfu. Nie oznacza to, że firma nie zna żadnych informacji o kliencie — może znać na przykład adres e-mail i dane rozliczeniowe.
Znaczenie ma także mechanizm wyprowadzania klucza z hasła głównego. Jego zadaniem jest między innymi zwiększenie kosztu sprawdzania kolejnych zgadywanych haseł. Takie elementy architektury opisuje dokumentacja bezpieczeństwa Bitwarden.
Samo hasło „szyfrowanie klasy wojskowej” nie wystarcza do oceny programu. Liczy się również poprawność implementacji, ochrona kluczy i sposób odzyskiwania dostępu. Nawet dobra kryptografia nie wyklucza błędów w aplikacji.
Dlaczego hasło główne jest tak ważne?
Jeśli przestępca uzyska zaszyfrowaną bazę, może próbować odgadywać hasło poza serwerami dostawcy. To tak zwany atak offline. Nie musi wtedy korzystać ze zwykłego formularza logowania.
Hasło oparte na imieniu, dacie urodzenia lub popularnym zwrocie może być łatwiejsze do odgadnięcia niż długa, losowo utworzona fraza. Dodanie wykrzyknika do przewidywalnego słowa nie rozwiązuje problemu.
Dobre hasło główne powinno być:
- używane wyłącznie do menedżera;
- długie i trudne do przewidzenia;
- niezwiązane z informacjami o właścicielu;
- przechowywane w sposób, który pozwoli uniknąć zarówno kradzieży, jak i utraty dostępu.
Praktycznym rozwiązaniem jest fraza z kilku słów wylosowanych przez generator. Samodzielnie wymyślone zdanie, cytat lub tekst piosenki nie zapewniają tej samej nieprzewidywalności.
Nie kopiuj gotowych przykładów haseł z poradników. Jeśli przygotowujesz papierową kopię awaryjną, przechowuj ją w zabezpieczonym miejscu, z dala od urządzenia używanego na co dzień.
Czy uwierzytelnianie dwuskładnikowe chroni cały sejf?
Uwierzytelnianie dwuskładnikowe i szyfrowanie pełnią różne funkcje. Pierwsze utrudnia zalogowanie się do usługi, drugie chroni treść danych.
Dodatkowy kod lub klucz bezpieczeństwa może zatrzymać osobę, która zna hasło, ale próbuje wejść na konto z nowego urządzenia. Nie należy jednak zakładać, że zwykłe 2FA uniemożliwia odszyfrowanie skradzionej kopii sejfu.
Jeżeli drugi składnik służy wyłącznie do zatwierdzania logowania na serwerze, nie jest automatycznie częścią zabezpieczenia kryptograficznego bazy. Szczegóły zależą od konkretnego produktu.
Podobnie 2FA nie rozwiąże problemu pozostawienia otwartego sejfu na dostępnym dla innych komputerze. W takiej sytuacji kolejna osoba może korzystać z już odblokowanej aplikacji.
Włącz dodatkowe uwierzytelnianie, ale jednocześnie zadbaj o mocne hasło główne i automatyczne blokowanie sejfu.
Czy wirus może wykraść hasła z menedżera?
Tak. Szyfrowanie chroni przechowywaną bazę, ale podczas korzystania z hasła aplikacja musi umożliwić jego użycie. Złośliwe oprogramowanie z odpowiednimi uprawnieniami może próbować przechwycić wpisywane dane, zawartość schowka lub informacje dostępne w odblokowanej aplikacji.
Nie oznacza to, że każdy wirus potrafi odczytać cały sejf. Możliwości zależą od rodzaju zagrożenia, systemu i zabezpieczeń programu. Nie można jednak traktować menedżera jako rozwiązania, które zapewni bezpieczeństwo na całkowicie przejętym urządzeniu.
Twórcy KeePass wyjaśniają w opisie modelu bezpieczeństwa programu, dlaczego ochrona przed napastnikiem kontrolującym system ma istotne ograniczenia.
Dlatego:
- aktualizuj system, przeglądarkę i menedżer;
- instaluj aplikacje oraz rozszerzenia z oficjalnych źródeł;
- blokuj ekran, kiedy odchodzisz od komputera;
- nie otwieraj sejfu na cudzym lub podejrzanym urządzeniu;
- ustaw automatyczną blokadę menedżera po bezczynności.
Jeżeli podejrzewasz infekcję, najważniejsze hasła zmieniaj z innego, zaufanego sprzętu.
Czy menedżer haseł chroni przed phishingiem?
Może ograniczyć ryzyko. Menedżer dopasowuje zapisane dane do adresu strony, więc nie powinien proponować hasła do prawdziwej usługi na obcej domenie.
Jeśli na pozornie znajomej stronie nagle nie pojawia się propozycja uzupełnienia hasła, zatrzymaj się i sprawdź adres. Nie kopiuj danych ręcznie tylko po to, aby ominąć tę niedogodność.
Nie jest to jednak gwarancja ochrony przed każdym oszustwem. Znaczenie mają ustawienia dopasowania adresów, działanie rozszerzenia i zachowanie użytkownika. Fałszywa strona może też próbować wyłudzić hasło główne do samego menedżera.
Dodatkową warstwę ochrony opisujemy w artykule Jak ustawić filtr antyphishingowy w przeglądarce?.
Czy sejf lokalny jest bezpieczniejszy niż menedżer w chmurze?
Sejf przechowywany wyłącznie lokalnie ogranicza ryzyko związane z włamaniem na serwer synchronizacji dostawcy. Nadal może jednak zostać skradziony z komputera, nośnika lub kopii zapasowej.
Użytkownik musi też sam zadbać o dostępność danych. Uszkodzenie dysku bez kopii zapasowej może oznaczać utratę wszystkich zapisanych haseł.
Menedżer chmurowy ułatwia synchronizację i korzystanie z kilku urządzeń. Wymaga natomiast oceny zabezpieczeń usługi, zasad odzyskiwania konta oraz tego, co jest szyfrowane.
Samo miejsce przechowywania bazy nie przesądza o bezpieczeństwie. Lokalny plik chroniony słabym hasłem nie staje się bezpieczny tylko dlatego, że nie znajduje się na serwerze producenta.
Eksport haseł może ominąć zabezpieczenia sejfu
Eksport przydaje się podczas migracji lub tworzenia kopii danych. Trzeba jednak sprawdzić jego format.
Zwykły plik CSV może zawierać czytelne loginy i hasła. Po zapisaniu poza menedżerem nie chroni go automatycznie hasło główne sejfu. Może trafić do synchronizowanego folderu, kopii zapasowej albo załącznika pocztowego.
Jeżeli program oferuje szyfrowany eksport, sprawdź jego zasady i możliwość późniejszego odtworzenia. Po migracji usuń niepotrzebne kopie jawnego eksportu, także z kosza i miejsc synchronizacji. Nie traktuj zwykłego skasowania pliku jako pewności usunięcia wszystkich jego wcześniejszych kopii.
To samo dotyczy zrzutów ekranu, wydruków i haseł przesłanych komunikatorem. Ochrona sejfu nie obejmuje automatycznie danych wyniesionych poza niego.
Co zrobić po informacji o włamaniu do menedżera haseł?
Najpierw sprawdź oficjalny komunikat dostawcy. Ustal, czy incydent dotyczy danych kontaktowych, zaszyfrowanych sejfów, aplikacji czy faktycznego dostępu do odczytanych haseł. Nie korzystaj z linku do „pilnego zabezpieczenia konta” przesłanego przez nieznanego nadawcę.
Jeśli istnieje podejrzenie odczytania zawartości sejfu:
- Zabezpiecz urządzenie i korzystaj z zaufanego sprzętu.
- Zmień hasło główne i zakończ aktywne sesje zgodnie z instrukcją dostawcy.
- Zmień hasła do zagrożonych usług, zaczynając od poczty i najważniejszych kont.
- Sprawdź metody odzyskiwania dostępu oraz urządzenia zalogowane w tych usługach.
- Wymień ujawnione kody odzyskiwania i inne sekrety, jeśli również znajdowały się w sejfie.
Zmiana hasła głównego nie zmienia automatycznie haseł do zapisanych stron. Nie unieważnia też starej kopii bazy znajdującej się u napastnika. To, co zostało skopiowane przed zmianą, wymaga osobnej oceny ryzyka.
Jeśli incydent zaczął się od fałszywego formularza, pomocny będzie poradnik Co zrobić po kliknięciu w podejrzany link?.
Najczęstsze pytania o bezpieczeństwo menedżerów haseł
Czy trzymanie wszystkich haseł w jednym miejscu jest rozsądne?
Tak, jeśli sejf jest dobrze zabezpieczony. Skupienie danych zwiększa wagę ochrony menedżera, ale jednocześnie ułatwia używanie długiego, unikalnego hasła do każdej usługi. Wyciek jednego zewnętrznego serwisu nie ujawnia wtedy hasła używanego wszędzie indziej.
Czy odcisk palca zastępuje silne hasło główne?
Nie należy tego zakładać. Biometria często służy do lokalnego odblokowania aplikacji, a nie zastąpienia wszystkich mechanizmów chroniących bazę. Zasady działania zależą od menedżera i urządzenia.
Czy kody 2FA można przechowywać razem z hasłami?
To wygodne, ale po odczytaniu całego sejfu przestępca może uzyskać oba składniki potrzebne do logowania. Dla szczególnie ważnych kont warto oddzielić drugi składnik, na przykład używając klucza sprzętowego. Jedynej metody dostępu do samego menedżera nie przechowuj wyłącznie wewnątrz niego.
Czy audyt bezpieczeństwa gwarantuje, że aplikacja nie ma błędów?
Nie. Audyt dotyczy określonego zakresu i wersji rozwiązania. Jest wartościową informacją, ale znaczenie ma także to, czy producent usuwa wykryte problemy i regularnie aktualizuje program.
Czy po zapomnieniu hasła głównego producent odzyska moje dane?
To zależy od produktu i wcześniej skonfigurowanych metod odzyskiwania. Niektóre rozwiązania pozwalają skorzystać z kodu awaryjnego lub uprawnionej osoby, inne nie umożliwiają odtworzenia dostępu. Sprawdź te zasady, zanim sejf stanie się jedynym miejscem przechowywania ważnych danych.
Czy po zmianie hasła w menedżerze zmienia się ono również na stronie?
Zwykle nie. Edycja wpisu w sejfie aktualizuje zapisane dane. Hasło do usługi trzeba zmienić w jej ustawieniach, a następnie upewnić się, że menedżer zapisał nową wersję.
