Menedżer haseł – jak działa, czy jest bezpieczny i jak zacząć go używać?

Korzystanie z jednego hasła do poczty, sklepu internetowego, mediów społecznościowych i innych usług jest wygodne, ale bardzo ryzykowne. Gdy dane logowania wyciekną z jednego serwisu, przestępca może automatycznie sprawdzić je na wielu kolejnych stronach.

Rozwiązaniem jest używanie osobnego, długiego hasła do każdego konta. Zapamiętanie kilkudziesięciu różnych kombinacji byłoby jednak trudne. Menedżer haseł przechowuje dane logowania w zabezpieczonym sejfie, generuje unikalne hasła i uzupełnia je podczas logowania. Użytkownik musi zapamiętać przede wszystkim jedno hasło główne albo korzystać z zabezpieczenia urządzenia, takiego jak kod PIN, odcisk palca lub rozpoznawanie twarzy.

Co to jest menedżer haseł?

Menedżer haseł to program, aplikacja albo funkcja przeglądarki służąca do bezpiecznego przechowywania danych logowania. Zamiast zapisywać hasła w notesie, pliku tekstowym lub zawsze używać tej samej kombinacji, użytkownik zapisuje je w zaszyfrowanej bazie.

Typowy menedżer potrafi:

• przechowywać loginy i hasła,
• generować długie, losowe hasła,
• automatycznie wypełniać formularze logowania,
• synchronizować dane między urządzeniami,
• ostrzegać o powtarzających się hasłach,
• wskazywać słabe lub ujawnione dane logowania,
• zapisywać klucze dostępu, czyli passkeys,
• przechowywać bezpieczne notatki,
• udostępniać wybrane dane zaufanym osobom.

Menedżer nie sprawia, że użytkownik przestaje mieć hasła. Zmienia jednak sposób korzystania z nich. Zamiast tworzyć łatwe do zapamiętania kombinacje, można wygenerować dla każdego serwisu długie i całkowicie odmienne hasło.

To istotne, ponieważ jednym z częstych skutków wycieku danych jest tak zwane credential stuffing. Przestępcy wykorzystują wykradzione loginy i hasła, a następnie automatycznie próbują zalogować się nimi do poczty, sklepów, bankowości, serwisów streamingowych i mediów społecznościowych.

Jeśli do wszystkich kont używasz tej samej kombinacji, włamanie do jednego słabiej zabezpieczonego serwisu może zagrozić również pozostałym usługom. Podstawowe zasady ochrony kont opisaliśmy szerzej w artykule Jak chronić się w sieci?.

Jak działa menedżer haseł?

Po utworzeniu konta użytkownik zakłada cyfrowy sejf. Zapisane w nim dane są szyfrowane, dzięki czemu nie powinny być przechowywane jako zwykły, czytelny tekst.

Dostęp do sejfu może być chroniony przez:

• hasło główne,
• kod PIN urządzenia,
• odcisk palca,
• rozpoznawanie twarzy,
• klucz bezpieczeństwa,
• dodatkowy kod uwierzytelniający.

Podczas tworzenia konta w nowym serwisie menedżer może zaproponować losowe hasło, na przykład długą kombinację liter, cyfr i znaków. Użytkownik nie musi jej zapamiętywać. Program zapisuje hasło i później uzupełnia je na właściwej stronie.

Dobre narzędzie rozpoznaje domenę, z którą powiązane zostały dane. Hasło zapisane dla określonego banku nie powinno zostać automatycznie wpisane na stronie podszywającej się pod ten bank, lecz działającej pod innym adresem.

To jedna z praktycznych korzyści podczas ochrony przed phishingiem. Jeżeli menedżer nie proponuje zapisanych danych na stronie, na której zwykle się pojawiają, może to być sygnał, że adres witryny jest nieprawidłowy.

Nie oznacza to jednak, że autofill całkowicie eliminuje ryzyko. Użytkownik nadal powinien sprawdzać domenę, szczególnie przed logowaniem do poczty, bankowości i usług zawierających dane osobowe. Dodatkowe zabezpieczenia przeglądarki opisuje poradnik Jak ustawić filtr antyphishingowy w przeglądarce?.

Czy menedżer haseł jest bezpieczny?

Żadne narzędzie nie gwarantuje stuprocentowego bezpieczeństwa. Dobrze wybrany i poprawnie skonfigurowany menedżer haseł jest jednak zazwyczaj bezpieczniejszy niż powtarzanie jednego hasła, zapisywanie danych w zwykłym pliku albo tworzenie prostych kombinacji.

Najważniejszą zaletą menedżera jest możliwość korzystania z unikalnego hasła dla każdego konta. Nawet jeśli jedno z nich zostanie ujawnione, pozostałe nie muszą być automatycznie zagrożone.

CISA zaleca korzystanie z menedżerów umożliwiających generowanie i przechowywanie silnych haseł. Wskazuje jednocześnie, że sam dostęp do sejfu powinien być dodatkowo zabezpieczony uwierzytelnianiem wieloskładnikowym.

Największe ryzyka związane z menedżerem to:

• słabe hasło główne,
• brak dodatkowego zabezpieczenia konta,
• zainfekowane urządzenie,
• fałszywa aplikacja podszywająca się pod menedżera,
• przejęcie poczty służącej do odzyskiwania dostępu,
• pozostawienie odblokowanego sejfu na wspólnym komputerze,
• eksport haseł do niezabezpieczonego pliku,
• korzystanie z nieaktualnej wersji programu.

Menedżer haseł nie ochroni użytkownika przed złośliwym oprogramowaniem, które kontroluje całe urządzenie. Jeśli na komputerze działa program przechwytujący klawiaturę, obraz ekranu albo zawartość schowka, również dane z menedżera mogą zostać zagrożone. NIST podkreśla, że urządzenie używane do uwierzytelniania powinno być wolne od złośliwego oprogramowania.

Dlatego menedżer należy traktować jako jeden z elementów ochrony, obok aktualizacji, programu zabezpieczającego, ostrożności wobec linków i uwierzytelniania wieloskładnikowego.

Czy przechowywanie wszystkich haseł w jednym miejscu nie jest ryzykowne?

To najczęstsza obawa osób, które nigdy wcześniej nie korzystały z takiego programu. Na pierwszy rzut oka cyfrowy sejf może wydawać się pojedynczym punktem awarii: jeśli ktoś dostanie się do niego, uzyska dostęp do wielu kont.

Takie ryzyko rzeczywiście istnieje. Należy jednak porównać je z alternatywą.

Bez menedżera użytkownicy często:

• używają jednego hasła w wielu serwisach,
• tworzą przewidywalne modyfikacje tego samego hasła,
• zapisują dane w notatniku telefonu,
• przechowują je w zwykłym dokumencie,
• wysyłają hasła przez komunikator,
• pozostawiają je zapisane na kartkach,
• wybierają bardzo krótkie kombinacje.

W takiej sytuacji przejęcie jednego hasła lub jednego niezabezpieczonego pliku może prowadzić do podobnych konsekwencji, a dane nie są chronione przez szyfrowanie ani dodatkowe uwierzytelnienie.

Menedżer skupia dane w jednym miejscu, lecz jednocześnie pozwala to miejsce znacznie lepiej zabezpieczyć. Kluczowe jest użycie mocnego hasła głównego i włączenie dodatkowej metody logowania.

Co to jest hasło główne?

Hasło główne otwiera sejf z pozostałymi danymi logowania. W przypadku części usług dostawca nie zna tego hasła i nie może go po prostu wyświetlić użytkownikowi.

Powinno być:

• unikalne,
• używane wyłącznie w menedżerze,
• długie,
• możliwe do zapamiętania,
• trudne do odgadnięcia,
• niezwiązane z imieniem, datą urodzenia lub nazwą firmy.

Dobrym rozwiązaniem może być długa fraza złożona z kilku niepowiązanych słów, uzupełniona według własnej, nieoczywistej reguły. Długość ma większe znaczenie niż sztuczne komplikowanie krótkiego hasła przypadkowymi zamianami liter na cyfry.

NIST zaleca, aby hasła tworzone samodzielnie miały co najmniej 15 znaków. Wskazuje również, że wielowyrazowe frazy mogą być skutecznym sposobem budowania dłuższych danych logowania.

Przykładem sposobu myślenia może być kombinacja kilku niepowiązanych słów, ale nie należy kopiować gotowych haseł z poradników. Hasło opublikowane w internecie przestaje być tajne.

Hasła głównego:

• nie zapisuj w nazwie kontaktu,
• nie przechowuj w zwykłej notatce,
• nie wysyłaj sobie pocztą,
• nie używaj w innych serwisach,
• nie podawaj pracownikowi pomocy technicznej,
• nie wpisuj na urządzeniu, któremu nie ufasz.

Jeśli obawiasz się, że zapomnisz hasło, możesz zapisać je na papierze i umieścić w bezpiecznym, fizycznym miejscu. Kartka przechowywana w zamkniętym domu może być dla niektórych osób bezpieczniejsza niż plik tekstowy zapisany na komputerze lub w chmurze.

Co się stanie, jeśli zapomnę hasła głównego?

To zależy od wybranego menedżera. Niektóre usługi oferują odzyskiwanie dostępu przez konto rodzinne, klucz awaryjny, wcześniej zaufane urządzenie albo specjalny kod odzyskiwania. Inne nie są w stanie przywrócić zaszyfrowanych danych bez prawidłowego hasła.

Brak prostego resetowania może wyglądać jak wada, ale bywa skutkiem sposobu zabezpieczenia sejfu. Jeśli dostawca nie ma technicznej możliwości odszyfrowania bazy, nie może również łatwo przekazać jej osobie podszywającej się pod właściciela.

Przed rozpoczęciem korzystania z programu sprawdź:

• jak działa odzyskiwanie konta,
• czy można utworzyć kod awaryjny,
• czy dostęp może odzyskać zaufany członek rodziny,
• czy wcześniejsze urządzenie pozwala zmienić hasło,
• co stanie się po utracie telefonu,
• czy dostawca ma dostęp do treści sejfu.

Kody odzyskiwania należy przechowywać poza samym menedżerem. Umieszczenie jedynej kopii kodu wewnątrz sejfu nie pomoże, gdy nie można już go otworzyć.

Menedżer w przeglądarce czy osobna aplikacja?

Menedżery można podzielić na trzy podstawowe grupy:

1. wbudowane w system operacyjny,
2. wbudowane w przeglądarkę,
3. niezależne aplikacje działające na wielu platformach.

Każde rozwiązanie ma zalety i ograniczenia.

Menedżer w przeglądarce

Przeglądarki mogą zapisywać hasła i synchronizować je po zalogowaniu na konto użytkownika. To wygodne rozwiązanie dla osoby korzystającej przede wszystkim z jednego ekosystemu.

Zalety:

• nie trzeba instalować osobnego programu,
• łatwa konfiguracja,
• automatyczne zapisywanie haseł,
• synchronizacja między urządzeniami,
• szybkie uzupełnianie formularzy.

Ograniczenia:

• silne powiązanie z konkretną przeglądarką lub kontem,
• mniejsza wygoda po zmianie ekosystemu,
• nie zawsze pełna obsługa wszystkich aplikacji,
• dostęp może zależeć od zabezpieczenia głównego konta przeglądarki.

Microsoft wskazuje, że wbudowany menedżer Edge ułatwia korzystanie z unikalnych haseł, ponieważ użytkownik nie musi ich samodzielnie zapamiętywać ani za każdym razem wpisywać.

Menedżer systemowy

Apple, Google i Microsoft rozwijają własne rozwiązania powiązane z kontem i urządzeniami użytkownika.

W ekosystemie Apple aplikacja Hasła i pęk kluczy iCloud synchronizują hasła oraz klucze dostępu pomiędzy zatwierdzonymi urządzeniami. Apple deklaruje, że synchronizacja odbywa się w sposób, który nie ujawnia firmie zapisanych danych.

Tego rodzaju rozwiązanie jest wygodne, gdy użytkownik korzysta głównie z urządzeń jednego producenta. Może być mniej wygodne, gdy na co dzień łączy na przykład iPhone’a, komputer z Windowsem, kilka przeglądarek oraz telefon z Androidem.

Niezależna aplikacja

Osobny menedżer często działa na wielu systemach, telefonach i przeglądarkach. Może zapewniać bardziej rozbudowane funkcje, takie jak:

• bezpieczne udostępnianie,
• konta rodzinne,
• dostęp awaryjny,
• raporty o słabych hasłach,
• przechowywanie dokumentów,
• oddzielne sejfy prywatne i służbowe,
• obsługa wielu przeglądarek,
• rozbudowana kontrola eksportu i kopii zapasowych.

To dobre rozwiązanie dla osoby korzystającej z różnych urządzeń i systemów. Wymaga jednak wyboru dostawcy, instalacji dodatków i poznania sposobu działania aplikacji.

Nie ma jednego rozwiązania najlepszego dla wszystkich. Najważniejsze jest, aby wybrany menedżer rzeczywiście był regularnie używany na wszystkich urządzeniach. Rozbudowana aplikacja nie pomoże, jeśli użytkownik nadal tworzy proste hasła poza nią.

Jak wybrać dobry menedżer haseł?

Zamiast kierować się wyłącznie ceną lub reklamą, sprawdź kilka najważniejszych cech.

Szyfrowanie i model bezpieczeństwa

Dostawca powinien jasno wyjaśniać:

• jak zabezpiecza sejf,
• kiedy dane są szyfrowane,
• czy sam może odczytać zapisane hasła,
• jak działa synchronizacja,
• jak zabezpieczone są kopie,
• co dzieje się podczas odzyskiwania konta.

Ogólne hasło „bezpieczne szyfrowanie” bez szczegółowego opisu nie daje użytkownikowi wiele informacji.

Uwierzytelnianie wieloskładnikowe

Konto menedżera powinno umożliwiać włączenie dodatkowej metody logowania. Może to być aplikacja uwierzytelniająca, klucz sprzętowy, zatwierdzenie na zaufanym urządzeniu albo inny składnik.

Kod SMS jest lepszy niż całkowity brak dodatkowej ochrony, ale może być podatny na wyłudzenie lub przejęcie numeru. CISA rekomenduje stosowanie MFA, ponieważ samo hasło może zostać skradzione lub wyłudzone.

Obsługiwane urządzenia

Sprawdź, czy program działa na wszystkich urządzeniach, z których korzystasz:

• komputerze z Windowsem,
• Macu,
• telefonie z Androidem,
• iPhonie,
• tablecie,
• używanych przeglądarkach.

Należy zweryfikować nie tylko obecność aplikacji, ale również działanie automatycznego uzupełniania w innych programach.

Możliwość eksportu

Dane powinny dać się przenieść do innego rozwiązania. Brak eksportu może uzależnić użytkownika od jednego dostawcy.

Trzeba jednak pamiętać, że plik eksportu często zawiera hasła w czytelnej postaci. Po zakończeniu migracji należy go bezpiecznie usunąć z komputera, kosza, folderu pobranych plików i chmury.

Historia incydentów i reakcja firmy

Sam fakt wystąpienia incydentu nie przesądza automatycznie o jakości produktu. Ważne jest:

• jak szybko firma poinformowała użytkowników,
• jakie dane zostały naruszone,
• czy sejfy pozostawały zaszyfrowane,
• jakie zmiany wprowadzono po zdarzeniu,
• czy przeprowadzono niezależny audyt,
• czy użytkownicy otrzymali jasne zalecenia.

Audyty i przejrzystość

Warto sprawdzić, czy rozwiązanie jest regularnie badane przez zewnętrznych specjalistów oraz czy dostawca publikuje informacje o architekturze bezpieczeństwa.

Otwarte publikowanie części kodu może zwiększać przejrzystość, ale samo w sobie nie gwarantuje bezpieczeństwa. Liczy się także jakość implementacji, sposób dystrybucji aktualizacji i reakcja na wykryte podatności.

Funkcja ostrzegania o naruszeniach

Przydatne są informacje o:

• hasłach używanych wielokrotnie,
• zbyt krótkich hasłach,
• danych ujawnionych w znanych wyciekach,
• kontach bez dodatkowego uwierzytelnienia,
• nieaktualnych danych logowania.

Takie ostrzeżenia pomagają ustalić kolejność zmian. W pierwszej kolejności należy zabezpieczyć pocztę, bankowość, konto Google, Apple lub Microsoft oraz usługi zawierające dane finansowe.

Obsługa kluczy dostępu

Coraz więcej usług umożliwia logowanie przy użyciu passkeys, czyli kluczy dostępu. Są one powiązane kryptograficznie z konkretną stroną i trudniejsze do wyłudzenia za pomocą klasycznego phishingu.

NIST wskazuje, że klucze dostępu nie wymagają zapamiętywania i są znacznie odporniejsze na wyłudzenie niż zwykłe hasła.

Warto więc sprawdzić, czy wybrany menedżer potrafi zapisywać i synchronizować nie tylko hasła, ale również passkeys.

Czy autofill jest bezpieczny?

Automatyczne uzupełnianie oszczędza czas i ogranicza konieczność kopiowania danych przez schowek. Może także pomóc zauważyć fałszywą stronę, ponieważ menedżer rozpoznaje domenę, dla której zapisano dane.

Mimo to przed zatwierdzeniem logowania należy sprawdzić:

• adres strony,
• nazwę domeny,
• protokół połączenia,
• czy strona nie została otwarta z podejrzanej wiadomości,
• czy formularz nie znajduje się w wyskakującym oknie lub reklamie.

Niektóre menedżery wymagają kliknięcia konkretnego loginu przed uzupełnieniem danych. Takie rozwiązanie zmniejsza ryzyko, że hasło zostanie automatycznie wpisane w nieoczekiwanym miejscu.

Microsoft opisuje mechanizm Edge, w którym dane są wprowadzane dopiero po świadomym wybraniu przez użytkownika właściwego loginu.

Autofill nie zastępuje jednak uwagi. Jeśli na podejrzanej stronie samodzielnie skopiujesz hasło z sejfu i wkleisz je do formularza, zabezpieczenie oparte na rozpoznawaniu domeny nie pomoże.

Jak zacząć korzystać z menedżera haseł?

Migracja nie musi oznaczać zmiany wszystkich haseł jednego dnia. Można przeprowadzić ją etapami.

Krok 1: wybierz rozwiązanie pasujące do urządzeń

Zastanów się:

• z jakich systemów korzystasz,
• czy potrzebujesz współdzielić hasła z rodziną,
• czy chcesz przechowywać dane lokalnie czy synchronizować je w chmurze,
• czy potrzebujesz wersji firmowej,
• czy planujesz często zmieniać urządzenia,
• czy rozwiązanie obsługuje passkeys.

Dla osoby korzystającej wyłącznie z jednego ekosystemu wystarczający może być menedżer wbudowany w system. Przy wielu platformach wygodniejsza bywa niezależna aplikacja.

Krok 2: utwórz mocne hasło główne

Przygotuj długą, unikalną frazę. Nie używaj jej nigdzie indziej.

Nie twórz hasła głównego na podstawie:

• nazwy programu,
• imienia dziecka,
• daty urodzenia,
• adresu,
• ulubionej drużyny,
• nazwy firmy,
• prostego cytatu powszechnie dostępnego w internecie.

Krok 3: włącz dodatkowe uwierzytelnianie

Zrób to przed importowaniem wszystkich kont. Zapisz kody odzyskiwania w bezpiecznym miejscu poza menedżerem.

Jeżeli używasz aplikacji uwierzytelniającej, zastanów się, co stanie się po utracie telefonu. Przygotuj zapasową metodę dostępu.

Krok 4: zainstaluj oficjalne aplikacje i dodatki

Pobieraj program wyłącznie z oficjalnej strony, sklepu z aplikacjami lub wskazanego przez dostawcę sklepu z rozszerzeniami.

Uważaj na reklamy w wyszukiwarce. Przestępcy mogą promować strony podszywające się pod popularne programy. Sprawdź domenę przed pobraniem instalatora.

Krok 5: zaimportuj zapisane hasła

Wiele menedżerów pozwala zaimportować dane z przeglądarki lub innego programu. Zwykle wymaga to wyeksportowania pliku.

Po imporcie:

1. sprawdź, czy dane pojawiły się w nowym sejfie,
2. przetestuj kilka loginów,
3. usuń plik eksportu,
4. opróżnij kosz,
5. sprawdź folder pobranych plików,
6. usuń kopię z chmury, jeśli została tam zsynchronizowana.

Plik CSV z hasłami może nie być zaszyfrowany. Nie należy przechowywać go jako kopii zapasowej ani przesyłać pocztą.

Krok 6: zmień najważniejsze hasła

Zacznij od:

1. głównej skrzynki pocztowej,
2. bankowości i usług płatniczych,
3. konta Google, Apple lub Microsoft,
4. chmury z dokumentami,
5. mediów społecznościowych,
6. sklepów z zapisaną kartą,
7. serwisów służbowych,
8. pozostałych kont używających tego samego hasła.

Dla każdego wygeneruj inne hasło. Nie wystarczy zmienić końcówki lub dodać kolejnego numeru.

Krok 7: usuń duplikaty i stare wpisy

Po imporcie sejf może zawierać kilka wersji danych do tej samej strony. Usuń nieaktualne wpisy dopiero wtedy, gdy sprawdzisz, który login działa.

Warto również uporządkować:

• nieużywane konta,
• stare adresy e-mail,
• profile testowe,
• dane logowania do nieistniejących usług,
• hasła do sieci i urządzeń.

Krok 8: wyłącz konkurujące mechanizmy autofill

Jeśli jednocześnie działa kilka menedżerów, przeglądarka może wyświetlać różne propozycje logowania, zapisywać hasła w dwóch miejscach albo tworzyć nieaktualne duplikaty.

Wybierz jedno główne narzędzie i ustaw je jako domyślną usługę automatycznego uzupełniania. Pozostałe menedżery można pozostawić tylko wtedy, gdy świadomie rozdzielasz dane, na przykład prywatne i służbowe.

Które hasła zmienić jako pierwsze?

Nie zawsze da się od razu poprawić setki kont. Należy zacząć od tych, których przejęcie spowodowałoby największe szkody.

Poczta elektroniczna

Skrzynka pocztowa pozwala resetować hasła w innych serwisach. Jej przejęcie może otworzyć dostęp do znacznej części cyfrowego życia.

Sprawdź również:

• aktywne sesje,
• reguły przekazywania wiadomości,
• dodatkowe adresy odzyskiwania,
• połączone aplikacje,
• ostatnią aktywność.

Konto głównego ekosystemu

Konto Google, Apple lub Microsoft może zawierać zdjęcia, kopie zapasowe, kontakty, dokumenty, historię lokalizacji i dane synchronizowane z urządzeń.

Bankowość i płatności

Silne hasło nie zastępuje zabezpieczeń bankowych, ale nadal powinno być unikalne. Nie zapisuj numerów PIN kart jako łatwo rozpoznawalnych notatek w sejfie.

Media społecznościowe

Przejęte konto może zostać wykorzystane do oszukiwania znajomych, publikowania reklam, wyłudzania kodów BLIK albo wysyłania linków phishingowych.

O tym, jak niebezpieczne mogą być odnośniki rozsyłane z przejętych profili, pisaliśmy w artykule Czy da się zarazić wirusem komputerowym przez media społecznościowe?.

Sklepy i serwisy z zapisaną kartą

Sprawdź, czy na koncie nie ma zapisanych metod płatniczych, adresów dostawy i historii zamówień. Usuń nieużywane karty oraz stare adresy.

Czy menedżer może przechowywać kody 2FA?

Niektóre programy pozwalają zapisywać zarówno hasło, jak i jednorazowe kody uwierzytelniające.

To wygodne, ponieważ logowanie odbywa się w jednym narzędziu. Powstaje jednak pytanie, czy przechowywanie obu składników w tym samym miejscu nie osłabia ochrony.

Są dwa podejścia.

Hasło i kod w jednym menedżerze

Zalety:

• prostsza obsługa,
• mniejsze ryzyko rezygnacji z 2FA,
• łatwa synchronizacja,
• wygodne logowanie na wielu urządzeniach.

Wada polega na tym, że osoba, która przejmie odblokowany sejf, może uzyskać oba składniki.

Osobna aplikacja do kodów

Zalety:

• rozdzielenie składników,
• wyższa odporność na przejęcie jednego konta,
• możliwość przechowywania kodów na innym urządzeniu.

Wadą jest trudniejsza konfiguracja i konieczność zadbania o dodatkową kopię odzyskiwania.

Dla większości użytkowników przechowywanie kodów w dobrze zabezpieczonym menedżerze nadal może być znacznie lepsze niż całkowity brak 2FA. W przypadku szczególnie ważnych kont warto rozważyć osobną aplikację albo fizyczny klucz bezpieczeństwa.

Menedżer haseł a klucze dostępu

Passkeys, czyli klucze dostępu, mają stopniowo ograniczać konieczność używania zwykłych haseł. Logowanie jest zatwierdzane na urządzeniu za pomocą kodu PIN, odcisku palca, rozpoznawania twarzy lub innej metody.

Klucz dostępu jest powiązany z konkretną domeną. Fałszywa strona nie może wykorzystać go tak łatwo jak hasła wpisanego przez użytkownika. CISA wskazuje, że mechanizmy oparte na FIDO mogą blokować próby logowania na stronach phishingowych.

Menedżery coraz częściej przechowują obok siebie:

• klasyczne hasła,
• passkeys,
• kody uwierzytelniające,
• informacje o kontach.

Nie należy jednak czekać z porządkowaniem haseł do momentu, gdy wszystkie serwisy wdrożą klucze dostępu. Proces ten potrwa, a wiele kont przez długi czas nadal będzie korzystać z tradycyjnego logowania.

Czy warto zapisywać w menedżerze dane karty i dokumenty?

Niektóre aplikacje pozwalają przechowywać:

• numery kart,
• dane dokumentów,
• klucze licencyjne,
• notatki,
• dane sieci Wi-Fi,
• informacje medyczne,
• pliki.

Może to być bezpieczniejsze niż zwykły dokument na pulpicie, ale nie oznacza, że w sejfie należy umieszczać wszystko.

Przed zapisaniem szczególnie wrażliwych informacji sprawdź:

• czy są szyfrowane,
• czy synchronizują się z chmurą,
• kto ma dostęp do współdzielonego sejfu,
• czy można wyłączyć podgląd,
• jak działa eksport,
• czy wpis pojawi się na wszystkich urządzeniach.

Nie zapisuj kodu PIN karty w notatce nazwanej nazwą banku lub numerem karty. Nie przechowuj również danych, których umieszczenie w zewnętrznej usłudze jest zabronione przez pracodawcę.

Jak bezpiecznie udostępnić hasło drugiej osobie?

Wysyłanie hasła przez e-mail lub komunikator powoduje, że pozostaje ono w historii rozmowy, kopii zapasowej i na wielu urządzeniach.

Lepszym rozwiązaniem jest funkcja bezpiecznego udostępniania dostępna w menedżerze. Może ona pozwalać na:

• przekazanie jednego wpisu,
• wycofanie dostępu,
• wspólną aktualizację hasła,
• ograniczenie widoczności,
• utworzenie rodzinnego sejfu.

Współdzielone hasła nadal powinny być ograniczone do niezbędnego minimum. Każda osoba powinna mieć własne konto w usłudze, jeśli jest to możliwe. Wspólne dane logowania utrudniają ustalenie, kto wykonał określoną operację, i zwiększają liczbę osób mających dostęp.

Najczęstsze błędy podczas korzystania z menedżera

Słabe hasło główne

Najlepsze szyfrowanie nie pomoże, jeśli hasło główne można łatwo odgadnąć lub znajduje się w jednym z wcześniejszych wycieków.

Brak MFA

Dodatkowe uwierzytelnienie powinno zostać włączone jak najszybciej, najlepiej jeszcze przed przeniesieniem wszystkich kont.

Pozostawianie sejfu odblokowanego

Ustaw automatyczną blokadę po określonym czasie, po zamknięciu przeglądarki albo po uśpieniu urządzenia.

Na prywatnym komputerze czas blokady może być dłuższy niż na laptopie używanym poza domem. Na urządzeniu współdzielonym sejf powinien blokować się szybko.

Instalowanie dodatku z przypadkowej strony

Fałszywe rozszerzenie może przechwycić loginy. Korzystaj wyłącznie z odnośników podanych przez oficjalnego producenta.

Przechowywanie pliku eksportu

Plik utworzony podczas migracji może zawierać wszystkie hasła bez szyfrowania. Należy usunąć go natychmiast po sprawdzeniu importu.

Ignorowanie ostrzeżeń

Jeśli menedżer informuje o ujawnionym lub powtarzającym się haśle, należy je zmienić. Samo zapisanie słabej kombinacji w sejfie nie czyni jej silniejszą.

Brak planu na utratę telefonu

Sprawdź wcześniej, jak zalogujesz się na nowym urządzeniu. Zachowaj kody odzyskiwania i nie polegaj wyłącznie na jednej aplikacji zainstalowanej na jednym telefonie.

Co zrobić, gdy pojawi się informacja o wycieku menedżera?

Nie każda informacja o incydencie oznacza, że przestępcy poznali wszystkie hasła użytkowników. Zakres zdarzenia może obejmować na przykład dane kont, metadane, zaszyfrowane sejfy albo elementy infrastruktury.

Po otrzymaniu komunikatu:

1. przeczytaj oficjalną informację dostawcy,
2. sprawdź, jakie dokładnie dane zostały naruszone,
3. zmień hasło główne, jeśli jest to zalecane,
4. zakończ aktywne sesje,
5. sprawdź konfigurację MFA,
6. zaktualizuj aplikację i rozszerzenia,
7. zmień najważniejsze hasła przechowywane w sejfie, jeśli mogły być zagrożone,
8. uważaj na wiadomości wykorzystujące informacje o incydencie do phishingu.

Nie klikaj linku do „pilnej zmiany hasła” przesłanego w przypadkowej wiadomości. Otwórz oficjalną aplikację albo samodzielnie wpisz adres dostawcy.

Jeżeli już podałeś dane na podejrzanej stronie, postępuj zgodnie z instrukcją opisaną w artykule Co zrobić po kliknięciu w podejrzany link?.

Czy warto korzystać z menedżera haseł?

Dla większości użytkowników odpowiedź brzmi: tak. Największym problemem nie jest wybór pomiędzy kilkoma dobrymi narzędziami, lecz dalsze używanie jednego prostego hasła do wielu usług.

Menedżer pozwala:

• tworzyć unikalne hasła,
• ograniczyć skutki wycieku z jednej strony,
• szybciej zmieniać słabe dane logowania,
• bezpieczniej udostępniać wybrane konta,
• korzystać z passkeys,
• rozpoznawać część fałszywych domen,
• uporządkować dostęp do usług.

Nie zwalnia jednak z ostrożności. Sejf trzeba zabezpieczyć mocnym hasłem głównym i uwierzytelnianiem wieloskładnikowym. Urządzenia powinny być aktualizowane, a podejrzane linki weryfikowane przed otwarciem.

Najlepszym menedżerem nie zawsze będzie program z największą liczbą funkcji. Najlepsze rozwiązanie to takie, które działa na wszystkich używanych urządzeniach, pozwala wyeksportować dane, ma przejrzyste zabezpieczenia i jest na tyle wygodne, że użytkownik rzeczywiście zapisuje w nim każde nowe hasło.