Hesla si musíte uložiť, pretože neviete, ako s nimi ostatní zachádzajú

Ak vás požiadam, aby ste mi povedali svoje heslo, urobíte to? Rozhodne nie. Ak vás o to požiada neznáma stránka na internete, zadáte ju? Dúfam, že nie. Ale ak vás o to pri registrácii požiada nová a užitočná služba? Väčšina ľudí tak urobí a zadá svoje heslo.

Dve tretiny ľudí používajú jedno heslo na viacerých účtoch alebo dokonca na všetkých. Inými slovami to znamená, že ak ich niekto na internete požiada o zadanie hesla prostredníctvom registračného formulára, s radosťou zadajú svoje hlavné a jediné heslo, ktoré používajú aj v bankovníctve, elektronickej pošte, sociálnych sieťach atď. Na mieste tak prezradia svoje heslo prakticky každému, kto sa ich opýta.

Nenechávajte si heslá v hlave

Keď do služby zadáte heslo, stratíte nad ňou kontrolu. Netušíte, ako služba spracúva heslá, či ich správne ukladá a či ich poskytne niekomu inému. Pomerne často sa stáva, že sa nepoctivci dostanú k databáze používateľa, skopírujú z nej údaje a umiestnia ich na internet. Dropbox, Mall.cz, hotelový reťazec Mariott a mnohé ďalšie už stratili heslá svojich používateľov. Deje sa to dnes a denne, dokonca aj v bankách.

Ak chcete zistiť, ako sú na tom vaše heslá, navštívte webovú stránku Have I Been Pwned, ktorá zhromažďuje databázy uniknutých hesiel a umožňuje používateľom v nich vyhľadávať. Zadáte svoj e-mail a hneď viete, kam už vaše heslá unikli. Možno budete prekvapení, koľkokrát sa už vaše heslo dostalo na internet.
Práve preto, že nemôžeme monitorovať bezpečnosť stoviek služieb, ktoré používame, musíme sami zabezpečiť najvyššiu možnú úroveň bezpečnosti. Musíme počítať s tým, že niektoré z našich obľúbených služieb môžu mať únik hesiel. Štatistiky sú neúprosné: skôr či neskôr sa to stane každému používateľovi.

Jediným riešením je mať pre každú službu úplne iné heslo, ktorého únik neohrozí bezpečnosť našich ostatných účtov. Heslo má byť spotrebný tovar, ktorý možno v prípade problému kedykoľvek zmeniť. Ale toto heslo mám už od tretej triedy! Žiadnu nostalgiu, prosím, heslo je technický identifikátor. Nie je to list od našej prvej lásky. Nesmieme na ňom lipnúť.

Ak teda chceme mať stovky rôznych hesiel pre stovky služieb, musíme si ich zapísať. Zabudnite na to, že ste to predtým mali zakázané. Mýlil sa. Nemáme mozog na to, aby sme si pamätali desiatky rôznych hesiel. O stovkách ani nehovoriac. Heslo musí byť niekde zapísané, aby bolo dobré a hlavne jedinečné. Môžete použiť poznámkový blok, ale správca hesiel je oveľa lepší.

Tip: Čo robiť, keď neviem PIN alebo PUK kód?

Mýty o správcoch hesiel

Pod každým článkom o správcoch hesiel nájdete tú istú diskusiu, v ktorej sa stále opakujú tie isté mýty a nezmysly o správcoch hesiel. Aby sme to objasnili, vysvetlíme to priamo v článku. Namiesto zbytočnej diskusie sa radšej prejdite von.

Nie je nebezpečné uchovávať heslá na jednom mieste? Heslá máte na jednom mieste, či už chcete, alebo nie. Aj tak prechádzajú cez váš počítač. Buď ich zadávate znova a znova pomocou klávesnice, alebo ich máte bezpečne uložené v zašifrovanom správcovi. Z pohľadu úspešného útočníka na tom nezáleží; ak bude váš počítač napadnutý, heslá získa aj tak. V praxi je však stále lepšie mať heslá v jednom počítači, ktorý máme pod kontrolou, ako mať jedno superheslo, ktoré koluje po stovkách služieb na internete a ktoré má v rukách bohviekto.

Nemôže sa niekto dostať k obsahu môjho správcu? Správca hesiel neznamená automaticky synchronizáciu cez internet. Pravdou je, že moderné nástroje to ponúkajú kvôli pohodliu používateľa. Dôležité je, že cez internet sa prenášajú len zašifrované údaje, takže útočník sa nemôže dostať k obsahu komunikácie. Je to rovnako bezpečné ako komunikácia z bankomatu do banky. Ak by sa niekomu podarilo toto šifrovanie prelomiť, mali by sme väčší problém ako len kompromitáciu hesiel.

Ale čo ak niekto skutočne hackne službu na ukladanie hesiel? To sa dokonca stalo. Niekto sa dostal do databázy služby LastPass a skopíroval niektoré informácie. Keďže sú však heslá zašifrované, útočník sa k nim nemôže dostať. Získal len e-mailové adresy používateľov, ale nie ich citlivé údaje. Ide o to, že na serveroch sú uložené len zašifrované formuláre, ktoré sú nepoužiteľné. Musia sa stiahnuť do klienta a iba klient ich dešifruje v bezpečnom priestore a umožní používateľovi ich používať.

Dokáže ma správca hesiel ochrániť pred všetkými útokmi? Správca hesiel nie je čarovný klobúk a nedokáže všetko. Môže však výrazne znížiť riziko útoku na používateľa. Nikdy nie je nič stopercentné, ale celé zabezpečenie je o analýze a znižovaní rizika. Proti škodám spôsobeným únikom hesla sa dá veľmi účinne brániť len tým, že pre každú službu máte jedinečné heslo.

A čo služba, ktorá vyžaduje špecifickú formu hesla? Niektoré služby vyžadujú, aby heslo malo špecifické parametre. Napríklad osem písmen, tri číslice a dva špeciálne znaky uprostred. Pre správcu hesiel to však nie je problém; nie vždy je potrebné generovať heslá úplne náhodne, ale môžete ukladať ľubovoľné heslá, ktoré zodpovedajú takýmto požiadavkám.

Prečo je správca hesiel užitočný

Úlohou správcu je generovať a udržiavať veľký súbor náhodných hesiel pre mnohé služby, ktoré používame. Určite ho poznáte: prepána, ďalšie heslo, ktoré si musím vymyslieť! So správcom hesiel je to hračka: vygenerovať, uložiť, hotovo. Pri úniku hesla len pokrčíte plecami a pokojne zopakujete rovnaké kroky: vygenerovať, uložiť, hotovo.

Správca hesiel vám však poskytuje aj ďalšiu obrovskú výhodu: odolnosť voči phishingu. Ak si útočník zaregistruje doménu s preklepom, ktorá je veľmi podobná skutočnej doméne vašej banky, nemusíte si všimnúť rozdiel. Ak totiž adresu zakaždým podrobne nepreskúmate, útočník vám môže zobraziť svoj vlastný prihlasovací formulár. Ak si heslo uchováte v hlave, je veľká pravdepodobnosť, že ho zadáte na falošnú stránku.

Správca hesiel to však neurobí. Pamätá si kombináciu adresy, používateľského mena a hesla. Ak narazí na neznámu stránku, neponúkne pre ňu heslo. Nevie, aké heslo. Nepozná túto stránku. Aby ste heslo bezmyšlienkovite neodoslali cudzej osobe, pretože dobrý správca hesiel vás pred tým ochráni.

Akého správcu hesiel by som mal používať?

Existuje mnoho správcov hesiel a možno sa pýtate, ktorého z nich použiť a aké sú medzi nimi rozdiely. Poďme si teda povedať o tých najbežnejších, ktoré môžete začať používať hneď teraz.

Webové prehliadače: všetky moderné webové prehliadače (Chrome, Firefox, Safari a ďalšie) umožňujú vytvárať a ukladať heslá na webových stránkach. Výhodou je, že ich máte na dosah ruky a môžete ich začať okamžite používať. Ich nevýhodou je, že nie sú tak univerzálne, neumožňujú ukladať ďalšie informácie a neponúkajú pokročilejšie funkcie, ako je napríklad zdieľanie konkrétnych hesiel medzi používateľmi. Ale ak tieto veci nepotrebujete, choďte do toho.

1Password: Správca hesiel, ktorý pravidelne vykonáva audity zabezpečenia kódu. Môžete si ho nainštalovať do počítača, mobilného telefónu alebo ako rozšírenie prehliadača. Má viac ako 15 miliónov používateľov a ponúka mnoho pokročilých funkcií pre tímy a podniky. Je to platená služba, za základnú verziu zaplatíte približne 4 eurá mesačne. Môžete si ho vyskúšať na dva týždne zadarmo. (web)

BitWarden: Bezplatný správca hesiel s otvoreným zdrojovým kódom, ktorý môžete používať úplne zadarmo. Prechádza aj bezpečnostnými auditmi a certifikáciami, takže je to veľmi bezpečné riešenie. Prípadne si môžete zaplatiť službu, ktorá ponúka synchronizáciu medzi viacerými zariadeniami, zdieľanie hesiel medzi používateľmi alebo dokonca upozornenia na únik hesiel z rôznych služieb. Ak máte vlastný server, môžete synchronizáciu zabezpečiť u seba bez ďalších poplatkov. (web)

KeePass: Bezplatný správca hesiel, ktorý ukladá všetky vaše údaje do zašifrovaného súboru na disku. Je to užitočné, ak chcete všetko spravovať sami a nechcete používať hotovú synchronizačnú službu. Prešiel aj bezpečnostným auditom, ktorý zistil, že je rovnako vhodný ako iné porovnateľné riešenia. Ide o nástroj s otvoreným zdrojovým kódom, takže existuje množstvo alternatívnych implementácií pre všetky možné platformy. (web)

Existujú desiatky správcov hesiel; ako pomôcka vám môže poslúžiť veľký prehľad na Wikipédii. Líšia sa ponúkanými službami, otvorenosťou kódu, možnosťami synchronizácie a možno aj podporou operačného systému. Ich hlavnou spoločnou črtou je však to, že umožňujú oveľa bezpečnejšie narábanie s heslami, než ako to dokáže vaša hlava.