Paroolide ülekandmine paroolihaldurisse

Moodul 7: Koostöö, rakendused ja turvalisus · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda tundi oskad paroolid turvaliselt üle kanda brauserist, paberilipikutelt ja tabelitest paroolihaldurisse, mis sobib sinu uue lahendusega, sealhulgas jagatud hoidlad meeskonnale.

Põhimõisted: paroolihaldur, hoidla, peaparool, taastevõti, paroolid brauseris (Google, Edge, Apple), eksport csv-na, jagatud hoidla või kogu, ise majutamine, avatud lähtekoodiga tarkvara, krüpteerimine sinu enda seadmes (zero-knowledge), pääsuvõtmete (passkey) hoidmine

Unustatud osa

Peaaegu igas inventuuris on paroolid puudu. Need ei ole pilveteenuses, mille sa üles ütled, seega ei mõtle keegi nende peale. Ometi on need sageli kõige keskmes. Bakkerij De Korrel juures selgub pärast ülevaatust:

• enamik paroole on Chrome's, salvestatud inimese Google'i konto all;
• panga, hulgimüüja ja veebipoe paroolid on tabelis wachtwoorden.xlsx, mis asub Google Drive's;
• wifi parool ja alarmi kood ripuvad paberilipikul;
• kaks kolleegi kasutavad kõikjal sama parooli.

Kui Google'i konto kaob, kaovad koos sellega ka Chrome'i paroolid. Ja pilves olev paroolitabel on üks esimesi asju, mida sissemurdja otsib. Üleminek on seega hea hetk see probleem lahendada.

Mida paroolihaldur teeb

Paroolihaldur on krüpteeritud hoidla paroolidele, koos rakendusega telefonis ja arvutis ning laiendusega brauseris. Sa pead meeles ainult ühe tugeva peaparooli; haldur loob iga saidi jaoks pika, unikaalse parooli ja täidab selle sinu eest ise.

Oluline on, kus krüpteerimine toimub. Tuntud haldurite puhul krüpteeritakse hoidla sinu enda seadmes, võtmega, mis on tuletatud sinu peaparoolist. Teenusepakkuja säilitab ainult krüpteeritud hoidlat ega saa sinu paroole lugeda. Seda nimetatakse sageli "zero-knowledge" põhimõtteks. Tagajärg on see, et kui unustad oma peaparooli ja sul pole taastevõtit, ei saa ka teenusepakkuja sind aidata.

Hea haldur täidab paroolid ka ainult õigel aadressil. Sinu panga võltsitud sait ei saa seega midagi, isegi kui see näeb täpselt samasugune välja. See on lisakaitse andmepüügi (phishing) vastu.

Millised liigid on olemas?

See ei ole paremusjärjestus. Üheinimeseettevõtte jaoks võib KeePassXC koos hoidlafailiga oma pilves olla täiesti sobiv. Kaheteistkümneliikmelise meeskonna jaoks on mugavam haldur jagatud hoidlatega. Kasuta ka siin tunni 2.1 viit küsimust (asukoht, omanik, andmekeskus, alltöötlejad, võti). Paroolihalduri puhul kaalub kõige rohkem viimane küsimus: kellel on võti? Kui see oled ainult sina, siis loeb vähem, kus krüpteeritud hoidla asub, võrreldes tavaliste failidega.

Ülekandmine: eksport, import ja kohene kustutamine

Peaaegu iga brauser ja haldur oskab paroole eksportida csv-failina. See on tavaline tekstifail, kus igal real on sait, kasutajanimi ja parool, krüpteerimata kujul. Igaüks, kes selle faili avab, saab kõike lugeda. Seetõttu:

1. Tee seda arvutis, mida usaldad, mitte jagatud poearvutis.
2. Ekspordi oma enda arvutisse, mitte sünkroonitud kausta ega pilve. Muidu on krüpteerimata fail mõne sekundi pärast serveris, versioonides ja prügikastis.
3. Impordi see kohe uude haldurisse.
4. Kontrolli pistelise valikuga, kas kõik klapib (logi sisse mõnele saidile).
5. Kustuta csv-fail kohe ja tühjenda ka arvuti prügikast.
6. Lülita seejärel brauseris paroolide salvestamine välja, et ei tekiks teist, vananenud koopiat.

Paroolidega tabeli kannad üle, sisestades andmed käsitsi haldurisse (või importides need csv-failina, samade reeglitega). Kustuta seejärel tabel, ka vanast pilvest, nii prügikastist kui versiooniajaloost. Muuda selles olnud olulisemad paroolid, sest sa ei tea, kes on faili aastate jooksul näinud.

Pane tähele ka pääsuvõtmeid (passkey) (tund 7.3). Pääsuvõtit, mis on salvestatud sinu Google'i või Apple'i kontos, ei saa alati eksportida. Loo oluliste saitide jaoks oma uues halduris uus pääsuvõti või veendu, et teate oma parooli ja teist sammu, enne kui vana konto suletakse.

Jagamine meeskonnas

Mõned paroolid kuuluvad organisatsioonile, mitte ühele inimesele: pank, hulgimüüja, sotsiaalmeediakontod, wifi. Kasuta selleks halduris jagatud hoidlat või kogu:

• Loo grupi kaupa hoidla: "Pood", "Administratsioon", "Haldus". Mitte kõik ei pea kõike nägema.
• Ära kunagi jaga parooli vestluse ega e-kirja kaudu. Ka mitte "kiiresti".
• Kui keegi lahkub, eemalda ta jagatud hoidlatest ja muuda paroolid, millele tal oli ligipääs ja mida ta võis meeles pidada või kopeerida.

Peaparool ja päev, mil asjad lähevad valesti

Peaparool on ainuke võti. Vali pikk lause neljast kuni kuuest juhuslikust sõnast, mida sa mujal ei kasuta. Lülita ka halduris endas sisse kaheastmeline autentimine (2FA).

Korralda taastamine ette ära:

• Hoia taastevõtit või hädaolukorra juurdepääsu, mida sinu haldur pakub, paberil turvalises kohas.
• Lepi organisatsiooni jaoks kokku, kes saab juurdepääsu omaniku surma või pikaajalise haiguse korral. Paljudel halduritel on selleks hädaolukorra juurdepääsu funktsioon.
• Sinu kõige olulisemate kontode varukoodid kuuluvad ka siia, või paberile (tund 7.3). Mitte hoidlasse, millesse pääseb ainult nende kontode kaudu.

Praktikas: nii näeb see välja ühe teenusepakkuja juures

WebOké Nextcloudis ei ole eraldi paroolihaldurit; kasutad omal valikul paroolihaldurit. Kui kasutad KeePassXC-d, saad panna krüpteeritud hoidlafaili oma Nextcloudi, nii et see on desktop-rakenduse kaudu kõigis sinu arvutites ja seda saab versioonide kaudu taastada. Fail on sel juhul krüpteeritud sinu peaparooliga juba enne, kui see serverisse jõuab. WebOké Nextcloudi turvalisuse juhend soovitab ise samuti paroolihaldurit ja nimetab seda hea kohana sinu varukoodide hoidmiseks.

Teistel Euroopa pilveteenustel toimib see sarnaselt: paroolihaldur on tavaliselt eraldi teenus või rakendus sinu pilve kõrval.

Kokkuvõte

• Paroolid sinu vana konto brauseris kaovad koos sellega, kui konto suletakse. Kanna need eelnevalt üle.
• Paroolihaldur krüpteerib sinu enda seadmes; peaparool on ainus võti.
• Csv-eksport on krüpteerimata: mitte kunagi sünkroonitud kausta, impordi kohe, kustuta kohe.
• Kasuta organisatsiooni paroolide jaoks gruppide kaupa jagatud hoidlaid ja muuda need lahkumisel.
• Korralda taastamine ja hädaolukorra juurdepääs ette ära, paberil.

Test

Ülesanne

Ülesanne E7.4: Paroolid ülevaates ja ülekandmisplaan. Uuri välja, kus asuvad sinu organisatsiooni paroolid praegu (iga inimese brauser, tabelid, paberilipikud, jagatud kontod), vali paroolihaldur tunni 2.1 viie küsimuse abil ja kirjuta ülekandmisplaan: kes ekspordib mida, millises arvutis, millal csv-fail kustutatakse ja millised jagatud hoidlad luuakse.

Rohkem lugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teistel teenusepakkujatel toimib see sarnaselt.

• Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
• Nextcloudi juhend 3.3: Autentimisrakenduse seadistamine ja varukoodide salvestamine
• NCSC (Madalmaade riiklik küberturvalisuse keskus), Alusta küberturvalisusega: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/