Paroolihaldurite valimine ja kasutamine

Moodul 2: Paroolid ja sisselogimine · Lugemisaeg: 9 minutit

Õppe-eesmärk: pärast seda õppetundi oskad valida ja seadistada paroolihaldurit, kaitsta peaparooli ning jagada paroole turvaliselt meeskonnas.

Põhimõisted: paroolihaldur, peaparool, hoidla, otspunktide vaheline krüpteerimine, jagatud hoidla, hädaolukorra juurdepääs, brauseri paroolihaldur

Mida paroolihaldur teeb

Õppetunnis 2.1 nägid, et igal kontol peab olema oma pikk ja juhuslik parool. Kaheksakümmet parooli ei suuda keegi peas pidada. Paroolihaldur on tarkvara, mis teeb selle töö sinu eest. See:

• loob igale teenusele tugeva, juhusliku parooli;
• hoiab kõiki paroole krüpteeritult hoidlas;
• täidab need õigel veebilehel, ja ainult seal;
• hoiatab sageli nõrkade, korduvate või lekkinud paroolide eest;
• paljudel juhtudel saab hoida ka kaheastmelise autentimise koode ja passkey'sid (õppetunnid 2.3 ja 2.4).

Sina pead peas pidama ainult ühe: peaparooli, millega hoidla avaneb. Madalmaade NCSC soovitab paroolihaldurit kindla alusena ka väikestele organisatsioonidele, koos selgete kokkulepetega selle kohta, millist haldurit kasutatakse ja millistele kontodele see on kohustuslik.

Paroolihaldurite liigid

Ühte parimat liiki ei ole. Madalmaade NCSC eristab brauseripõhist haldurit, eraldiseisvat rakendust ning võrgupõhist (pilve) versiooni võrreldes kohaliku (lokaalse) versiooniga. Praktikas kohtad järgmisi vorme:

Tuntud eraldiseisvate haldurite näited on Bitwarden, 1Password, KeePassXC ja Proton Pass, lisaks brauseritesse ja operatsioonisüsteemidesse sisseehitatud halduritele. See ei ole soovitus: vali allolevate küsimuste põhjal.

Küsimused valikul

• Kas see töötab kõikides sinu seadmetes ja brauserites, ka kolleegide omades?
• Kas saad jagada hoidlaid õigustega kausta kaupa ning eemaldada kellegi hiljem hoidlast?
• Kas hoidla on otspunktide vaheliselt krüpteeritud ning mis jääb krüpteerimata (näiteks veebilehtede aadressid)?
• Kas saad hoidlat kaitsta kaheastmelise autentimisega või passkey'ga?
• Kas on olemas hädaolukorra juurdepääs või taasteskeem, ja kuidas see täpselt toimib?
• Kas saad oma andmed eksportida, kui soovid üle minna?
• Tasuta versioonide puhul: mis on äriidee selle taga?

Otspunktide vaheline krüpteerimine: mis saab, kui teenusepakkuja häkitakse?

Hea pilvepõhise halduri puhul krüpteeritakse su hoidla sinu enda seadmes võtmega, mis tuletatakse sinu peaparoolist. Teenusepakkuja saab ainult krüpteeritud paketi. Seda nimetatakse otspunktide vaheliseks krüpteerimiseks (mõnikord "zero knowledge"). Teenusepakkuja ei saa su paroole lugeda ega seega su peaparooli sinu eest taastada.

Kui teenusepakkuja häkitakse, võib ründaja varastada krüpteeritud hoidlad. Ta võib siis proovida neid võrguühenduseta lahti murda, nagu õppetunnis 2.1 kirjeldatud. Sinu peaparool on sel hetkel su ainus kaitse. Seetõttu:

• Peaparool on pikk ja unikaalne: vähemalt viiest, soovitatavalt kuuest juhuslikust sõnast koosnev paroolilause.
• Sa ei kasuta seda kuskil mujal.
• Pärast teenusepakkuja juures toimunud leket muudad nii oma peaparooli kui ka oma kõige tähtsamate kontode paroolid. Vana, varastatud hoidla on ju krüpteeritud vana peaparooliga.

Kaheastmeline autentimine hoidlal aitab selle vastu, kes on su peaparooli käes ja soovib veebilehe kaudu sisse logida. See ei aita varastatud hoidlafaili lahtimurdmise vastu. Madalmaade NCSC ütleb seda samuti: 2FA halduril ei ole põhjus nõrgale peaparoolile.

Peaparooli kaitsmine

Peaparooli unustamine on heas halduris sageli lõplik: teenusepakkuja ei saa seda tagasi tuua. Korralda see seega ette:

• Kirjuta peaparool paberile ja hoia seda kodus turvalises kohas. Madalmaade NCSC peab seda heaks praktikaks, kui sa ei kirjuta kõrvale, mille jaoks see on.
• Loo oma halduri pakutav taastekomplekt või hädaolukorra kood, prindi see välja ja hoia paberi juures.
• Sisesta peaparool ainult halduri enda rakenduses või laienduses, mitte kunagi veebilehel, mis seda küsib.
• Lülita sisse automaatne lukustumine pärast mõneminutilist tegevusetust.

Miks automaattäitmine aitab andmepüügi vastu

Paroolihaldur seob iga parooli veebilehe aadressiga. Aadressil https://mijnbank.example täidab ta su parooli. Sarnasel aadressil nagu https://rnijnbank.example (rn tähe m asemel) või https://mijnbank-veilig.example ei tee ta midagi, sest need aadressid ei ole selle kirjega seotud.

Inimene ei märka tihti vahet tähtede rn ja m vahel. Haldur võrdleb tähemärke ega väsi ega kiirusta kunagi. See on tõeline kaitse, aga ainult siis, kui lased sel tööd teha:

Kas sinu haldur ei täida järsku enam midagi lehel, kus see alati toimis? Ärge minge sellest mööda, kopeerides parooli käsitsi. Vaadake kõigepealt väga hoolikalt aadressit. See on just see hetk, mil haldur teid hoiatab.

Mõnikord on olemas ka hea põhjus, miks haldur ei täida: teenus on kolinud uuele aadressile. Kontrolli seda siis teist teed pidi, näiteks sisestades ise aadressi, mida sa juba varem teadsid.

Jagamine meeskonnas

Väikeses ettevõttes on alati kontosid, mida kasutatakse koos: veebipood aadressil webwinkelplatform.example, konto teenuse koeriersdienst.example juures, ettevõtte sotsiaalmeedia. Kõige parem on, kui igaühel on oma konto (moodul 7). Kui see ei ole võimalik, kasuta jagatud hoidlat:

• Loo hoidlad või kaustad teemade kaupa ("Veebipood", "Finants", "Sotsiaalmeedia") ja anna juurdepääs ainult neile, kes seda vajavad.
• Ära kunagi jaga paroole e-posti, vestluse ega tabeli kaudu. Kes pääseb jagatud hoidlale ligi, näeb parooli seal.
• Kas keegi lahkub? Eemalda ta hoidlast ja muuda paroolid, mida ta sai näha. Ainult hoidlast eemaldamisest ei piisa: ta võib need olla üles kirjutanud või salvestanud.
• Korralda hädaolukorra juurdepääs: mis juhtub, kui sina, omanik, oled haige või muul moel kättesaamatu? Paljudel halduritel on funktsioon, mis annab usaldusväärsele inimesele pärast ooteaega juurdepääsu. Või hoia taasteandmeid pitseeritud ümbrikus teise inimese juures.

Praktikas: üleminek ühe pärastlõunaga

1. Vali haldur ja installi see arvutisse ja telefoni, koos brauserilaiendusega.
2. Loo peaparool (paroolilause), kirjuta see üles ja hoia alles taastekomplekt.
3. Lülita hoidlal sisse kaheastmeline autentimine.
4. Impordi paroolid, mida su brauser juba hoidis. Eksport on tihti krüpteerimata fail: kustuta see kohe pärast importi, ka prügikastist.
5. Alusta kõige tähtsamatest kontodest ja anna igaühele uus, juhuslik parool: su postkast (info@example.com), su majutus ja domeeniregistreerimine, su pank ja raamatupidamine (näiteks aadressil boekhoudpakket.example).
6. Uuenda ülejäänud kontod siis, kui sisse logid. Korduvate paroolide hoiatused aitavad sind.

Kasutad teenust WebOké keskkonnas, näiteks postkasti või Nextcloud'i, koos rakendustega oma telefonis? Selleks loodki sageli eraldi rakenduse parooli (vaata teadmistebaasi 436). Ka selle hoia halduris, õige kirje juures. Teiste teenusepakkujate puhul töötab see sarnaselt.

Kokkuvõte

• Paroolihaldur loob, hoiab ja täidab unikaalseid paroole; sina pead meeles ainult peaparooli.
• Liigid: sisseehitatud brauserisse või süsteemi, eraldiseisev rakendus pilvega, lokaalne, avatud lähtekoodiga või isemajutatud. Vali seadmete, jagamise, krüpteerimise ja taaste põhjal.
• Otspunktide vahelise krüpteerimise korral on sinu peaparool viimane kaitseliin, kui teenusepakkuja häkitakse.
• Kui haldur ei täida parooli, vaata aadressi, selle asemel et seda käsitsi kopeerida.
• Jaga jagatud hoidla kaudu ja muuda paroole, kui keegi lahkub.

Test

Ülesanne

Ülesanne D2.2: Paroolihalduri seadistamine. Vali paroolihaldur, loo peaparool ja taastekomplekt, lülita hoidlal sisse kaheastmeline autentimine ning anna oma viiele kõige tähtsamale kontole uus, unikaalne parool. Märgi kontrollnimekiri ja vasta tagasisideküsimustele. Ühtegi parooli sa kuhugi ei sisesta.

Rohkem lugemist

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste teenusepakkujate puhul töötab see sarnaselt.

• DirectAdmin juhend 3.7: Turvalised paroolid ja mida teha lekkinud parooli korral
• Rakenduse parooli loomine (vajalik rakenduste ja seadmetega ühendamiseks)
• Nextcloudi juhend 3.5: Rakenduse salasõnad: millal ja kuidas
• Madalmaade NCSC, Kuidas valida paroolihaldurit?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• Madalmaade NCSC, Neli sammu paroolide turvalisemaks muutmiseks: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken