Az egész online jelenlétünk egyik sarokpontja a jelszavaink biztonsága. Kívülről fújhatod már, amiről mindenhol szó van: hosszú, és bonyolult jelszavak kellenek, ne add meg sehova kétszer ugyanazt, takard el a kezeddel mikor bepötyögöd, változtass meg mindent 3naponta, használj kettős/multifaktoros azonosítást, netezz inkognitó módban, és a többi.
Felmerülhetett már benned egy jelszókezelő-app használata, ebben a bejegyzésben jártam körbe a témát a különböző típusok előnyeit és hátrányait illetően.
No de mi a helyzet a biztonságot illetően úgy részletesebben?
Jogos elvárásod lehet velük szemben a titkosszolgálatok tudását megszégyenítő biztonsági szint: A jelszókezelő ki tudja tölteni a webböngészőben helyetted a belépéshez szükséges adatokat, ez esetben viszont meg kell bíznod benne. Mennyire okos ötlet ez?
Nagyon is okos ötlet. Ha aggódsz, hogy rizikós, az érthető, ennek ellenére mindent számba véve nagyságrendekkel profibb és kevésbé veszélyes a használatuk az összes többi alternatívához képest. (Azt az esetet nem vizsgáljuk, hogy kizárod magad a digitális éterből, és ezentúl csak papírleveleket küldesz és készpénzzel fizetsz). Hogy hogyan jutottam erre a következésre, arról itt olvashatsz.
Ugye futottál már abba szituba, hogy két helyre ugyanazt a jelszót adtad meg? Vagy nagyon hasonlót? Nem jó ötlet. Ennek elkerülése érdekében, ezek az appok segítenek a bonyolult jelszavak létrehozásában, nyilvántartásában, felhasználásában, és rendszeres cseréjében is, ezáltal is minimalizálva a kitettségedet – nagyságrendekkel jobban, mint amire Te képes lennél „észben tartással”, vagy jegyzeteléssel.
Hogyan tárolják a jelszavaidat a digitális jelszókezelő megoldások?
Egyetlen nehéz jelszót (mester kulcsot) kell használatuk esetén megtanulnod, és erre emlékezned, ezáltal – kombinálva a földrajzi helyzeteddel, és pl. ujjlenyomatoddal, arcfelismeréssel – fognak meggyőződni arról, hogy valóban Te vagy az (ez a multifaktoros avagy kettős azonosítás).
Mindegy, hogy melyikükről van szó, miután ez megtörtént, a rendszerbe beépülve segítenek bármely felhasználónév-jelszó párost igénylő applikációnál, weboldalon, és felajánlják az oda illő, bennük eltárolt bonyolult jelszó automatikus kitöltését.
Fajtája válogatja, viszont gyakori az erős titkosítás (AES-256), még akkor is ha felhőben tárolódnak esetlegesen az adatok, ideális esetben a te mester kulcsod offline módban letitkosítja az kérdéses jelszót, és ez a titkosított adat kerül a felhőben történő letárolásra. A te mester kulcsod sosem hagyja el az eszközödet, és elméletileg a szolgálató viszont semmit nem tud kezdeni a Te titkosított adataiddal, melyhez nincs meg a kulcsa.
Harmadik felek által végzett programkód-auditokon vettek részt, és eléggé transzparensek azt illetően, hogy hogy és mit tárolnak. (Különösen igaz ez a Lastpassra és a 1Password-re is, melyeket amúgy bátran tudok ajánlani – ezek felhő-alapúak).
Ha viszont titkosított adatokat sem akarnál másnál, idegen szerveren tárolni, hanem inkább magad oldanád meg a dolgot, akkor szolgáltathatsz saját szerveren magad számára pl Bitwardennel, ha ez túl bonyolult lenne, akkor vagy használhatsz Keepass-t mely esetén neked kell arról gondoskodnod, hogy mindig minden eszközön a legfrissebb adatfájl álljon rendelkezésre (változások, új jelszavak).
Sőt ezt akár még más megoldásokkal is kombinálhatod, pl a Keepass adatfájlt tárolod saját szerveren, vagy felhőben valahol. A nagy kérdés az az, hogy melyik biztonságosabb? ha
- egy olyan eszközön vannak a jelszavaid, amely soha nem lát internetet [túl macera!]
- a számítógépeden, vagy mobilodon, vagy egy pendrive-on egy fájlban
- az általad üzemeltetett szerveren, ami vélhetően könybben lehet elméletileg piszkálható, viszont miért lennél pont Te egy célpont? [pl. saját NAS]
- egy más által üzemeltetett szerverre feltöltve, ami valószínűleg jól védett, viszont senki nem tudja, hogy Te ott jelszavakat (is) tárolsz [pl. felhőtárhelyek]
- egy szolgáltató által üzemeltetett szerveren, ami valószínűleg nagyon jól védett, viszont mindenki tudja róla hogy mások jelszavait tárolja…
Megbízhatsz-e Te ezekben a jelszókezelő-szolgáltatást (password manager) nyújtó cégekben?
Ha használni akarod a szolgáltatásaik adta előnyöket, akkor muszáj lesz. 🙂
Nyilván megígérik, hogy a jelszavaidat biztonságban fogják megőrizni, de elméletileg simán bármikor változtathatnak a forráskódon, és bármikor elkezdhetik problémásan is használni az adataidat – már ha egy ilyen pálfordulat megtörténik, arról nem is beszélve ha bármilyen biztonsági résre derül fény az ő kódjukban, ami által a Te cuccaid kerülnek veszélybe. Ezek nem 100%ban kizárható eshetőségek.
Tehát lesz némi kitettséged… De a használat által pont annyira bízol bennük, mint bármelyik másik szoftverben és applikációban, amit használsz. Írtam már itt a blogon: soha nem tudhatod, hogy pontosan mi zajlik egy programkódban minden egyes billentyűleütés után. Hallottál már a SolarWinds botrányról? 2020 decemberében borult a bili, szóval 1 hónappal ezen cikk írása előtt.
A böngészőbővítmények, vagy a mobilodban a kamerához és gps-hez hozzáférő appoknak a száma, vagy egy balul elsült netes félrekattintás nagyobb veszélyeket tartogat magában, mint amikor egy jelszókezelőt használsz: potenciális áldozata lehetsz kémkedésnek, ellophatják a bankkártyaszámod, telefonálhatnak helyetted, vagy bármi rossz történhet.
Mi is használjuk és ezért ajánljuk is őket
Nem olyan dolgot akarunk rád beszélni, amit nem próbáltunk, Tomival mindketten évek óta Lastpass felhasználók vagyunk. Számítógépen és iOS-en varázslatosan működik, Androidon is egyre jobb a dolog.
A jelszavak automatikus kitöltése az csak egy alapfunkcionalitás, ezen és a biztonságos működésen felül Özön kényelmi extrát biztosítanak: Meg tudod osztani másokkal a jelszavaid (családtagok, stb), csoportosítva adhatsz hozzáféréseket jelszavak csoportjaihoz, tárolhatsz titkos jegyzeteket, bankkártya-adatokat, mellékleteket.
Sőt, kb 1 hónapja jött egy mail, hogy az 123rf.de weblap data leak-et kapott, és mivel nekem arra az oldalra volt eltárolt jelszó a kis széfemben, ezért jelzett a Lastpass, h változtassam meg a jelszót… Kell ennél több?
Ahogy már számos alkalommal leírtam: sokkal több előnnyel jár a használatuk, mint hátránnyal, és igen, én azt vallom, hogy biztonságosak, nagyságrendekkel biztonságosabbak, mint az alternatív, béna próbálkozások jelszavaink kezelésére, valami „nagyon okos saját” módszer segítségével.
