Zaczyna się niewinnie. Zakładasz konto w sklepie, wpisujesz to samo hasło, którego używasz do poczty i mediów społecznościowych, i przechodzisz dalej, bo termin dostawy goni. Po roku takich kont masz czterdzieści, a hasło wciąż jedno — może z drobną wariacją, cyfrą na końcu albo wykrzyknikiem.

Problem ujawnia się dopiero przy wycieku. Kiedy baza jednego serwisu trafia do sieci, przestępcy nie zatrzymują się na tym jednym koncie — biorą twój login i hasło i próbują ich automatycznie na dziesiątkach innych stron. Ta technika ma nawet nazwę: credential stuffing, czyli upychanie skradzionych par login-hasło tam, gdzie mogą zadziałać. Wystarczy, że raz użyłeś tego samego zestawu do banku i do zapomnianego forum, żeby jeden wyciek otworzył drogę do pieniędzy.

Menedżer haseł rozwiązuje ten problem u źródła. Zamiast pamiętać czterdzieści haseł albo — co gorsza — jedno powtarzane wszędzie, pamiętasz jedno, a program pilnuje reszty. W tym poradniku pokażę, jak to działa od środka, jak generować mocne hasła, jak chronić dostęp do samego menedżera i co robić, gdy dowiesz się o wycieku.

Dlaczego jedno hasło do wszystkiego to zła strategia

Ludzka pamięć ma granice, więc powtarzanie haseł wygląda na rozsądny kompromis. Rozsądny do momentu, w którym ktoś włamie się do dowolnego z serwisów, gdzie masz konto. Serwisy padają ofiarą włamań regularnie, a ich zabezpieczenia bywają różne — jedne trzymają hasła w mocno zaszyfrowanej formie, inne przechowują je gorzej, niż powinny.

Załóżmy, że wyciekła baza małego sklepu, w którym raz coś kupiłeś. Twoje hasło ląduje na liście krążącej po forach przestępczych. Automat sprawdza je następnie w poczcie, banku, serwisie zakupowym i chmurze ze zdjęciami. Jeśli wszędzie było takie samo, jeden słaby sklep właśnie oddał napastnikowi całe twoje cyfrowe życie. Skrzynka pocztowa boli najbardziej, bo przez opcję „zresetuj hasło” daje dostęp do prawie każdego innego konta.

Drobne wariacje typu Haslo1, Haslo2, Haslo3 nie pomagają tak, jak się wydaje. Narzędzia do łamania haseł zakładają dokładnie takie schematy i sprawdzają je w pierwszej kolejności. Prawdziwe bezpieczeństwo daje dopiero zasada, której człowiek nie udźwignie samodzielnie: każde konto ma własne, długie, losowe i niepowtarzalne hasło.

Czym właściwie jest menedżer haseł

Menedżer haseł to program, który przechowuje wszystkie twoje loginy i hasła w zaszyfrowanym zbiorze — bywa nazywany sejfem lub skarbcem. Dostajesz się do niego jednym hasłem głównym. Reszta danych żyje w środku w postaci, której nikt bez tego hasła nie odczyta, nawet jeśli wykradnie sam plik z sejfem.

Poza samym przechowywaniem menedżer robi kilka rzeczy, które ręcznie są uciążliwe albo niewykonalne. Generuje losowe hasła na żądanie, wpisuje je za ciebie w formularze logowania, synchronizuje zbiór między telefonem a laptopem i ostrzega, gdy któreś z twoich haseł pojawiło się w znanym wycieku. Dla wielu osób ta ostatnia funkcja jest pierwszym sygnałem, że gdzieś doszło do włamania.

Jak działa hasło główne i szyfrowanie

Sercem całości jest hasło główne. Menedżer nie przechowuje go nigdzie w czytelnej formie — zamiast tego przekształca je w klucz, którym szyfruje i odszyfrowuje sejf. Współczesne programy stosują silne algorytmy szyfrowania oraz tak zwane funkcje wzmacniające, które celowo spowalniają proces sprawdzania hasła. Dzięki temu atak polegający na zgadywaniu milionów kombinacji staje się kosztowny i powolny.

Duża część dostawców projektuje usługę w modelu, w którym tylko ty znasz hasło główne, a firma nie ma do niego dostępu. Nazywa się to architekturą zero-knowledge. Szyfrowanie i odszyfrowanie dzieje się na twoim urządzeniu, więc do serwerów dostawcy trafia już zaszyfrowana paczka. Ma to jedną poważną konsekwencję: jeśli zapomnisz hasła głównego, zwykle nikt ci go nie odzyska, bo nikt inny go nie zna. Ta niedogodność jest ceną za to, że sejfu nie odczyta też włamywacz ani pracownik dostawcy.

Generowanie silnych haseł

Tu menedżer pokazuje pełnię możliwości. Zamiast wymyślać hasło głową, klikasz przycisk i dostajesz ciąg w rodzaju 7kQ!vR2m@Lp9xZ. O sile takiego hasła decydują dwie rzeczy: długość i losowość. Im dłuższe i mniej przewidywalne, tym więcej kombinacji musiałby sprawdzić atakujący.

Generator pozwala ustawić długość oraz zestaw znaków — wielkie i małe litery, cyfry, symbole. Dla większości kont sensownym wyborem jest hasło co najmniej kilkunastoznakowe. Ponieważ i tak nie musisz go pamiętać, nic nie stoi na przeszkodzie, żeby było jeszcze dłuższe. Poniższa tabela pokazuje różnicę w praktyce.

Frazy złożone z kilku losowych słów bywają wygodne tam, gdzie hasło trzeba czasem przepisać ręcznie, na przykład do hasła głównego. Do zwykłych kont, których menedżer i tak wpisuje automatycznie, wybieraj losowy ciąg — nie ma powodu, by szło się przez czytelność.

Autouzupełnianie i wygoda na co dzień

Bezpieczeństwo, które przeszkadza, szybko ląduje w koszu. Twórcy menedżerów dobrze to rozumieją, dlatego autouzupełnianie stało się funkcją, dla której wiele osób w ogóle zaczyna z nich korzystać. Wchodzisz na stronę logowania, menedżer rozpoznaje adres i podpowiada właściwy login z hasłem. Jedno kliknięcie i jesteś w środku.

Autouzupełnianie daje też ochronę, o której łatwo zapomnieć. Menedżer wypełnia dane wyłącznie na stronie o właściwym adresie. Jeśli trafisz na podrobioną witrynę udającą bank, program nie rozpozna adresu i nie podpowie hasła. Ten brak podpowiedzi w miejscu, gdzie zwykle się pojawia, bywa pierwszym ostrzeżeniem, że coś jest nie tak — chroni przed phishingiem lepiej niż niejeden ludzki instynkt.

Synchronizacja między urządzeniami

Większość z nas loguje się z telefonu, laptopa, czasem tabletu czy komputera w pracy. Menedżer utrzymuje ten sam zaszyfrowany sejf na wszystkich tych urządzeniach i dba, żeby zmiana zrobiona w jednym miejscu pojawiła się w pozostałych. Zmieniasz hasło do banku na komputerze, a wieczorem telefon zna już nową wersję.

Synchronizacja przez chmurę budzi czasem obawy, ale dzięki modelowi zero-knowledge do serwerów trafia wyłącznie zaszyfrowana paczka. Nawet gdyby ktoś przechwycił dane w drodze albo włamał się na serwer dostawcy, zobaczyłby zbiór, którego bez twojego hasła głównego nie da się otworzyć. Część programów pozwala też trzymać sejf lokalnie i synchronizować go własnymi środkami, co doceniają osoby, które wolą nie oddawać danych na cudze serwery.

Ochrona hasła głównego

Całe bezpieczeństwo opiera się na jednym haśle, więc temu jednemu trzeba poświęcić najwięcej uwagi. Zrób je długim i unikalnym — nie może to być hasło, którego kiedykolwiek używałeś gdziekolwiek indziej. Dobrze sprawdza się fraza z kilku niepowiązanych słów, długa, a przy tym możliwa do zapamiętania.

Nie zapisuj hasła głównego w notatkach w telefonie ani w pliku na pulpicie. Jeśli musisz mieć zapis awaryjny, trzymaj go na papierze w bezpiecznym miejscu, z dala od komputera. Pamiętaj o konsekwencji modelu zero-knowledge: dostawca zwykle nie odzyska tego hasła za ciebie. Niektóre programy oferują kod lub klucz awaryjny na wypadek zapomnienia — jeśli twój go ma, wygeneruj go od razu i schowaj równie starannie.

Uwierzytelnianie dwuskładnikowe

Hasło, nawet mocne, to jeden składnik. Uwierzytelnianie dwuskładnikowe dokłada drugi — coś, co masz, obok czegoś, co wiesz. Po wpisaniu hasła serwis prosi o dodatkowy kod z aplikacji, klucza sprzętowego albo wiadomości. Nawet jeśli ktoś pozna twoje hasło, bez drugiego składnika nie wejdzie na konto.

Włącz dwuskładnik przede wszystkim na samym menedżerze haseł oraz na poczcie — to dwa punkty, których przejęcie boli najbardziej. Kody z aplikacji uwierzytelniającej albo klucz sprzętowy są odporniejsze niż kody SMS, które da się przechwycić. Wiele menedżerów potrafi dziś przechowywać także kody dwuskładnikowe, co bywa wygodne, choć trzymanie obu składników w jednym miejscu ma swoje wady i zalety — rozważ, czy w twoim przypadku wygoda przeważa nad zasadą rozdzielania.

Menedżer w przeglądarce czy osobna aplikacja

Przeglądarki od dawna proponują zapisanie hasła po zalogowaniu i to najprostszy start — nic nie instalujesz, funkcja jest pod ręką. Dla kogoś, kto dziś powtarza jedno hasło wszędzie, wbudowany menedżer przeglądarki to już ogromny krok naprzód i lepszy niż nic.

Osobne aplikacje idą jednak dalej. Zwykle działają w wielu przeglądarkach i systemach naraz, oferują rozbudowane generatory, kontrolę siły haseł, alerty o wyciekach, bezpieczne notatki czy współdzielenie wpisów z rodziną. Różnią się też podejściem do szyfrowania i obsługi hasła głównego. Wybór zależy od tego, jak bardzo złożone jest twoje cyfrowe życie — im więcej urządzeń, kont i wrażliwych danych, tym więcej zyskujesz na osobnym narzędziu.

Co robić przy wycieku danych

Prędzej czy później dostaniesz sygnał, że twoje dane pojawiły się w wycieku — od menedżera, od serwisu albo z wiadomości. To nie powód do paniki, tylko do szybkiego działania według prostej kolejności.

• Zmień hasło na koncie, którego dotyczy wyciek, i wygeneruj nowe, losowe zamiast poprawiać stare.
• Jeśli tego samego hasła używałeś gdzie indziej, zmień je wszędzie tam — to najpilniejsze zadanie, bo właśnie te konta są zagrożone.
• Włącz uwierzytelnianie dwuskładnikowe tam, gdzie jeszcze go nie masz.
• Sprawdź w koncie ostatnie logowania i aktywność, żeby wychwycić coś podejrzanego.
• Przy wycieku dotyczącym płatności obserwuj konto bankowe i w razie potrzeby powiadom bank.

Menedżer haseł zamienia tę sytuację z koszmaru w rutynę. Skoro każde konto ma osobne hasło, wyciek z jednego serwisu zostaje ograniczony do tego jednego serwisu — reszta pozostaje bezpieczna, a ty zmieniasz jedno hasło zamiast czterdziestu.

Najczęściej zadawane pytania

Czy menedżer haseł jest bezpieczny, skoro trzyma wszystko w jednym miejscu?

Sejf jest zaszyfrowany, a w modelu zero-knowledge dostawca nie zna twojego hasła głównego. Bez niego skradziony plik jest bezużyteczny. Ryzyko koncentracji w jednym miejscu równoważy fakt, że alternatywa — powtarzane albo słabe hasła — jest znacznie groźniejsza w codziennej praktyce.

Co się stanie, jeśli zapomnę hasła głównego?

W większości menedżerów działających w modelu zero-knowledge dostawca nie odzyska go za ciebie, bo sam go nie zna. Dlatego zapisz hasło główne w bezpiecznym miejscu offline i wygeneruj kod awaryjny, jeśli program go oferuje. To zabezpieczenie warto przygotować od razu po założeniu sejfu.

Czy menedżer w przeglądarce wystarczy?

Dla kogoś, kto dziś powtarza hasła, wbudowany menedżer przeglądarki to duża poprawa. Osobna aplikacja daje więcej: działa między systemami, ma mocniejsze generatory, alerty o wyciekach i dodatkowe funkcje. Wybór zależy od tego, ile masz kont i jak wrażliwe dane chronisz.

Czy powinienem włączyć uwierzytelnianie dwuskładnikowe do menedżera?

Tak — to jedno z pierwszych ustawień, jakie warto uruchomić. Dwuskładnik na menedżerze sprawia, że nawet zdobycie hasła głównego nie wystarczy napastnikowi do otwarcia sejfu. Wybierz kody z aplikacji uwierzytelniającej lub klucz sprzętowy zamiast kodów SMS.

Jak często zmieniać hasła, jeśli używam menedżera?

Przymusowa zmiana co miesiąc nie jest już zalecana i często prowadzi do słabszych haseł. Zmieniaj hasło, gdy serwis zgłosi wyciek, gdy menedżer ostrzeże o kompromitacji albo gdy podejrzewasz włamanie. Poza tym mocne, unikalne hasło może służyć długo.