W wielu małych firmach hasła wyglądają podobnie: jedno „dobre” hasło do poczty, banku i programu do faktur, kilka kont zapisanych na karteczce przy monitorze i plik hasla.xlsx na pulpicie. Działa, dopóki nic się nie stanie. Problem w tym, że kiedy coś się stanie, dzieje się to po cichu.
Dlaczego jedno hasło do wszystkiego jest groźne
Serwisy internetowe co jakiś czas tracą bazy danych z loginami i hasłami. Takie bazy trafiają do sieci, a przestępcy automatycznie sprawdzają te same pary e-mail i hasło w setkach innych serwisów: w poczcie, bankach, sklepach i programach księgowych. Ten atak nazywa się credential stuffing i nie wymaga żadnej wiedzy technicznej. Wystarczy, że gdziekolwiek użyłeś tego samego hasła.
Czy Twój adres był w znanym wycieku, sprawdzisz w serwisie Have I Been Pwned. U większości osób, które korzystają z internetu od kilku lat, wynik nie jest pusty.
Co robi menedżer haseł
Menedżer haseł to zaszyfrowany sejf na wszystkie hasła. Pamiętasz jedno długie hasło główne, a resztą zajmuje się program:
- generuje długie, losowe i inne hasło do każdego konta,
- wpisuje je automatycznie na komputerze i w telefonie,
- nie wpisze hasła na fałszywej stronie, bo sprawdza adres. To jedna z najlepszych ochron przed phishingiem,
- pokazuje konta z hasłami słabymi, powtórzonymi albo widocznymi w wyciekach.
Co zyskuje firma, a nie tylko jedna osoba
Największa różnica pojawia się, gdy w firmie pracuje więcej niż jedna osoba:
- Wspólne hasła bez wysyłania ich mailem ani SMS-em. Konto do hurtowni, panel sklepu czy Wi-Fi udostępniasz w folderze zespołu.
- Odejście pracownika przestaje być problemem. Odbierasz dostęp do folderu, a hasła, które znał, zmieniasz w kilka minut, bo wiesz dokładnie, które to były.
- Hasła nie giną razem z osobą. Firma ma dostęp do swoich kont nawet wtedy, gdy ktoś jest na urlopie albo zmienił pracę.
Który menedżer wybrać
Wybieraj rozwiązania sprawdzone i regularnie audytowane przez niezależne firmy:
- Bitwarden. Kod jest otwarty, plan dla jednej osoby jest darmowy, a plan dla zespołów kosztuje kilka dolarów miesięcznie na osobę. Dobry wybór na start.
- 1Password. Bardzo wygodny, szczególnie na komputerach Mac i iPhone'ach. Tylko w wersji płatnej.
- KeePassXC. Działa bez chmury, a plik z hasłami trzymasz u siebie. Dobry dla jednej osoby, mniej wygodny w zespole.
Menedżer wbudowany w przeglądarkę jest lepszy niż nic, ale nie daje folderów zespołu, kontroli dostępu ani wygodnego przejęcia kont po pracowniku.
„A co, jeśli menedżer zostanie zhakowany?”
Dobre menedżery szyfrują sejf na Twoim urządzeniu, a dostawca nie zna hasła głównego. W 2022 roku przestępcy wykradli zaszyfrowane sejfy klientów LastPass. Najbezpieczniejsi okazali się ci, którzy mieli długie, unikalne hasło główne. Dlatego:
- Hasło główne niech będzie zdaniem z kilku słów, np. cztery–pięć przypadkowych wyrazów. Takie hasło łatwo zapamiętać i bardzo trudno złamać.
- Na koncie menedżera włącz logowanie dwuetapowe (więcej w artykule o 2FA).
- Wydrukuj zestaw awaryjny (kody odzyskiwania) i schowaj go w bezpiecznym miejscu w firmie.
Wdrożenie w jedno popołudnie
- Załóż konto organizacji i zaproś pracowników.
- Zaimportuj hasła z przeglądarek. Menedżery robią to automatycznie.
- Zacznij od najważniejszych kont: poczty, banku, domeny, programu księgowego i profilu firmy w Mapach Google. Zmień w nich hasła na wygenerowane.
- Utwórz foldery zespołu, np. „Biuro”, „Sklep”, „Dostawcy”.
- Usuń hasła z przeglądarek i zniszcz karteczki.
Pozostałe konta zmieniaj stopniowo, przy najbliższym logowaniu. Po miesiącu zwykle okazuje się, że nikt nie chce wracać do starego sposobu.