Μεταφορά κωδικών πρόσβασης σε διαχειριστή κωδικών

Ενότητα 7: Συνεργασία, εφαρμογές και ασφάλεια · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να μεταφέρετε με ασφάλεια τους κωδικούς πρόσβασης από τον browser σας, από χαρτάκια και spreadsheets σε έναν διαχειριστή κωδικών πρόσβασης που ταιριάζει στη νέα σας οργάνωση, συμπεριλαμβανομένων κοινόχρηστων θησαυροφυλακίων για την ομάδα.

Βασικές έννοιες: διαχειριστής κωδικών πρόσβασης, θησαυροφυλάκιο, κύριος κωδικός πρόσβασης, κλειδί ανάκτησης, κωδικοί πρόσβασης στον browser (Google, Edge, Apple), εξαγωγή ως csv, κοινόχρηστο θησαυροφυλάκιο ή συλλογή, αυτοφιλοξενία, ανοικτού κώδικα, κρυπτογράφηση στη δική σας συσκευή (zero-knowledge), αποθήκευση passkeys

Το ξεχασμένο κομμάτι

Σχεδόν σε κάθε απογραφή λείπουν οι κωδικοί πρόσβασης. Δεν βρίσκονται σε μια υπηρεσία cloud που ακυρώνετε, οπότε κανείς δεν τους σκέφτεται. Κι όμως βρίσκονται συχνά στο επίκεντρο. Στη Bakkerij De Korrel, μετά από έναν γύρο ελέγχου, αποδεικνύεται ότι:

• οι περισσότεροι κωδικοί πρόσβασης βρίσκονται στο Chrome, αποθηκευμένοι στον λογαριασμό Google του ατόμου·
• οι κωδικοί πρόσβασης της τράπεζας, του χονδρεμπόρου και του ηλεκτρονικού καταστήματος βρίσκονται σε ένα spreadsheet wachtwoorden.xlsx στο Google Drive·
• ο κωδικός πρόσβασης wifi και ο κωδικός του συναγερμού είναι γραμμένα σε ένα χαρτάκι·
• δύο συνάδελφοι χρησιμοποιούν παντού τον ίδιο κωδικό πρόσβασης.

Αν εξαφανιστεί ο λογαριασμός Google, εξαφανίζονται μαζί του και οι κωδικοί πρόσβασης στο Chrome. Και ένα spreadsheet με κωδικούς πρόσβασης στο cloud είναι ένα από τα πρώτα πράγματα που αναζητά ένας εισβολέας. Μια μετάβαση είναι λοιπόν η κατάλληλη στιγμή για να λυθεί αυτό το ζήτημα.

Τι κάνει ένας διαχειριστής κωδικών πρόσβασης

Ένας διαχειριστής κωδικών πρόσβασης είναι ένα κρυπτογραφημένο θησαυροφυλάκιο για κωδικούς πρόσβασης, με εφαρμογή στο τηλέφωνο και στον υπολογιστή και μια επέκταση στον browser. Θυμάστε μόνο έναν δυνατό κύριο κωδικό πρόσβασης· ο διαχειριστής δημιουργεί για κάθε ιστότοπο έναν μακρύ, μοναδικό κωδικό πρόσβασης και τον συμπληρώνει αυτόματα.

Σημαντικό είναι το πού γίνεται η κρυπτογράφηση. Στους γνωστούς διαχειριστές, το θησαυροφυλάκιο κρυπτογραφείται στη δική σας συσκευή με ένα κλειδί που προκύπτει από τον κύριο κωδικό πρόσβασής σας. Ο πάροχος αποθηκεύει μόνο το κρυπτογραφημένο θησαυροφυλάκιο και δεν μπορεί να διαβάσει τους κωδικούς πρόσβασής σας. Αυτό ονομάζεται συχνά «zero-knowledge». Το αποτέλεσμα: αν ξεχάσετε τον κύριο κωδικό πρόσβασής σας και δεν έχετε κλειδί ανάκτησης, τότε ούτε ο πάροχος μπορεί να σας βοηθήσει.

Ένας καλός διαχειριστής συμπληρώνει επίσης μόνο στην πραγματική διεύθυνση. Ένας ψεύτικος ιστότοπος της τράπεζάς σας δεν λαμβάνει επομένως τίποτα, ακόμη κι αν μοιάζει ακριβώς ίδιος. Αυτό αποτελεί μια επιπλέον προστασία κατά του phishing.

Ποια είδη υπάρχουν;

Αυτή δεν είναι κατάταξη. Για μια ατομική επιχείρηση, το KeePassXC με το αρχείο θησαυροφυλακίου στο δικό σας cloud μπορεί να είναι απόλυτα επαρκές. Για μια ομάδα δώδεκα ατόμων, ένας διαχειριστής με κοινόχρηστα θησαυροφυλάκια είναι πιο πρακτικός. Χρησιμοποιήστε και εδώ τις πέντε ερωτήσεις από το μάθημα 2.1 (έδρα, ιδιοκτήτης, κέντρο δεδομένων, υποεκτελούντες την επεξεργασία, κλειδί). Σε έναν διαχειριστή κωδικών πρόσβασης, η τελευταία ερώτηση ζυγίζει περισσότερο: ποιος έχει το κλειδί; Αν αυτό είστε μόνο εσείς, τότε έχει λιγότερη σημασία πού βρίσκεται το κρυπτογραφημένο θησαυροφυλάκιο σε σχέση με συνηθισμένα αρχεία.

Μεταφορά: εξαγωγή, εισαγωγή και άμεση διαγραφή

Σχεδόν κάθε browser και διαχειριστής μπορεί να εξάγει κωδικούς πρόσβασης ως αρχείο csv. Πρόκειται για ένα απλό αρχείο κειμένου με σε κάθε γραμμή έναν ιστότοπο, ένα όνομα χρήστη και έναν κωδικό πρόσβασης, χωρίς κρυπτογράφηση. Οποιοσδήποτε ανοίξει το αρχείο μπορεί να διαβάσει τα πάντα. Γι' αυτό:

1. Κάντε το σε έναν υπολογιστή που εμπιστεύεστε, όχι σε έναν κοινόχρηστο υπολογιστή του καταστήματος.
2. Εξάγετε στον δικό σας υπολογιστή, όχι σε έναν συγχρονισμένο φάκελο ή στο cloud. Διαφορετικά, το μη κρυπτογραφημένο αρχείο θα βρίσκεται μέσα σε λίγα δευτερόλεπτα στον server, στις εκδόσεις και στον κάδο ανακύκλωσης.
3. Εισαγάγετέ το αμέσως στον νέο διαχειριστή.
4. Ελέγξτε δειγματοληπτικά αν είναι σωστό (συνδεθείτε σε μερικούς ιστότοπους).
5. Διαγράψτε αμέσως το αρχείο csv, και αδειάστε επίσης τον κάδο ανακύκλωσης του υπολογιστή.
6. Στη συνέχεια απενεργοποιήστε την αποθήκευση κωδικών πρόσβασης στον browser, ώστε να μην δημιουργηθεί ένα δεύτερο, ξεπερασμένο αντίγραφο.

Το spreadsheet με τους κωδικούς πρόσβασης το μεταφέρετε εισάγοντας τα δεδομένα με το χέρι στον διαχειριστή (ή εισάγοντάς τα ως csv, με τους ίδιους κανόνες). Διαγράψτε στη συνέχεια το spreadsheet, επίσης από τον κάδο ανακύκλωσης και το ιστορικό εκδόσεων του παλιού cloud. Αλλάξτε τους σημαντικότερους κωδικούς πρόσβασης που περιείχε, γιατί δεν γνωρίζετε ποιος μπορεί να έχει δει το αρχείο με τα χρόνια.

Προσέξτε επίσης τα passkeys (μάθημα 7.3). Ένα passkey που είναι αποθηκευμένο στον λογαριασμό Google ή Apple σας δεν μπορεί πάντα να εξαχθεί. Δημιουργήστε για τους σημαντικούς ιστότοπους ένα νέο passkey στον νέο σας διαχειριστή ή φροντίστε να γνωρίζετε τον κωδικό πρόσβασης και το δεύτερο βήμα, πριν καταργήσετε τον παλιό λογαριασμό.

Κοινή χρήση σε μια ομάδα

Ορισμένοι κωδικοί πρόσβασης ανήκουν στον οργανισμό, όχι σε ένα άτομο: η τράπεζα, ο χονδρέμπορος, οι λογαριασμοί κοινωνικών δικτύων, το wifi. Χρησιμοποιήστε για αυτούς ένα κοινόχρηστο θησαυροφυλάκιο ή συλλογή στον διαχειριστή:

• Δημιουργήστε ένα θησαυροφυλάκιο ανά ομάδα: «Κατάστημα», «Διοίκηση», «Διαχείριση». Δεν χρειάζεται όλοι να βλέπουν τα πάντα.
• Μην μοιράζεστε ποτέ έναν κωδικό πρόσβασης μέσω chat ή email. Ούτε «γρήγορα».
• Αν κάποιος αποχωρήσει, αφαιρέστε τον από τα κοινόχρηστα θησαυροφυλάκια και αλλάξτε τους κωδικούς πρόσβασης στους οποίους είχε πρόσβαση και που μπορεί να έχει θυμηθεί ή αντιγράψει.

Ο κύριος κωδικός πρόσβασης και η μέρα που κάτι πάει στραβά

Ο κύριος κωδικός πρόσβασης είναι το μοναδικό κλειδί. Επιλέξτε μια μακριά φράση με τέσσερις έως έξι τυχαίες λέξεις, που δεν χρησιμοποιείτε πουθενά αλλού. Ενεργοποιήστε και στον ίδιο τον διαχειριστή έλεγχο ταυτότητας δύο παραγόντων (2FA).

Κανονίστε εκ των προτέρων την ανάκτηση:

• Φυλάξτε το κλειδί ανάκτησης ή την πρόσβαση έκτακτης ανάγκης που προσφέρει ο διαχειριστής σας σε χαρτί, σε ασφαλές μέρος.
• Συμφωνήστε για τον οργανισμό ποιος λαμβάνει πρόσβαση σε περίπτωση θανάτου ή μακροχρόνιας ασθένειας του ιδιοκτήτη. Πολλοί διαχειριστές διαθέτουν λειτουργία πρόσβασης έκτακτης ανάγκης γι' αυτό.
• Οι κωδικοί αντιγράφων ασφαλείας των σημαντικότερων λογαριασμών σας ανήκουν επίσης εδώ, ή σε χαρτί (μάθημα 7.3). Όχι σε θησαυροφυλάκιο στο οποίο μπαίνετε μόνο με εκείνους τους λογαριασμούς.

Στην πράξη: έτσι φαίνεται σε έναν πάροχο

Σε ένα WebOké Nextcloud δεν υπάρχει ξεχωριστός διαχειριστής κωδικών πρόσβασης· χρησιμοποιείτε έναν διαχειριστή κωδικών πρόσβασης της επιλογής σας. Αν χρησιμοποιείτε το KeePassXC, μπορείτε να τοποθετήσετε το κρυπτογραφημένο αρχείο θησαυροφυλακίου στο Nextcloud σας, ώστε να βρίσκεται μέσω της εφαρμογής desktop σε όλους τους υπολογιστές σας και να μπορεί να ανακτηθεί μέσω εκδόσεων. Το αρχείο είναι τότε κρυπτογραφημένο με τον κύριο κωδικό πρόσβασής σας πριν φτάσει στον server. Ο οδηγός σχετικά με την ασφάλεια του WebOké Nextcloud προτείνει και ο ίδιος έναν διαχειριστή κωδικών πρόσβασης, και τον αναφέρει ως καλό μέρος για τους κωδικούς αντιγράφων ασφαλείας σας.

Σε άλλες ευρωπαϊκές υπηρεσίες cloud λειτουργεί παρόμοια: ο διαχειριστής κωδικών πρόσβασης είναι συνήθως μια ξεχωριστή υπηρεσία ή εφαρμογή δίπλα στο cloud σας.

Σύνοψη

• Οι κωδικοί πρόσβασης στον browser του παλιού σας λογαριασμού εξαφανίζονται μαζί του αν καταργήσετε εκείνον τον λογαριασμό. Μεταφέρετέ τους εκ των προτέρων.
• Ένας διαχειριστής κωδικών πρόσβασης κρυπτογραφεί στη δική σας συσκευή· ο κύριος κωδικός πρόσβασης είναι το μοναδικό κλειδί.
• Μια εξαγωγή csv είναι μη κρυπτογραφημένη: ποτέ σε συγχρονισμένο φάκελο, εισαγωγή αμέσως, διαγραφή αμέσως.
• Χρησιμοποιήστε κοινόχρηστα θησαυροφυλάκια ανά ομάδα για κωδικούς πρόσβασης του οργανισμού, και αλλάξτε τους όταν κάποιος αποχωρεί.
• Κανονίστε εκ των προτέρων την ανάκτηση και την πρόσβαση έκτακτης ανάγκης, σε χαρτί.

Κουίζ

Άσκηση

Άσκηση E7.4: Καταγραφή κωδικών πρόσβασης και σχέδιο μεταφοράς. Διερευνήστε πού βρίσκονται σήμερα οι κωδικοί πρόσβασης στον οργανισμό σας (browser ανά άτομο, spreadsheets, χαρτάκια, κοινόχρηστοι λογαριασμοί), επιλέξτε έναν διαχειριστή κωδικών πρόσβασης με τις πέντε ερωτήσεις από το μάθημα 2.1, και γράψτε το σχέδιο μεταφοράς: ποιος εξάγει τι, σε ποιον υπολογιστή, πότε διαγράφεται το αρχείο csv, και ποια κοινόχρηστα θησαυροφυλάκια θα δημιουργηθούν.

Για περαιτέρω μελέτη

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Οδηγός Nextcloud 3.1: Πώς προστατεύει το WebOké το Nextcloud σας;
• Οδηγός Nextcloud 3.3: Μια εφαρμογή πιστοποίησης ρυθμίζετε και εφεδρικούς κωδικούς αποθηκεύετε
• NCSC (το ολλανδικό Εθνικό Κέντρο Κυβερνοασφάλειας), Ξεκινώντας με την κυβερνοασφάλεια: https://www.ncsc.nl/beginnen-met-cybersecurity
• KeePassXC: https://keepassxc.org/