Ενότητα 2 · 2.2
Επιλογή και χρήση διαχειριστών κωδικών πρόσβασης
Ενότητα 2: Κωδικοί πρόσβασης και σύνδεση · Χρόνος ανάγνωσης: 9 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να επιλέξετε και να ρυθμίσετε έναν διαχειριστή κωδικών πρόσβασης, να προστατεύσετε τον κύριο κωδικό πρόσβασης και να μοιράζεστε κωδικούς με ασφάλεια σε μια ομάδα.
Βασικές έννοιες: διαχειριστής κωδικών πρόσβασης, κύριος κωδικός πρόσβασης, θησαυροφυλάκιο, κρυπτογράφηση από άκρο σε άκρο, κοινόχρηστο θησαυροφυλάκιο, πρόσβαση έκτακτης ανάγκης, διαχειριστής κωδικών πρόσβασης στο πρόγραμμα περιήγησης
Τι κάνει ένας διαχειριστής κωδικών πρόσβασης
Στο μάθημα 2.1 είδατε ότι κάθε λογαριασμός χρειάζεται έναν δικό του, μεγάλο και τυχαίο κωδικό πρόσβασης. Κανείς δεν θυμάται ογδόντα τέτοιους κωδικούς. Ένας διαχειριστής κωδικών πρόσβασης είναι λογισμικό που το κάνει αυτό για εσάς. Αυτός:
- δημιουργεί για κάθε υπηρεσία έναν ισχυρό, τυχαίο κωδικό πρόσβασης·
- αποθηκεύει όλους τους κωδικούς κρυπτογραφημένους σε ένα θησαυροφυλάκιο·
- τους συμπληρώνει στη σωστή ιστοσελίδα, και μόνο εκεί·
- προειδοποιεί συχνά για αδύναμους, διπλούς ή διαρρεύσαντες κωδικούς πρόσβασης·
- μπορεί σε πολλά προϊόντα να αποθηκεύει και τους κωδικούς για τον έλεγχο ταυτότητας δύο παραγόντων (2FA) καθώς και passkeys (μαθήματα 2.3 και 2.4).
Εσείς θυμάστε πλέον μόνο έναν: τον κύριο κωδικό πρόσβασης με τον οποίο ανοίγετε το θησαυροφυλάκιο. Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC) συνιστά τη χρήση διαχειριστή κωδικών πρόσβασης ως σταθερή βάση, ακόμη και για μικρές οργανώσεις, με σαφείς συμφωνίες για το ποιον διαχειριστή χρησιμοποιείτε και για ποιους λογαριασμούς είναι υποχρεωτικός.
Είδη διαχειριστών κωδικών πρόσβασης
Δεν υπάρχει ένα καλύτερο είδος. Η ολλανδική NCSC διακρίνει τον διαχειριστή στο πρόγραμμα περιήγησης, τη ξεχωριστή εφαρμογή, και την online (cloud) έναντι της offline (τοπικής) λύσης. Στην πράξη συναντάτε τις εξής μορφές:
| Είδος | Παράδειγμα λειτουργίας | Πλεονεκτήματα | Μειονεκτήματα |
|---|---|---|---|
| Ενσωματωμένος στο πρόγραμμα περιήγησης ή στο λειτουργικό σύστημα | Το πρόγραμμα περιήγησης ή το τηλέφωνό σας προτείνει να αποθηκεύσει έναν κωδικό πρόσβασης και τον συμπληρώνει αργότερα | Ήδη διαθέσιμος, εύκολος, συγχρονίζεται εντός του ίδιου οικοσυστήματος | Συχνά χωρίς ξεχωριστό κύριο κωδικό πρόσβασης: όποιος μπει στον υπολογιστή σας, μπαίνει και στους κωδικούς σας· λιγότερο κατάλληλος ανάμεσα σε διαφορετικά συστήματα και για κοινή χρήση σε ομάδα |
| Ξεχωριστή εφαρμογή με συγχρονισμό στο cloud | Μια ξεχωριστή εφαρμογή και επέκταση προγράμματος περιήγησης σε όλες τις συσκευές σας, με το θησαυροφυλάκιο κρυπτογραφημένο στον πάροχο | Λειτουργεί σε όλα τα συστήματα, κοινόχρηστα θησαυροφυλάκια, διαχείριση για ομάδες, προειδοποιήσεις | Εμπιστεύεστε τον πάροχο· χρειάζεστε έναν ισχυρό κύριο κωδικό πρόσβασης |
| Τοπικός (offline) | Ένα κρυπτογραφημένο αρχείο θησαυροφυλακίου στον δικό σας υπολογιστή | Εσείς κρατάτε τα πάντα στα χέρια σας | Πρέπει εσείς οι ίδιοι να φροντίζετε για αντίγραφο ασφαλείας και συγχρονισμό· η κοινή χρήση είναι δυσκολότερη |
| Ανοιχτού κώδικα, ενδεχομένως με αυτοφιλοξενία | Ο κώδικας είναι δημόσια ελέγξιμος· κάποιους τους τρέχετε στον δικό σας server | Ελέγξιμος, χωρίς εξάρτηση από μία εταιρεία | Η αυτοφιλοξενία σημαίνει ότι εσείς οι ίδιοι φροντίζετε για ενημερώσεις, ασφάλεια και αντίγραφα ασφαλείας |
Γνωστά παραδείγματα ξεχωριστών διαχειριστών είναι τα Bitwarden, 1Password, KeePassXC και Proton Pass, εκτός από τους διαχειριστές που είναι ενσωματωμένοι σε προγράμματα περιήγησης και λειτουργικά συστήματα. Αυτό δεν αποτελεί σύσταση: επιλέξτε με βάση τις παρακάτω ερωτήσεις.
Ερωτήσεις για την επιλογή
- Λειτουργεί σε όλες τις συσκευές και τα προγράμματα περιήγησής σας, ακόμη και των συναδέλφων σας;
- Μπορείτε να μοιράζεστε θησαυροφυλάκια με δικαιώματα ανά φάκελο, και να αφαιρέσετε κάποιον ξανά από ένα θησαυροφυλάκιο;
- Είναι το θησαυροφυλάκιο κρυπτογραφημένο από άκρο σε άκρο, και τι παραμένει κρυπτογραφημένο και τι όχι (για παράδειγμα οι διευθύνσεις ιστοσελίδων);
- Μπορείτε να προστατεύσετε το θησαυροφυλάκιο με έλεγχο ταυτότητας δύο παραγόντων ή με passkey;
- Υπάρχει πρόσβαση έκτακτης ανάγκης ή ρύθμιση ανάκτησης, και πώς λειτουργεί ακριβώς;
- Μπορείτε να εξάγετε τα δεδομένα σας αν θέλετε να αλλάξετε πάροχο;
- Στις δωρεάν εκδόσεις: ποιο είναι το μοντέλο εσόδων;
Κρυπτογράφηση από άκρο σε άκρο: τι γίνεται αν ο πάροχος πέσει θύμα παραβίασης;
Σε έναν καλό διαχειριστή cloud, το θησαυροφυλάκιό σας κρυπτογραφείται στη δική σας συσκευή με ένα κλειδί που προκύπτει από τον κύριο κωδικό πρόσβασής σας. Ο πάροχος λαμβάνει μόνο το κρυπτογραφημένο πακέτο. Αυτό ονομάζεται κρυπτογράφηση από άκρο σε άκρο (ή καμιά φορά «zero knowledge»). Ο πάροχος δεν μπορεί να διαβάσει τους κωδικούς πρόσβασής σας, άρα δεν μπορεί να επαναφέρει ούτε τον κύριο κωδικό πρόσβασής σας.
Αν ο πάροχος πέσει θύμα παραβίασης, ένας επιτιθέμενος μπορεί να κλέψει τα κρυπτογραφημένα θησαυροφυλάκια. Μπορεί τότε να προσπαθήσει να τα παραβιάσει offline, όπως στο μάθημα 2.1. Ο κύριος κωδικός πρόσβασής σας είναι εκείνη τη στιγμή η μόνη σας προστασία. Γι' αυτό:
- Ο κύριος κωδικός πρόσβασης είναι μεγάλος και μοναδικός: μια φράση κωδικού πρόσβασης με τουλάχιστον πέντε, καλύτερα έξι τυχαίες λέξεις.
- Δεν τον χρησιμοποιείτε πουθενά αλλού.
- Μετά από μια παραβίαση στον πάροχο, αλλάζετε τον κύριο κωδικό πρόσβασής σας και τους κωδικούς των σημαντικότερων λογαριασμών σας. Το παλιό, κλεμμένο θησαυροφυλάκιο είναι άλλωστε κρυπτογραφημένο με τον παλιό κύριο κωδικό πρόσβασης.
Ο έλεγχος ταυτότητας δύο παραγόντων στο θησαυροφυλάκιο βοηθά ενάντια σε κάποιον που έχει τον κύριο κωδικό πρόσβασής σας και θέλει να συνδεθεί μέσω της ιστοσελίδας. Δεν βοηθά ενάντια στην παραβίαση ενός κλεμμένου αρχείου θησαυροφυλακίου. Το λέει και η ολλανδική NCSC: ο 2FA στον διαχειριστή δεν είναι λόγος για αδύναμο κύριο κωδικό πρόσβασης.
Προστασία του κύριου κωδικού πρόσβασης
Η απώλεια του κύριου κωδικού πρόσβασης είναι συχνά οριστική σε έναν καλό διαχειριστή: ο πάροχος δεν μπορεί να τον ανακτήσει. Φροντίστε λοιπόν γι' αυτό εκ των προτέρων:
- Γράψτε τον κύριο κωδικό πρόσβασης σε χαρτί και φυλάξτε το σε ασφαλές μέρος στο σπίτι. Η ολλανδική NCSC το θεωρεί απολύτως αποδεκτό, αρκεί να μην γράψετε δίπλα για τι χρησιμεύει.
- Δημιουργήστε το κιτ ανάκτησης ή τον κωδικό έκτακτης ανάγκης που προσφέρει ο διαχειριστής σας, εκτυπώστε τον και φυλάξτε τον μαζί με το χαρτί.
- Πληκτρολογείτε τον κύριο κωδικό πρόσβασης μόνο στην εφαρμογή ή στην επέκταση του ίδιου του διαχειριστή, ποτέ σε ιστοσελίδα που τον ζητά.
- Ενεργοποιήστε την αυτόματη κλείδωση μετά από λίγα λεπτά αδράνειας.
Γιατί η αυτόματη συμπλήρωση βοηθά ενάντια στο phishing
Ένας διαχειριστής κωδικών πρόσβασης συνδέει κάθε κωδικό με τη διεύθυνση της ιστοσελίδας. Στο https://mijnbank.example συμπληρώνει τον κωδικό σας. Σε μια παραπλανητική παραλλαγή όπως https://rnijnbank.example (rn αντί για m) ή https://mijnbank-veilig.example δεν κάνει τίποτα, γιατί αυτές οι διευθύνσεις δεν είναι καταχωρισμένες στο στοιχείο.
Ένας άνθρωπος συχνά δεν βλέπει τη διαφορά ανάμεσα σε rn και m. Ο διαχειριστής συγκρίνει χαρακτήρες και δεν κουράζεται ούτε βιάζεται. Αυτό είναι πραγματική προστασία, αλλά μόνο αν τον αφήνετε να κάνει τη δουλειά του:
Ο διαχειριστής σας δεν συμπληρώνει ξαφνικά τίποτα σε μια σελίδα όπου πάντα το έκανε; Μην το παρακάμπτετε αντιγράφοντας τον κωδικό πρόσβασης με το χέρι. Κοιτάξτε πρώτα πολύ προσεκτικά τη διεύθυνση. Αυτή είναι ακριβώς η στιγμή που ο διαχειριστής σάς προειδοποιεί.
Υπάρχει καμιά φορά και ένας καλός λόγος για τη μη συμπλήρωση: μια υπηρεσία που έχει μετακομίσει σε νέα διεύθυνση. Ελέγξτε το τότε μέσω άλλου τρόπου, για παράδειγμα πληκτρολογώντας εσείς οι ίδιοι τη διεύθυνση που ήδη γνωρίζατε.
Κοινή χρήση σε ομάδα
Σε μια μικρή επιχείρηση υπάρχουν πάντα λογαριασμοί που χρησιμοποιείτε από κοινού: το ηλεκτρονικό κατάστημα στο webwinkelplatform.example, ο λογαριασμός στο koeriersdienst.example, τα social media της επιχείρησης. Το καλύτερο είναι να έχει ο καθένας τον δικό του λογαριασμό (ενότητα 7). Αν αυτό δεν είναι εφικτό, χρησιμοποιήστε ένα κοινόχρηστο θησαυροφυλάκιο:
- Δημιουργήστε θησαυροφυλάκια ή φακέλους ανά θέμα («Ηλεκτρονικό κατάστημα», «Οικονομικά», «Social media») και δώστε πρόσβαση μόνο σε όσους τη χρειάζονται.
- Μην μοιράζεστε ποτέ μέσω email, chat ή υπολογιστικού φύλλου. Όποιος έχει πρόσβαση στο κοινόχρηστο θησαυροφυλάκιο, βλέπει τον κωδικό πρόσβασης εκεί.
- Αποχωρεί κάποιος; Αφαιρέστε τον από το θησαυροφυλάκιο και αλλάξτε τους κωδικούς πρόσβασης που μπορούσε να δει. Η αφαίρεση από το θησαυροφυλάκιο μόνο δεν αρκεί: μπορεί να τους έχει αντιγράψει ή αποθηκεύσει.
- Ρυθμίστε πρόσβαση έκτακτης ανάγκης: τι συμβαίνει αν εσείς, ο ιδιοκτήτης, αρρωστήσετε ή απουσιάσετε; Πολλοί διαχειριστές διαθέτουν λειτουργία με την οποία ένα έμπιστο πρόσωπο αποκτά πρόσβαση μετά από μια περίοδο αναμονής. Ή φυλάσσετε τα στοιχεία ανάκτησης σε σφραγισμένο φάκελο σε ένα δεύτερο πρόσωπο.
Στην πράξη: αλλαγή σε ένα απόγευμα
- Επιλέξτε έναν διαχειριστή και εγκαταστήστε τον σε υπολογιστή και τηλέφωνο, μαζί με την επέκταση προγράμματος περιήγησης.
- Δημιουργήστε έναν κύριο κωδικό πρόσβασης (φράση κωδικού πρόσβασης), γράψτε τον, φυλάξτε το κιτ ανάκτησης.
- Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων στο θησαυροφυλάκιο.
- Εισαγάγετε τους κωδικούς πρόσβασης που είχε ήδη αποθηκεύσει το πρόγραμμα περιήγησής σας. Μια εξαγωγή είναι συχνά ένα μη κρυπτογραφημένο αρχείο: διαγράψτε το αμέσως μετά την εισαγωγή, ακόμη και από τον κάδο ανακύκλωσης.
- Ξεκινήστε με τους σημαντικότερους λογαριασμούς και δώστε στον καθένα έναν νέο, τυχαίο κωδικό πρόσβασης: το γραμματοκιβώτιό σας (
info@example.com), το hosting και την καταχώριση domain σας, την τράπεζά σας και τη λογιστική σας (για παράδειγμα στοboekhoudpakket.example). - Ενημερώστε τα υπόλοιπα όταν τύχει να συνδεθείτε ούτως ή άλλως. Οι προειδοποιήσεις για διπλούς κωδικούς πρόσβασης σάς βοηθούν.
Χρησιμοποιείτε μια υπηρεσία στο περιβάλλον του WebOké, όπως ένα γραμματοκιβώτιο ή το Nextcloud, με εφαρμογές στο τηλέφωνό σας; Γι' αυτό δημιουργείτε καμιά φορά έναν ξεχωριστό κωδικό πρόσβασης εφαρμογής (δείτε Βάση Γνώσεων 436). Και αυτόν τον φυλάσσετε στον διαχειριστή, στο κατάλληλο στοιχείο. Σε άλλους παρόχους η λειτουργία είναι παρόμοια.
Σύνοψη
- Ένας διαχειριστής κωδικών πρόσβασης δημιουργεί, αποθηκεύει και συμπληρώνει μοναδικούς κωδικούς πρόσβασης· εσείς θυμάστε μόνο τον κύριο κωδικό πρόσβασης.
- Είδη: ενσωματωμένος στο πρόγραμμα περιήγησης ή στο σύστημα, ξεχωριστή εφαρμογή με cloud, τοπικός, ανοιχτού κώδικα ή αυτοφιλοξενούμενος. Επιλέξτε με βάση τις συσκευές, την κοινή χρήση, την κρυπτογράφηση και την ανάκτηση.
- Με την κρυπτογράφηση από άκρο σε άκρο, ο κύριος κωδικός πρόσβασής σας είναι η τελευταία γραμμή άμυνας αν ο πάροχος πέσει θύμα παραβίασης.
- Αν ο διαχειριστής δεν συμπληρώνει κάτι, κοιτάξτε τη διεύθυνση αντί να αντιγράψετε τον κωδικό.
- Μοιραστείτε μέσω κοινόχρηστου θησαυροφυλακίου και αλλάξτε τους κωδικούς πρόσβασης όταν κάποιος αποχωρεί.
Κουίζ
Άσκηση
Άσκηση D2.2: Ρύθμιση του διαχειριστή κωδικών πρόσβασης. Επιλέξτε έναν διαχειριστή κωδικών πρόσβασης, δημιουργήστε έναν κύριο κωδικό πρόσβασης και ένα κιτ ανάκτησης, ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων στο θησαυροφυλάκιο και δώστε στους πέντε σημαντικότερους λογαριασμούς σας έναν νέο, μοναδικό κωδικό πρόσβασης. Σημειώστε τη λίστα ελέγχου και απαντήστε στις ερωτήσεις αναστοχασμού. Δεν συμπληρώνετε πουθενά κάποιον κωδικό πρόσβασης.
Άσκηση D2.2: Ρύθμιση του διαχειριστή κωδικών πρόσβασης
Έτσι το αντιμετωπίζετε: (1) Επιλέξτε έναν τύπο διαχειριστή κωδικών πρόσβασης (ενσωματωμένος, ξεχωριστή εφαρμογή με cloud, τοπικός, ανοιχτού κώδικα ή με δική σας φιλοξενία) με βάση τις ερωτήσεις του μαθήματος 2.2. (2) Εγκαταστήστε τον στον υπολογιστή και στο τηλέφωνό σας, μαζί με την επέκταση περιηγητή. (3) Δημιουργήστε έναν κύριο κωδικό πρόσβασης: μια φράση κωδικού πρόσβασης με τουλάχιστον πέντε, κατά προτίμηση έξι τυχαίες λέξεις. Σημειώστε τον σε χαρτί και φυλάξτε τον σε ασφαλές σημείο στο σπίτι, μαζί με το κιτ ανάκτησης ή τον κωδικό έκτακτης ανάγκης του διαχειριστή. (4) Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA) στο θησαυροφυλάκιο. (5) Εισαγάγετε τους υπάρχοντες κωδικούς πρόσβασης από τον περιηγητή σας και διαγράψτε αμέσως το αρχείο εξαγωγής, ακόμη και από τον κάδο ανακύκλωσης. (6) Δώστε στους πέντε σημαντικότερους λογαριασμούς σας έναν νέο, τυχαίο κωδικό πρόσβασης με τουλάχιστον 15 χαρακτήρες: γραμματοκιβώτιο, φιλοξενία (hosting) ή καταχώριση domain, τράπεζα, λογιστήριο και τον λογαριασμό από τον οποίο εξαρτώνται όλοι οι υπόλοιποι. (7) Αν συνεργάζεστε με άλλους: δημιουργήστε ένα κοινόχρηστο θησαυροφυλάκιο για κοινούς λογαριασμούς και συμπεριλάβετε μόνο τα άτομα που τους χρειάζονται.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η λειτουργία είναι παρόμοια.
- Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
- Δημιουργία κωδικού εφαρμογής (απαραίτητος για σύνδεση με εφαρμογές και συσκευές)
- Οδηγός Nextcloud 3.5: Συνθηματικά εφαρμογών: πότε και πώς
- Ολλανδική NCSC, Πώς επιλέγω διαχειριστή κωδικών πρόσβασης;: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
- Ολλανδική NCSC, Τέσσερα βήματα για ασφαλέστερους κωδικούς πρόσβασης: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken