Zapomnij o hasłach

PC Format 3/2019

Konieczność podania hasła to nadal najpopularniejszy sposób autoryzacji dostępu do usług. Hasła uchodzą wprawdzie za mało bezpieczne, ale wcale nie musi tak być. Ba, korzystanie z takich, którym nie dadzą rady hakerzy, wcale nie musi być ani trudne, ani niewygodne. Aleksander Olszewski

Hasło to nie koniec

Oczywiście samo hasło, nawet najlepsze, nie wystarczy. Na szczęście coraz więcej serwisów pozwala skorzystać z weryfikacji dwustopniowej. Jeśli prócz niezmiennego hasła, które można poznać choćby zaglądając komuś przez ramię, trzeba podać jeszcze drugie, zmienne, stopień trudności znacząco się zwiększa, zwłaszcza jeśli drugi kod generowany jest na innym urządzeniu niż to, na którym przechowywane jest hasło. Ewentualnie może być ono wysyłane na e-mail – bo o tym, dlaczego SMS-y to zły pomysł, piszemy w ramce. Jeszcze większy poziom bezpieczeństwa zapewnią klucze fizyczne, ale to temat na osobny artykuł, który wkrótce opublikujemy.

Na kolejnych stronach znajdziesz przewodnik po aplikacjach do generowania kodów jednorazowych, przegląd wybranych menedżerów haseł oraz poradnik dotyczący konfiguracji najlepszego z nich.

SMS-y są niebezpieczne!

I nie chodzi wcale o to, że odczytać może je złośliwe oprogramowanie, które niepostrzeżenie zostanie zainstalowane na smartfonie, zwłaszcza takim z Androidem. Gorsze jest to, że obce osoby mogą bardzo łatwo przechwycić twój numer telefonu, a tym samym – wszystkie przychodzące na niego wiadomości tekstowe. Takie sytuacje miały już w Polsce miejsce i kończyły się na przykład wyczyszczeniem konta w banku. Jeśli tylko możesz, korzystaj więc albo z programu do generowania kodów, albo z kodów przychodzących na dedykowaną aplikację, albo z osobnego tokena. Ba, bezpieczniejsza niż SMS-y jest nawet lista haseł jednorazowych – oczywiście pod warunkiem, że trzymasz ją w bezpiecznym miejscu, czyli np. w menedżerze haseł.

Najpopularniejsze hasła w 2018 r.

Jeśli korzystasz z któregokolwiek z poniższych haseł, wiedz, że włamanie się do chronionego przezeń konta wymaga maksymalnie 25 prób:
123456
Password
123456789
12345678
12345
111111
1234567
sunshine
qwerty
iloveyou
princess
admin
welcome
666666
abc123
football
123123
monkey
654321
!@#$%^&*
charlie
aa123456
donald
password1
qwerty123

1. miejsce - Keepass 2

Jeden z najstarszych menedżerów haseł. Pierwsza wersja pojawiła się piętnaście lat temu i to niestety widać po uruchomieniu aplikacji. Tyle dobrego, że na myśl przywodzi Windowsa 2000, a nie XP, dzięki czemu ikony i kolory są wprawdzie staroświeckie, ale przynajmniej nic nie kłuje w oczy. Jeśli nie podoba ci się wygląd, możesz zainstalować inną niż oficjalna wersję, na przykład ze strony https://keepassxc.org. Prawdą jest, że to nie zewnętrze jest w tym wypadku najważniejsze, a wnętrze. Keepass 2 wypada pod tym względem bardzo dobrze, bo standardowo zapisuje plik z danymi jedynie lokalnie, co jest teoretycznie najbezpieczniejsze. Dane w nim są rzecz jasna zaszyfrowane, a utrata hasła sprawia, że nie uda się ich odzyskać. Jeśli jednak korzystasz z kilku urządzeń, nic nie stoi na przeszkodzie, by przechowywać bazę danych Keepassa w katalogu Dropboksa czy OneDrive’a. Dzięki temu plik bez problemu będzie się synchronizował pomiędzy kilkoma urządzeniami. I to nie tylko pomiędzy komputerami, ale też urządzeniami przenośnymi, np. smartfonami. Keepass 2 ma rzecz jasna wbudowany generator nowych haseł. I to bardzo rozbudowany, z możliwością dodania własnego zestawu znaków specjalnych. Ba, jest nawet możliwość unikania znaków wyglądających podobnie, jak O (litera) i 0 (cyfra) czy l (litera) i 1 (cyfra), choć twórcy zalecają, by z tej możliwości nie korzystać, bo zmniejsza to złożoność haseł. I jeszcze jedno: sam w sobie Keepass 2 nie integruje się z przeglądarkami, ale są do tego osobne rozszerzenia.

PLUSY:

otwarty, latami doskonalony kod
możliwość rozszerzenia możliwości
wersje na wszystkie najważniejsze systemy
w pełni funkcjonalna wersja darmowa
główna wersja zapisuje pliki wyłącznie lokalnie

MINUSY:

główna wersja zapisuje pliki lokalnie
dość staroświecki wygląd głównej wersji

2. miejsce - Bitwarden

To najmłodszy menedżer na liście, bo jego pierwsza wersja miała premierę pod koniec 2016 roku. Nie świadczy to jednak wcale na jego niekorzyść. Wręcz przeciwnie: nie tylko nowocześnie wygląda, ale przede wszystkim obsługuje nowoczesne technologie, jak choćby synchronizację danych poprzez chmurę czy autoryzację dwustopniową. Co nie mniej istotne, istnieją wersje Bitwardena na najpopularniejsze systemy operacyjne. Do tego rozwijany jest on w modelu otwartoźródłowym. I choć zwykły użytkownik nie będzie w stanie sam sprawdzić jakości zabezpieczeń, to warto pamiętać, że Bitwarden istnieje też w wersji dla dużych przedsiębiorstw, które już takie audyty są w stanie przeprowadzić. Na tle konkurencji Bitwarden wyróżnia się także ceną – do użytku prywatnego, a także rodzinnego (choć ograniczonego do dwóch osób) wystarczy bowiem w pełni funkcjonalna wersja darmowa. Nie trzeba więc dopłacać ani do synchronizacji, ani do wersji mobilnych, ani do rozszerzeń do przeglądarek. Okej, podobnie jest w przypadku Keepassa 2, ale Bitwarden jest wygodniejszy. Do tego wersja premium kosztuje zaledwie 10 dolarów rocznie, a dodaje przy tym szyfrowany schowek o pojemności 1 GB czy dwustopniową autoryzację przy wykorzystaniu kluczy sprzętowych (YubiKey, U2F, Duo). Oczywiście Bitwarden nie tylko przechowuje hasła i – po instalacji rozszerzenia – wypełnia odpowiednie pola w przeglądarce. Potrafi je także generować: funkcja ta nie jest wprawdzie aż tak rozbudowana jak w Keepass 2, za to dokładnie widać, które znaki mogą sprawiać problemy, bo cyfry są zaznaczone kolorem. Można też sprawdzić, czy hasła nie wyciekły.

PLUSY:

otwarty kod
wersje na najpopularniejsze systemy
w pełni funkcjonalna wersja darmowa, wersje rodzinne i firmowe, tania wersja premium (m.in. obsługa kluczy sprzętowych)
obsługuje logowanie dwustopniowe
do synchronizacji danych można użyć własnej chmury
bezpieczny schowek na pliki (1 GB) w wersji płatnej

MINUSY:

brak (prostej) funkcji przechowywania danych wyłącznie lokalnie

3. miejsce - LastPass

Kolejny z weteranów, którego początki sięgają 2008 roku. Podobnie jak w przypadku konkurencji, także i tu mamy do czynienia z usługą rozwijaną cały czas. Aplikacje dla wszystkich popularnych platform wyglądają więc nowocześnie, hasła są zaś automatycznie synchronizowane pomiędzy poszczególnymi urządzeniami. Co ważne, w przeciwieństwie do równie dobrze znanych konkurentów (poza Keepassem) LastPass nadal jest w wersji darmowej. I to z nielimitowaną liczbą haseł, pełną synchronizacją danych i funkcją uwierzytelniania dwustopniowego. Inną przydatną możliwością jest udostępnianie informacji innym osobom. W wersji darmowej wyłącznie jednej osobie, w płatnej – także wielu osobom jednocześnie. LastPass ma również wbudowany generator kodów czasowych (authenticator), co jest o tyle pożyteczne, że dzięki temu mamy do nich dostęp z więcej niż jednego urządzenia. Niemniej jednak warto sobie zdawać sprawę z tego, że przechowywanie wszystkich zabezpieczeń w jednym miejscu może być potencjalnie niebezpieczne. Co ciekawe, ze względu na popularność LastPass padał już ofiarą ataków. Przestępcom udało się nawet – w 2015 roku – wykraść bazy użytkowników! Tyle że kradzież na nic się nie zdała. Nie dość bowiem, że bazy są szyfrowane lokalnie hasłami wybieranymi przez użytkowników aplikacji, to jeszcze firma dodatkowo szyfrowała wszelkie dane przechowywane na swoich serwerach. Problemy wykrywano także w dodatkach do przeglądarek, ale były one błyskawicznie łatane.

PLUSY:

wersje na wszystkie liczące się systemy
obsługa logowania dwustopniowego
łatwe udostępnianie haseł innym
audyt jakości haseł
bezpieczny schowek na pliki (1 GB) w wersji płatnej

MINUSY:

niezbyt bogata wersja darmowa

4. miejsce - 1Password

Jedyny w zestawieniu płatny menedżer (pierwsze 30 dni za darmo). Istnieje niemal równie długo, co Keepass, bo od 2006 roku. Obecnie jednak – przy płaceniu z góry za rok – kosztuje 3 USD miesięcznie. W zamian otrzymujemy nie tylko synchronizację danych, ale również szyfrowaną skrytkę o pojemności 1 GB oraz możliwość korzystania z aplikacji na dowolnej liczbie urządzeń. Do tego dochodzi możliwość logowania dwustopniowego, zarówno przy wykorzystaniu kodów, jak i kluczy sprzętowych (YubiKey). Obecność ostatniej funkcji jest jednak w porównaniu z Bitwardenem nieco naciągana, bo nadal wykorzystywane są kody czasowe, tyle że generowane przez aplikację Yubi – ale lepsze to niż nic. Najciekawszą funkcją na tle konkurencji jest jednak w 1Password tryb podróżny. Dzięki niemu można wskazać, które hasła nie pojawią się nawet po odblokowaniu aplikacji. To o tyle istotne, że w niektórych krajach można być po prostu zmuszonym do odblokowania telefonu i aplikacji – na przykład w Wielkiej Brytanii samo niepodanie hasła podlega karze więzienia. Inne przydatne dodatki to współpraca z serwisem https://haveibeenpwned.com, automatycznie powiadamiającym użytkowników o pojawieniu się loginów i haseł w wyciekach danych. Początkującym przyda się również system oceniania haseł z funkcją łatwej podmiany na silniejsze. Podobnie jak pozostałe menedżery 1Password jest obecny na wszystkich najpopularniejszych systemach operacyjnych. Da się go zainstalować też w postaci rozszerzeń do najpopularniejszych przeglądarek, a nawet wersji działających wyłącznie w Chromie lub Firefoksie, bez potrzeby instalacji normalnej aplikacji desktopowej.

PLUSY: