Jeśli kiedykolwiek kliknąłeś «Zapisz hasło» w tym okienku na dole ekranu, to już używasz menedżera haseł. Nikt ci tego nie powiedział, żadnego nie wybierałeś, a i tak go masz. Prawdopodobnie ze stoma wpisami w środku.
To tłumaczy, dlaczego najczęściej powtarzane pytanie o hasła nie brzmi „jak zrobić dobre“, tylko „gdzie są moje“. Ludzie nie szukają podręcznika bezpieczeństwa: szukają listy, o której wiedzą, że istnieje, i której nie mogą znaleźć.
Lista istnieje. Ale miejsce, w którym jest przechowywana, ma dużo mniejsze znaczenie niż odpowiedź na kolejne pytanie, którego prawie nikt nie zadaje: czego trzeba, żeby ją otworzyć?
Gdzie są, zależnie od tego, czego używasz
W Chrome są w menedżerze haseł Google. Żyją w dwóch miejscach naraz: kopia na
komputerze i druga na twoim koncie Google, zsynchronizowane. Widać je pod adresem
passwords.google.com albo w ustawieniach samej przeglądarki.
Na Safari, iPhonie i Macu są w pęku kluczy iCloud, który od niedawna ma też własną aplikację: Hasła. Ta sama idea: na urządzeniu i na twoim koncie Apple.
W Firefoksie są w dwóch plikach w twoim profilu, a nazwy warto znać:
logins.json, gdzie leżą zaszyfrowane nazwy użytkownika i hasła, oraz key4.db,
gdzie leży klucz, który je odszyfrowuje. Mozilla dokumentuje to dokładnie tak, z
tymi nazwami.
W Edge są na twoim koncie Microsoft, w tym samym schemacie co Chrome. A na Androidzie to ten sam menedżer Google, którego używa Chrome, nawet jeśli otwierasz go z ustawień telefonu.
Tyle odpowiedzi, po którą przyszedłeś. Teraz część, która coś zmienia.
Trzy modele i dlaczego nie są równoważne
Wszystkie mówią „twoje hasła są zaszyfrowane“. To prawda we wszystkich trzech przypadkach i w żadnym nie znaczy tego samego, bo różni się to, kto ma klucz.
Pęk kluczy Apple jest szyfrowany end-to-end. Kluczy, które go otwierają, Apple nie zna; istnieją wyłącznie na twoich zaufanych urządzeniach. Apple publikuje to w swojej dokumentacji bezpieczeństwa i dodaje miły szczegół: system ogranicza liczbę prób, właśnie po to, żeby nawet z wnętrza własnej infrastruktury nikt nie mógł zgadywać na siłę. Nie ma czego włączać. Już tak jest.
W Google ten tryb istnieje, ale jest opcjonalny. Domyślnie twoje hasła podróżują zaszyfrowane i są przechowywane zaszyfrowane, ale kluczami zarządza Google. Możesz to zmienić: hasło synchronizacji —albo szyfrowanie na urządzeniu, zależnie od tego, którędy wchodzisz— zostawia klucze wyłącznie w twoich rękach. Praktyczna różnica jest ogromna, a większość ludzi nigdy tego nie włączyła, bo nikt im nie powiedział, że to istnieje. Ma to swoją cenę i trzeba ją podać w całości: jeśli zapomnisz tego hasła, nikt nie odzyska twoich zapisanych haseł. Dokładnie to znaczy „tylko ty“.
W Firefoksie, bez hasła głównego, szyfrowanie nie chroni cię przed tym, kto ma
twoje pliki. To najbardziej niewygodna część tego artykułu i mówi to Mozilla, nie
my: bez ustawionego hasła głównego każdy, kto skopiuje logins.json i key4.db z
twojego profilu, może odczytać twoje dane logowania. Oba pliki podróżują razem:
jeden niesie kłódkę, drugi klucz. Ustawienie hasła głównego jest tym, co szyfruje
ten klucz i rozrywa parę.
Prawdziwy scenariusz to nie film
Kiedy ktoś wyobraża sobie kradzież swoich haseł, wyobraża sobie atak na serwery. W praktyce dwa przypadki, które się zdarzają, są znacznie bardziej domowe.
Pierwszy: ktoś z dostępem do twojego odblokowanego komputera. Nie trzeba nic umieć. Lista jest dwa kliknięcia dalej w ustawieniach przeglądarki, a nawet jeśli poprosi o hasło systemowe, żeby pokazać je jawnie, to hasło zna ten, kto z tobą mieszka albo widział, jak je wpisujesz.
Drugi: program, który kopiuje profil twojej przeglądarki. Niczego nie łamie. Zabiera pliki i otwiera je gdzie indziej, na spokojnie. To rodzaj oprogramowania na tyle powszechny, że ma w branży własną nazwę, infostealer, i jest dokładnie powodem, dla którego zdanie „ale przecież są zaszyfrowane“ zawsze wymaga następnego pytania: zaszyfrowane, dobrze — a klucz gdzie jest?
Wobec tego drugiego scenariusza model Apple się broni, model Google broni się, jeśli włączyłeś hasło synchronizacji, a Firefox bez hasła głównego nie broni się wcale.
Co zrobić, w kolejności od największej zmiany
Raz. Jeśli używasz Firefoksa, ustaw hasło główne. To pole w ustawieniach prywatności i zdecydowanie zmiana z tej listy, która chroni najbardziej przy najmniejszym wysiłku.
Dwa. Jeśli używasz Chrome albo Androida, wejdź w menedżera Google i włącz szyfrowanie na urządzeniu albo hasło synchronizacji. Zapisz je w czymś fizycznym, zanim włączysz, i zrozum, co podpisujesz: od tej chwili ta fraza jest jedynymi drzwiami.
Trzy. Spójrz na hasło do konta, które przechowuje całą resztę. Twoje konto Google, twój Apple ID albo twoje konto Microsoft przestały być „jeszcze jednym kontem“ w momencie, gdy zacząłeś zapisywać w nich hasła: teraz są kluczem do reszty. Jeśli to hasło wymyśliłeś sam osiem lat temu, przepuść je przez sprawdzanie i zobacz, co powie. A jeśli najdzie cię ochota, zamień je na jedno z generatora.
Cztery. Włącz drugi składnik na tym koncie. To krok, który zamienia „znają twoje hasło“ w „i tak nie wejdą“.
Czy to wystarczy, czy potrzebuję prawdziwego menedżera?
Zależy do czego, a tutaj uczciwa odpowiedź nie jest tą, która sprzedaje.
Dla większości ludzi menedżer przeglądarki z dobrze ustawionym szyfrowaniem wystarcza i jest nieskończenie lepszy od realnej alternatywy, którą nie jest lepszy menedżer: jest nią to samo hasło powtórzone na czterdziestu stronach.
Osobny menedżer wygrywa, gdy pojawiają się rzeczy, które ten z przeglądarki robi źle albo wcale: używanie dwóch różnych przeglądarek bez wariowania, dzielenie się hasłem z partnerką bez wysyłania go WhatsAppem, przechowywanie rzeczy, które nie są hasłami, wyjście z ekosystemu bez utraty wszystkiego, albo możliwość audytu kodu tego, kto przechowuje twoje sekrety. Piszemy o tym w innym artykule, a podsumowanie brzmi: wielki skok nie prowadzi od jednego menedżera do drugiego, tylko od żadnego do jakiegokolwiek.
Czego naprawdę szukałeś
Szukałeś listy. Jest pod passwords.google.com, w aplikacji Hasła na twoim
iPhonie albo w ustawieniach twojej przeglądarki, zależnie od tego, czego używasz.
Ale skoro już tam jesteś, zobacz jeszcze jedno: ile razy to samo hasło powtarza się na tej liście. Wszystkie trzy menedżery ci to powiedzą, jeśli zapytasz. Ta liczba tłumaczy twoją prawdziwą sytuację lepiej niż cokolwiek, co przeczytasz o szyfrowaniu, łącznie z tym artykułem.
Źródła: dokumentacja bezpieczeństwa Apple o pęku kluczy iCloud —szyfrowany
end-to-end kluczami, których Apple nie zna, z ograniczeniem liczby prób— · pomoc
Google Chrome o synchronizacji, haśle synchronizacji i szyfrowaniu na urządzeniu ·
dokumentacja Mozilli o tym, jak Firefox zapisuje hasła (logins.json i key4.db)
oraz o haśle głównym.
Zdjęcie: Ron Lach · Pexels