Co by měl umět moderní správce hesel?

Albert Ryba | 14.10.2014 | Bezpečnost, Cloud, Internet a služby | Žádné komentáře

Řada expertů upozorňuje na to, že hesla již nejsou dostatečnou ochranou on-line účtů před hackery. Nicméně je to stále nejrozšířenější metoda zabezpečení a například výrazně bezpečnější biometrické ověřování zůstává i nadále řešení pro specifické účely.

Většina uživatelů proto stále spoléhá na hesla a s tím, jak přibývá systémů do kterých se musí přihlašovat, roste i popularita nejrůznějších softwarových správců hesel (password manager). Právě ty se za poslední roky vyvinuly od jednoduchých jednoúčelových aplikací v komplexní a propracované služby, které jsou nabízeny často v rámci cloudu. Dnešní moderní správci hesel proto obvykle neslouží jen k ukládání hesel, ale jsou spojeny s jejich celým životním cyklem – od vytváření hesla až po synchronizaci napříč různými zařízeními a automatické vyplňování přihlašovacích formulářů.

Možnosti dnešních správců hesel

Většina výrobců správců hesel dodává doplňky pro nejrůznější prohlížeče, samostatné aplikace pro desktopové a mobilní platformy a také nabízí přístup k uživatelským heslům on-line. Nicméně i v tomto případě je přístup obvykle chráněn prostřednictvím nějakého hesla, označovaného jako master password, které umožňuje přistupovat k ostatním uloženým heslům. Pokud je master password kompromitován, jsou pak ohrožena i další uložená hesla.

Pokud si pro správu svých hesel vybíráte cloudové řešení, zajímejte se o to, jakým způsobem má poskytovatel data uložena na svých serverech a zda jsou přístupná i bez master passwordu. Někteří poskytovatelé služeb správy hesel v cloudu pracují z tzv. modelem nulové znalosti, kdy na svém serveru uchovávají jen šifrovanou kopii hesel, k níž nemají přístup ani oni a k dešifrování dochází až na straně klienta. Tento přístup je mnohem bezpečnější, protože probíhá lokálně a master password není posílán přes internet a nemůže se tak dostat do rukou třetí osobně (nebo být zneužit poskytovatelem). Tento model využívají například řešení Dashlane, 1Password či Mitro.

Tento model chrání uživatele před útoky na straně internetu, ale je zranitelný při napadení klienta. V případě, že hacker infikuje počítač uživatele keyloggerem, může tak snadno získat master password a pomocí něj přistoupit k dalším heslům. Důležité je v tomto případě využívat dvoufaktorovou autentizaci, která výrazně zvyšuje bezpečnost. Ve zkratce jde o kombinaci více způsobů ověření, kromě zadání klasického hesla je to například pomocí mobilního telefonu nebo hardwarového tokenu. V současnosti většina nejpoužívanějších cloudových správců hesel již umožňuje dvoufaktorovou autentizaci využívat, takže je více než vhodné této funkce využít. I pokud útočník získá jednu z částí přístupových údajů, je pro něj velmi složité dostat se i k druhé části.

Jendou z hlavních funkcí správců hesel je přístup k různým komplexním heslům pro jednotlivé účty bez nutnosti si tato hesla pamatovat. Nicméně je potřeba mít na paměti, že i samotný master password by měl být co nejhůře prolomitelný a být schopný odolat útokům „brutální silou“. Myslete na to, že toto heslo je důležitější než všechny ostatní, protože chrání všechny zbylá hesla. Pro uživatele, kteří mají problém zapamatovat si nejrůznější velká a malá písmena či speciální znaky v heslech je vhodné vytvářet hesla ze začátků písmen slov různých vět – tzv. passfráze – které jsou proti útokům obvykle značně odolné a dobře se pamatují. Passfráze by měly být využívány zejména pro kritické účty.

Zanechte komentář

Vaše emailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *


+ sedm = dvanáct

Můžete používat následující HTML značky a atributy: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>

Copyright © ICT manažer | ISSN 1805-5486 | SEO optimalizace a přizpůsobení SEO-care.cz