Bezpečnostná príručka
Správca hesiel vs generátor hesiel
Pochopte rozdiel medzi generovaním hesla a jeho bezpečným ukladaním v správcovi hesiel.
Zhrnutie
Generátor hesiel vytvára tajomstvo. Správca hesiel ukladá, organizuje, vypĺňa a chráni tajomstvá. Zvyčajne potrebujete obe funkcie, či už pochádzajú z jedného produktu alebo samostatných nástrojov.
Čo robí generátor
PwdGen vytvára náhodné heslá lokálne pomocou Web Crypto. Dokáže nastaviť dĺžku, symboly, filtre nejednoznačných znakov, heslové frázy a predvoľby pre rôzne prípady použitia. Neudržiava účet ani trezor hesiel.
Čo robí správca hesiel
Správca hesiel vám pomáha udržiavať jedinečné prihlasovacie údaje praktické. Ukladá dlhé náhodné heslá, vypĺňa ich na legitímnych stránkach a môže znížiť nebezpečné návyky kopírovania a vkladania. Chráňte správcu silným hlavným poverením, plánom obnovy a MFA, ak je podporované.
Praktické odporúčania
- Generujte jedinečné heslá.
- Ukladajte ich do dôveryhodného správcu.
- Vyhýbajte sa dokumentom a screenshotom.
- Skontrolujte možnosti obnovy.
- Používajte passkeys tam, kde je to vhodné.
Podrobný návod
Táto príručka sa zameriava na pochopenie rozdielu medzi generovaním a ukladaním hesiel. Je určená pre čitateľov, ktorí sa rozhodujú, ako PwdGen zapadá do správcu hesiel, takže praktickým cieľom nie je vytvoriť dramatické bezpečnostné tvrdenie. Cieľom je vybrať si návyk s heslom, ktorý prežije každodenné používanie: prihlasovacie formuláre, správcovia hesiel, mobilné klávesnice, obnova účtu, zdieľané zariadenia a občasná služba s podivnými validačnými pravidlami. Bezpečné odporúčanie je užitočné len vtedy, ak ho skutočný človek dokáže konzistentne dodržiavať.
Najbezpečnejším východiskovým bodom je náhodnosť plus jedinečnosť. Náhodnosť znamená, že hodnota je vybraná z veľkého priestoru kryptograficky vhodným náhodným zdrojom, nie vymyslená z narodenín, mena domáceho maznáčika, vzoru na klávesnici alebo obľúbeného citátu. Jedinečnosť znamená, že rovnaké heslo nie je použité nikde inde. Heslo, ktoré je dlhé, ale znovu použité, môže rýchlo zlyhať po jednom nesúvisiacom úniku, zatiaľ čo jedinečné náhodné heslo obmedzí škodu na jediný účet, kde bolo použité.
Pre túto tému je praktickou predvoľbou generovať lokálne a potom uložiť hodnotu do dôveryhodného správcu hesiel. Túto predvoľbu môžete použiť s generátorom hesiel s 20 znakmi a potom uložiť výslednú hodnotu do dôveryhodného správcu hesiel. PwdGen generuje hodnoty lokálne v prehliadači pomocou Web Crypto; vygenerované heslo nie je odoslané na server PwdGen. Tento lokálny dizajn znižuje vystavenie na strane servera, ale nechráni pred každou hrozbou. Škodlivé rozšírenie prehliadača, kompromitované zariadenie, phishingová stránka alebo nebezpečné zaobchádzanie so schránkou môžu tajomstvo odhaliť aj po jeho vygenerovaní.
Najčastejšie problémy, ktorým sa treba vyhnúť, sú ukladanie hesiel v obyčajných poznámkach, konceptoch prehliadača, správach v chate, screenshotoch a tiketoch. Tieto problémy sú dôležité, pretože útočníci len zriedka potrebujú brute-force všetky možné heslá, keď im ľudské návyky poskytnú skratku. Credential stuffing, phishing, uniknuté zoznamy hesiel a zneužitie obnovy účtu sú často realistickejšie ako čisto matematické vyhľadávanie. Preto najlepšia rada kombinuje kvalitu hesla s kontrolami na úrovni účtu, ako sú MFA, passkeys, ukladanie obnovovacích kódov a pravidelná kontrola nastavení obnovovacieho e-mailu alebo telefónu.
Použite tento kontrolný zoznam pri aplikácii odporúčania:
- Použite generátor na vytvorenie náhodnosti.
- Použite správcu na zapamätanie a automatické vypĺňanie.
- Chráňte správcu pomocou MFA alebo passkeys.
- Exportujte len pre zálohy, ktoré viete zabezpečiť.
Ak webová stránka odmietne ideálne nastavenie, nenuťte heslo ručne do slabšieho vzoru. Upravte jednu premennú naraz. Ak sú symboly odmietnuté, ponechajte veľké písmená, malé písmená a čísla povolené a zvýšte dĺžku. Ak je maximálna dĺžka nízka, použite najväčšiu akceptovanú dĺžku a uistite sa, že hodnota je jedinečná. Ak musí byť heslo prečítané nahlas, vytlačené alebo napísané na televíznej či routerovej obrazovke, zvážte vylúčenie mätúcich znakov a zvýšenie dĺžky, aby ste kompenzovali menšiu abecedu.
Nakoniec si pamätajte hranice rád o heslách. Silné heslo je jedna vrstva obrany, nie záruka. Nedokáže urobiť phishingovú stránku bezpečnou, opraviť malvér alebo kompenzovať službu, ktorá uchováva poverenia zle. Užitočný návyk je nudný, ale trvanlivý: vygenerujte jedinečnú hodnotu, bezpečne ju uložte, chráňte cestu obnovy a rýchlo ju vymeňte, ak máte podozrenie na odhalenie.
Bezpečný ďalší krok
Po prečítaní tejto príručky urobte jeden malý audit účtu namiesto toho, aby ste sa snažili opraviť všetko naraz. Vyberte účet, ktorý by spôsobil najviac problémov, keby bol prevzatý, potvrďte, že jeho heslo je jedinečné, a skontrolujte obnovovací e-mail, obnovovací telefón, metódu MFA a ukladanie záložných kódov. Ak je niektorá časť tohto reťazca slabá, zlepšite túto časť predtým, ako prejdete na účty s nižším rizikom. Tento poriadok udržuje prácu zvládnuteľnú a chráni účty, ktoré útočníci s najväčšou pravdepodobnosťou použijú ako odrazový mostík. Pre správcu hesiel vs generátor hesiel je najlepším výsledkom opakovateľný návyk: generovať lokálne, ukladať opatrne a vyhýbať sa opätovnému použitiu.
Často kladené otázky
Potrebujem správcu hesiel, ak používam PwdGen?
Zvyčajne áno. PwdGen vytvára heslá; správca hesiel bezpečne ukladá a vypĺňa jedinečné hodnoty.
Môže správca hesiel tiež generovať heslá?
Mnohí áno. PwdGen je užitočný, keď chcete transparentný lokálny generátor, špeciálne predvoľby alebo druhý názor.
Mám ukladať vygenerované heslá do dokumentu?
Nie. Použite dôveryhodného správcu hesiel alebo správcu tajomstiev namiesto poznámok, tabuliek, chatu alebo konceptov e-mailov.