Jedno hasło do Facebooka, drugie do banku, trzecie do poczty, czwarte do sklepu, piąte do konta Google. W praktyce większość z nas ma dziś nie kilka, lecz dziesiątki albo setki kont. Zapamiętanie osobnego, długiego i losowego hasła do każdego z nich jest właściwie niemożliwe. Rozwiązaniem tego problemu są menedżery haseł: aplikacje, które mają pamiętać hasła za nas, generować nowe i automatycznie wpisywać je podczas logowania. Brzmi wygodnie. Tylko czy oddanie wszystkich haseł jednej aplikacji rzeczywiście jest bezpieczne?

Hasła są jednym z tych elementów bezpieczeństwa, które w teorii wyglądają znacznie lepiej niż w praktyce. Wiemy, że każde konto powinno mieć inne hasło. Wiemy, że powinno być ono długie, trudne do odgadnięcia i niewystępujące w żadnym słowniku. Wiemy również, że używanie tego samego hasła w kilku serwisach jest złym pomysłem. Problem zaczyna się wtedy, gdy próbujemy zastosować wszystkie te zasady jednocześnie.

Przeciętny użytkownik internetu nie jest w stanie zapamiętać ciągów w rodzaju V7#kP2!zQ9@Lm4x dla kilkudziesięciu różnych usług. Dlatego zaczynamy upraszczać sobie życie. Jedno hasło trafia do kilku sklepów, podobne do Facebooka i Instagrama, a po kilku latach okazuje się, że zmieniamy w nim już tylko ostatnią cyfrę. Menedżer haseł ma sprawić, że nie musimy niczego takiego robić.

Czym właściwie jest menedżer haseł?

Najprościej mówiąc, menedżer haseł jest zaszyfrowanym sejfem na dane logowania. Zamiast pamiętać hasło do każdej strony, zapisujemy je w jednym miejscu. Dostęp do sejfu zabezpieczamy jednym bardzo mocnym hasłem głównym, często dodatkowo uwierzytelnianiem dwuskładnikowym albo biometrią.

W takim sejfie możemy przechowywać nie tylko nazwy użytkowników i hasła. W zależności od programu mogą znaleźć się tam również kody odzyskiwania, bezpieczne notatki, numery kart, dane osobowe, klucze dostępu czy passkeys. Coraz częściej określenie „menedżer haseł” jest więc pewnym uproszczeniem. W praktyce staje się on cyfrowym sejfem na dane potrzebne do uwierzytelniania naszej tożsamości w internecie.

Menedżer może działać jako aplikacja na komputerze i telefonie, rozszerzenie przeglądarki albo aplikacja internetowa. Popularne rozwiązania, takie jak Bitwarden, 1Password czy Proton Pass, potrafią synchronizować sejf pomiędzy wieloma urządzeniami. Nieco inną filozofię reprezentują rozwiązania takie jak KeePassXC, w których użytkownik może sam zarządzać plikiem zawierającym bazę swoich danych.

Największą zaletą nie jest wygoda. Są nią unikalne hasła

Automatyczne wypełnianie formularzy jest wygodne, ale największą zaletą menedżera haseł jest możliwość używania zupełnie innego hasła w każdym serwisie.

Wyobraźmy sobie, że korzystamy z 80 usług internetowych i wszędzie stosujemy to samo bardzo mocne hasło. Wystarczy, że jedna z tych usług zostanie zaatakowana, hasło trafi w ręce przestępców, a następnie zostanie wykorzystane do automatycznych prób logowania w dziesiątkach innych serwisów. To klasyczny credential stuffing.

Menedżer zmienia tę sytuację. Do każdego konta może wygenerować losowe hasło składające się z kilkunastu albo kilkudziesięciu znaków. Użytkownik nie musi go nawet znać. Jeśli dane z jednego serwisu wyciekną, pozostałe konta nadal chronią zupełnie inne hasła.

To właśnie dlatego hasło w rodzaju kot123, którego człowiek potrafi zapamiętać, przegrywa z ciągiem wygenerowanym przez aplikację. Nie dlatego, że człowiek nie potrafi wymyślić dobrego hasła. Problem polega na tym, że nie potrafimy wymyślić i zapamiętać stu dobrych, różnych haseł.

Generator zrobi to lepiej od Ciebie

Praktycznie każdy dobry menedżer haseł posiada generator. Możemy zdecydować o długości hasła, wykorzystaniu wielkich i małych liter, cyfr oraz znaków specjalnych albo wygenerować łatwiejszą do przepisania frazę składającą się z losowych słów.

To usuwa jeszcze jeden częsty błąd. Ludzie mają tendencję do tworzenia haseł według schematów. Imię psa, rok urodzenia, nazwa firmy, ulubiony klub, słowo z wielką literą na początku i wykrzyknik na końcu. Z punktu widzenia człowieka takie hasło może wyglądać na skomplikowane. Z punktu widzenia programu próbującego je odgadnąć niekoniecznie takie jest.

Generator nie ma sentymentów. Nie zna imienia naszego psa i nie musi tworzyć czegoś, co uda nam się zapamiętać. Może wygenerować ciąg całkowicie przypadkowy, a następnie sam go zapisać.

Menedżer może również chronić przed phishingiem

To mniej oczywista, a bardzo istotna zaleta. Dobry menedżer haseł kojarzy zapisane dane logowania z konkretną domeną. Jeżeli nasze hasło do banku zostało zapisane dla prawdziwej strony banku, aplikacja nie powinna automatycznie zaproponować tych samych danych na podobnie wyglądającej, ale fałszywej domenie.

Człowiek może nie zauważyć jednej zmienionej litery w adresie. Menedżer nie ocenia natomiast tego, czy strona „wygląda jak bank”. Sprawdza adres, z którym powiązane zostały dane.

Nie oznacza to oczywiście, że menedżer haseł uczyni nas odpornymi na każdy phishing. Może jednak stanowić dodatkową warstwę ochrony. Jeśli aplikacja zawsze automatycznie wypełnia nasze dane na danej stronie, a pewnego dnia nagle tego nie robi, warto zamiast ręcznie kopiować hasło najpierw sprawdzić, dlaczego tak się stało.

Jedno hasło otwiera cały sejf. Czy to nie jest niebezpieczne?

I tutaj dochodzimy do największego zarzutu wobec całej idei. Skoro wcześniej mieliśmy kilkadziesiąt haseł, a teraz zamykamy wszystkie w jednym sejfie, to czy właśnie nie stworzyliśmy sobie jednego ogromnego punktu awarii?

Tak, hasło główne staje się wyjątkowo ważne. Dlatego powinno być zupełnie inne od wszystkich pozostałych haseł, odpowiednio długie i niemożliwe do odgadnięcia na podstawie informacji o użytkowniku. Nie może to być hasło, którego używaliśmy wcześniej do poczty albo Facebooka.

To jeden z nielicznych ciągów, które rzeczywiście warto zapamiętać. W zależności od zastosowanego rozwiązania możemy również zabezpieczyć konto drugim składnikiem uwierzytelniania. Na telefonie dostęp do aplikacji może zostać dodatkowo chroniony PIN-em lub biometrią.

Menedżer nie likwiduje więc wszystkich problemów związanych z hasłami. Zmienia jednak ich skalę. Zamiast próbować prawidłowo zabezpieczyć i zapamiętać kilkadziesiąt haseł, musimy bardzo dobrze chronić jedno najważniejsze.

Czy firma od menedżera haseł zna nasze hasła?

To jedno z pierwszych pytań, które powinno pojawić się przy wyborze takiej usługi.

W dobrze zaprojektowanym rozwiązaniu dane znajdujące się w sejfie są szyfrowane w taki sposób, aby operator usługi nie posiadał zwykłej listy naszych loginów i haseł możliwej do podejrzenia przez pracownika firmy. Odszyfrowanie sejfu powinno następować po stronie urządzenia użytkownika przy użyciu danych, których dostawca nie zna w postaci pozwalającej po prostu otworzyć zawartość.

Stąd często spotykane pojęcie zero knowledge, czyli architektury projektowanej tak, aby dostawca usługi sam nie posiadał wiedzy potrzebnej do odczytania chronionej zawartości.

To również powód, dla którego utrata hasła głównego może być znacznie poważniejszym problemem niż kliknięcie „zapomniałem hasła” w zwykłym sklepie internetowym. Jeśli system rzeczywiście został zaprojektowany tak, żeby jego operator nie znał klucza pozwalającego odszyfrować nasze dane, nie zawsze będzie mógł po prostu wysłać nam nowego hasła i otworzyć starego sejfu.

A co jeśli ktoś włamie się do samej firmy od menedżera haseł?

To pytanie jest na tyle istotne, że poświęcimy mu osobny materiał w naszym cyklu o menedżerach haseł.

Samo stwierdzenie, że „firma została zhakowana”, nie odpowiada bowiem na najważniejsze pytanie: co dokładnie zdobyli przestępcy? Istnieje ogromna różnica pomiędzy wyciekiem danych użytkowników a zdobyciem zaszyfrowanych sejfów. Jeszcze innym scenariuszem jest przejęcie infrastruktury pozwalające atakującemu próbować ingerować w działanie aplikacji.

Jeżeli atakujący zdobędzie zaszyfrowaną bazę, nie oznacza to automatycznie, że otrzyma plik zawierający hasło do Facebooka zapisane otwartym tekstem. Jednocześnie samo słowo „zaszyfrowane” nie powinno być magicznym zaklęciem kończącym rozmowę o bezpieczeństwie. Znaczenie ma sposób szyfrowania, zabezpieczenie hasła głównego i wiele innych elementów.

Do tego tematu wrócimy szerzej, bo jest to jeden z najważniejszych argumentów podnoszonych przeciwko przechowywaniu wszystkich haseł w jednym miejscu.

Czy hasła są przechowywane tylko na jednym urządzeniu?

Niekoniecznie. Wiele współczesnych menedżerów synchronizuje zaszyfrowany sejf przez internet. Dzięki temu hasło utworzone na komputerze może po chwili pojawić się w telefonie.

To ogromna zaleta użytkowa. Dziś trudno byłoby korzystać z menedżera, który działa wyłącznie na jednym komputerze, skoro na konta logujemy się również ze smartfona czy tabletu.

Istnieją jednak również rozwiązania pozwalające użytkownikowi samodzielnie kontrolować plik z bazą haseł lub nawet utrzymywać własną infrastrukturę. Nie istnieje jeden model odpowiedni dla wszystkich. Ktoś może stawiać przede wszystkim na prostotę, ktoś inny na pełną kontrolę nad miejscem przechowywania danych.

A przecież przeglądarka też zapisuje hasła

I rzeczywiście to robi. Chrome, Safari, Edge czy Firefox posiadają własne mechanizmy zapamiętywania i automatycznego uzupełniania danych logowania. Dla wielu użytkowników wbudowany menedżer przeglądarki jest już pierwszym menedżerem haseł, nawet jeśli nigdy nie nazwali go w ten sposób.

Czy jest to rozwiązanie równie bezpieczne jak osobny program? Nie ma jednej odpowiedzi dla wszystkich przypadków. Znaczenie ma system operacyjny, zabezpieczenie samego urządzenia, synchronizacja konta oraz model zagrożeń użytkownika.

Temu problemowi również poświęcimy oddzielny artykuł: „Czy zapisywanie haseł w przeglądarce jest bezpieczne?”. To temat zdecydowanie zbyt szeroki, żeby zamknąć go w jednym akapicie.

Czy w menedżerze można przechowywać coś więcej niż hasła?

Tak i właśnie dlatego granica pomiędzy menedżerem haseł a cyfrowym sejfem coraz bardziej się zaciera. W zależności od usługi możemy przechowywać dane kart płatniczych, notatki, dokumenty, dane osobowe czy kody odzyskiwania.

Część programów umożliwia również generowanie kodów jednorazowych 2FA. Jest to niezwykle wygodne: aplikacja może wpisać login, hasło, a po chwili również kod uwierzytelniający.

Ma to jednak drugą stronę. Jeśli hasło i drugi składnik uwierzytelniania znajdują się dokładnie w tym samym sejfie, pojawia się pytanie, czy nadal osiągamy pełną korzyść wynikającą z rozdzielenia obu czynników. To kolejny temat, w którym wygoda spotyka się z bezpieczeństwem i któremu warto przyjrzeć się osobno.

Coraz większe znaczenie mają również passkeys, które mają umożliwiać logowanie bez klasycznego hasła. Paradoksalnie nie muszą one oznaczać końca menedżerów haseł. Wiele takich aplikacji rozwija się właśnie w kierunku narzędzi przechowujących również klucze dostępu.

Menedżer haseł nie ochroni przed wszystkim

Warto zachować odpowiednie proporcje. Menedżer haseł jest narzędziem, a nie magiczną tarczą chroniącą przed każdym atakiem.

Jeżeli komputer jest zainfekowany złośliwym oprogramowaniem, atakujący może próbować przechwytywać dane już po ich odszyfrowaniu. Jeżeli użytkownik sam poda hasło główne na fałszywej stronie albo zatwierdzi logowanie osobie podszywającej się pod pomoc techniczną, nawet najlepsza kryptografia może nie rozwiązać problemu.

Dochodzą również błędy samego oprogramowania, podatności, słabe mechanizmy odzyskiwania kont czy niewłaściwa konfiguracja użytkownika.

Dlatego pytanie nie powinno brzmieć: „Czy menedżer haseł jest w 100 procentach bezpieczny?”. Takiego rozwiązania nie ma. Znacznie lepsze pytanie brzmi: „Czy korzystanie z dobrego menedżera haseł jest bezpieczniejsze niż sposób, w jaki przechowywałbym hasła bez niego?”

Dla ogromnej części użytkowników odpowiedź będzie twierdząca.

Jak zacząć korzystać z menedżera haseł?

Nie trzeba od razu zmieniać haseł do stu istniejących kont. Można zrobić to stopniowo. Najważniejsze zasady na początek są proste:

• wybierz sprawdzonego menedżera haseł i upewnij się, że instalujesz prawdziwą aplikację lub rozszerzenie,
• utwórz długie i unikalne hasło główne, którego nie używasz nigdzie indziej,
• jeżeli usługa na to pozwala, zabezpiecz konto dodatkowym uwierzytelnianiem,
• nowe hasła generuj losowo zamiast wymyślać je samodzielnie,
• w pierwszej kolejności zmień powtarzające się hasła do najważniejszych kont, szczególnie poczty elektronicznej.

Nie ma potrzeby znać później wygenerowanego hasła do każdego sklepu czy portalu społecznościowego. Właśnie po to korzystamy z menedżera.

Czy warto korzystać z menedżera haseł?

Tak, pod warunkiem że korzystamy z niego świadomie i odpowiednio zabezpieczymy najważniejszy element całego systemu, czyli dostęp do samego sejfu.

Alternatywą dla większości ludzi nie jest bowiem zapamiętanie stu unikalnych, kilkudziesięcioznakowych haseł. Alternatywą jest najczęściej ponowne wykorzystywanie kilku tych samych kombinacji, upraszczanie ich albo przechowywanie w przypadkowych miejscach.

Menedżer haseł pozwala przenieść ciężar z ludzkiej pamięci na oprogramowanie. Dzięki temu każde konto może otrzymać własne, długie i losowe hasło, którego użytkownik nigdy nie musi wpisywać ręcznie.

Nie oznacza to jednak, że należy bez zastanowienia wrzucić całe cyfrowe życie do pierwszej znalezionej aplikacji. W kolejnych częściach naszego cyklu sprawdzimy, czy bezpieczne jest zapisywanie haseł w przeglądarce, co dzieje się po włamaniu do dostawcy menedżera, czy rozsądnie jest trzymać wszystkie dane w jednym sejfie oraz które menedżery haseł rzeczywiście warto rozważyć.