Puteți începe fără a risca parolele de mare valoare
Dacă riscurile de mai sus vă fac să fiți reticent în a utiliza un manager de parole pentru toate conturile dumneavoastră, luați în considerare posibilitatea de a începe cu acele parole care v-ar îngrijora cel mai puțin pierderea sau compromiterea lor.
De exemplu, probabil că nu vă pasă de o parolă folosită pentru a crea un abonament de încercare de șapte zile la un program software, articole de știri sau cercetare. Dacă faceți cumpărături de pe mai multe site-uri web diferite, este posibil să aveți zeci de conturi care protejează toate copii ale acelorași informații: numărul cardului de credit, numărul de telefon și adresa. Niciuna dintre aceste informații nu este foarte secretă, răspunderea dumneavoastră este limitată în cazul în care vă este furat numărul cărții de credit și este ușor să resetați parola pentru majoritatea site-urilor de cumpărături, primind un e-mail de resetare a parolei.
Începând cu parolele de valoare mai mică, vă puteți familiariza cu modul în care funcționează managerii de parole, în timp ce consecințele greșelilor sunt reduse. Pe măsură ce câștigați experiență, veți înțelege, de asemenea, mai bine riscurile și beneficiile. S-ar putea să descoperiți că atunci când nu mai trebuie să creați, să vă amintiți și să tastați acele parole de valoare mai mică, puteți pune o parte din efortul economisit în protejarea parolelor pentru conturile de valoare mai mare.
De asemenea, puteți utiliza managerul de parole pentru a genera parole aleatorii pe care nu ar trebui să le salvați. Probabil că veți dori să le notați. Ar trebui să fiți capabil să învățați parole aleatorii pentru câteva conturi în timp, doar folosindu-le.
Majoritatea utilizatorilor pot începe fără să cumpere sau să descarce software nou. Dacă utilizați în principal Safari sau Chrome, ambele browsere au manageri de parole care vor genera parole aleatorii pentru dumneavoastră. Nu voi acoperi Brave, Edge sau Firefox deoarece, la momentul scrierii acestui articol, acestea nu generează parole.
În timp ce ar trebui să luați în considerare managerii de parole independenți, în special dacă stocați parolele pentru conturile dvs. mai valoroase, puteți importa cu ușurință în aceștia parolele pe care le-ați salvat în timp ce ați încercat managerii de parole încorporați în Chrome sau Safari.
Un motiv pentru a trece dincolo de Chrome este că acesta nu va identifica ce parole ați reutilizat între site-uri . Auditul pentru parolele refolosite este esențial pentru a obține beneficiile de securitate pe care le poate oferi un manager de parole. Majoritatea managerilor de parole de sine stătători oferă o funcție de audit, iar managerul de parole încorporat în Safari (Apple’s Keychain) a adăugat recent și el una.
Inclusiv dacă încercați să nu stocați parole importante în managerul de parole, merită să revizuiți periodic care parole ați salvat și care sunt reutilizate – unele conturi care păreau fără valoare atunci când le-ați creat se pot dovedi a fi mai valoroase în timp. Unii manageri de parole vă vor semnala, de asemenea, dacă unele dintre parolele dvs. sunt în mod evident slabe (de exemplu, dacă apar pe listele de parole comune.) Dacă doriți să vă înlocuiți vechile parole, volumul de muncă poate fi descurajant. Nu trebuie să așteptați până când veți avea suficient timp să le schimbați pe toate deodată; stabiliți prioritățile și începeți.
Din păcate, managerii de parole care testează dacă ați reutilizat o parolă vor face acest lucru numai dacă le permiteți să stocheze acea parolă. Dacă stocați doar parolele pentru conturile cu valoare redusă, managerul de parole vă va putea spune doar care dintre parolele dvs. cu valoare redusă au fost reutilizate. Nu cunosc niciun manager de parole care să vă avertizeze dacă introduceți o parolă pe care ați salvat-o pentru un alt site în pagina web curentă . Nu există nici un motiv tehnic pentru care majoritatea managerilor de parole să nu vă poată alerta cu privire la o astfel de reutilizare a parolelor, așa că sper ca unii să o facă în curând.
Învățați o parolă principală puternică
Majoritatea managerilor de parole vă protejează parolele cu încă o parolă -numită în mod obișnuit parolă principală. Managerii de parole de sine stătătoare vă vor cere să creați o parolă principală atunci când începeți să le folosiți. Dacă utilizați browserul Chrome de la Google pentru a vă stoca parolele și pentru a le partaja între dispozitive, parolele dvs. vor fi stocate de Google și protejate de parola pentru contul dvs. de Google (împreună cu orice al doilea factor pe care îl puteți utiliza). Apple’s iCloud Keychain se bazează în principal pe parolele dispozitivelor dvs. și pe funcțiile de deblocare pentru a-și proteja datele în mod regulat, dar are o parolă principală de rezervă numită iCloud Security Code .
Nu utilizați o parolă principală pe care ați folosit-o pentru orice altceva. Acest lucru trebuie repetat deoarece probabil că ați învățat avertismentele împotriva reutilizării parolelor după ce ați primit astfel de sfaturi pentru conturi de care nu vă pasă. Spre deosebire de acele parole fără valoare, parola principală care vă protejează toate celelalte parole chiar ar trebui să fie unică.
Dacă folosiți managerul de parole Chrome sincronizat prin intermediul contului Google și nu sunteți 100% sigur că contul Google are o parolă puternică și unică, creați o parolă nouă (după ce vă asigurați că aveți un plan de recuperare pentru cazul în care uitați acea parolă nouă, așa cum se discută mai jos). Acesta este, de asemenea, un moment bun pentru a reevalua dacă ar trebui să aveți autentificare cu doi factori pentru acel cont. În mod similar, dacă folosiți Apple iCloud Keychain de la Apple, nu reutilizați o parolă ca și cod de securitate iCloud.
Parola principală ar trebui să fie generată aleatoriu și suficient de lungă pentru a vă proteja parola chiar dacă atacatorii intră în posesia listei de parole criptate a unui site web și încearcă să spargă acea criptare. Pentru a vă asigura că parola dvs. este cu adevărat aleatorie, lăsați managerul de parole să o genereze (sau folosiți zaruri și o listă de cuvinte). Mulți oameni cred în mod eronat că pot genera aleatorism invocând litere în minte sau bătând pe tastatură, dar multe dintre procesele mentale pe care le considerăm aleatoare nu sunt de fapt cu adevărat aleatoare. Un bun manager de parole va folosi un generator criptografic de numere aleatoare pentru a se asigura că parola dvs. este suficient de aleatoare (iar zarurile sunt o sursă de aleatorism fizic testată în timp, a cărei corectitudine o puteți verifica pur și simplu aruncându-le).
Parola dvs. principală ar trebui să aibă cel puțin 12 caractere minuscule sau cinci cuvinte. De ce să folosiți caractere minuscule sau cuvinte când probabil vi s-a spus (și ați fost constrâns) să folosiți caractere majuscule și simboluri în trecut? Dacă trebuie să introduceți parola pe un dispozitiv cu tastatură pe ecran (cum ar fi cel al telefonului dvs.), fiecare literă majusculă sau simbol poate necesita apăsarea unor taste suplimentare. Puteți să obțineți aceeași securitate și să vă scutiți de o mare frustrare, făcând parola cu majuscule doar cu 30% mai lungă decât dacă ar fi fost mixtă . Cu alte cuvinte, o parolă generată aleatoriu cu 13 caractere minuscule, care poate fi introdusă cu 13 apăsări de taste, este la fel de sigură ca o parolă mixtă cu 10 caractere, care poate necesita mult mai multe.
Nu vă așteptați să vă învățați imediat noua parolă principală – foarte puțini oameni pot învăța un șir lung generat aleatoriu într-o singură ședință. Mai degrabă, cel mai bun mod de a vă învăța parola principală este să o scrieți și să o folosiți des. Configurați-vă managerul de parole astfel încât să vă ceară să o introduceți din nou cel puțin o dată pe zi până când o cunoașteți și aruncați copia pe hârtie numai după ce ați introdus-o din memorie în mod fiabil timp de mai multe zile. Deși capacitatea oamenilor de a învăța parole aleatorii nu este bine studiată, cercetările pe care le-am efectuat eu și colaboratorii mei sugerează că este nevoie de 10 până la 30 de utilizări pentru a le reține. (Această cercetare investighează tehnici pe care managerii de parole le-ar putea folosi pentru a vă ajuta să învățați parole principale puternice, dar niciunul nu oferă în prezent vreun ajutor.)
În cele din urmă, nu presupuneți că nu veți pierde copia pe hârtie a parolei principale înainte de a o memora sau că nu veți uita mai târziu.
Factor de recuperare în alegerea unui manager de parole
Din moment ce una dintre cele mai mari diferențe între managerii de parole este procesul de recuperare a datelor în cazul în care vă pierdeți parola principală, nu ar trebui să alegeți un manager de parole fără a cerceta procesul său de recuperare de urgență. După ce ați făcut alegerea, primul lucru pe care ar trebui să îl faceți, împreună cu alegerea parolei master, este să configurați acest proces de recuperare. S-ar putea să aveți nevoie de el foarte curând, deoarece este foarte probabil să uitați o parolă principală la scurt timp după ce ați creat-o și înainte de a o fi învățat prin utilizare repetată.
În timp ce consecințele pierderii parolelor pot părea mici atunci când configurați lucrurile și nu aveți încă nicio parolă salvată pe care să o pierdeți, este posibil să deveniți rapid dependent de managerul de parole. Ați putea presupune în mod incorect că, odată ce ați învățat parola, nu o veți uita niciodată. Deși cel mai des se întâmplă să uitați parolele la scurt timp după ce le-ați creat, este, de asemenea, obișnuit să le uitați după o perioadă în care nu le-ați folosit. De exemplu, s-ar putea să uitați după următoarea vacanță pe care ați planificat-o sau, așa cum a aflat un prieten cu câțiva ani în urmă, după o internare neplanificată în spital.
De ce fiecare produs gestionează diferit recuperarea? În parte, pentru că este o problemă foarte dificilă chiar și pentru companiile care se numără printre cele mai mari, cele mai bine finanțate și cele mai cunoscute pentru o utilizare excelentă din lume. Luați în considerare iCloud de la Apple, care stochează iCloud Keychain utilizat de Safari. O modalitate de a recupera un cont iCloud este prin intermediul serviciului de asistență pentru clienți, dar hackerii au păcălit agenții de asistență pentru a compromite conturile utilizatorilor, inclusiv pentru un reporter de profil înalt în 2012. Astfel, Apple a oferit utilizatorilor și opțiunea de a stoca o parolă generată aleatoriu care să fie folosită pentru recuperare (Apple a numit-o Cheie de recuperare) și de a-și configura conturile astfel încât serviciul de asistență pentru clienți să nu le poată schimba parola. Puțini utilizatori au adoptat cheile de recuperare, iar unii dintre cei care au făcut-o au fost supărați când au descoperit că, de fapt, serviciul de asistență pentru clienți nu îi mai putea ajuta atunci când aveau nevoie. Apple a încetat să mai ofere chei de recuperare în 2015 . În prezent, Apple permite resetarea parolelor după verificarea clienților prin intermediul numărului de telefon, în ciuda faptului că acest proces este destul de vulnerabil la atacuri.
Dacă acest lucru nu era suficient de rău, cerințele care determină dacă suportul pentru clienți va reseta parola sau alte credențiale ale unui utilizator nu sunt disponibile pentru public. Dintre companiile care permit suportului pentru clienți să reseteze acreditările conturilor utilizatorilor, nu cunosc niciuna care să împărtășească regulile pe care le utilizează pentru a lua decizii cu privire la ceea ce este necesar pentru a intra din nou în cont. Fără aceste reguli, utilizatorii nu pot ști în ce condiții își vor putea recupera contul și în ce condiții un atacator poate prelua contul. Merită să repetăm acest lucru: aceste companii se așteaptă ca dumneavoastră să le încredințați contul dumneavoastră, dar nu vă vor spune regulile care dictează dacă veți putea continua să îl accesați sau dacă un atacator vi-l poate fura .
În loc să se bazeze pe reguli opace de asistență pentru clienți, mulți administratori de parole folosesc soluții care sunt mai puțin vulnerabile la atacuri, dar mai vulnerabile la pierderi accidentale.
Managerii de parole cu sursă deschisă KeePass și PasswordSafe (managerul de parole original) vă lasă pe dumneavoastră să găsiți o modalitate de a stoca și de a face o copie de rezervă a fișierului care conține parolele dumneavoastră, împreună cu cheia utilizată pentru a proteja (cripta) datele din aceste fișiere. Așadar, dacă doriți să vă partajați parolele între calculatoare, va trebui să creați un cont de stocare a fișierelor online (de exemplu, DropBox). Copia dvs. de rezervă ar putea fi o copie scrisă a parolei principale și a parolei pentru contul de partajare a fișierelor. Dacă folosiți autentificarea cu doi factori pe acel cont, veți avea nevoie de o copie de rezervă și pentru aceasta.
LastPass, Keeper , și Dashlane vă permit să autorizați în prealabil contactele de urgență să vă acceseze contul… atâta timp cât acestea au, de asemenea, un cont cu același manager de parole. Această cerință există deoarece aceste produse folosesc criptografia pentru a se asigura că prietenii dumneavoastră, dar nu și companiile, vor putea obține acces la aceste date. Acest lucru vă ajută să vă protejați în cazul în care serviciul lor este piratat sau dacă un atacator reușește să se dea drept dumneavoastră în fața personalului de asistență pentru clienți. Dezavantajul este că un atacator care compromite contul persoanei de contact ar putea apoi să îl compromită și pe al dumneavoastră. Puteți reduce șansele ca acest lucru să se întâmple punând o întârziere înainte ca informațiile dvs. să poată fi comunicate persoanei de contact în caz de urgență. Dacă cunoașteți persoane care folosesc unul dintre aceste produse și în care ați avea încredere să fie persoana dvs. de contact în caz de urgență, acel produs ar putea fi mai bun pentru dvs. decât cele pe care contactele dvs. nu le folosesc.
Cu 1Password, secretul dvs. principal este, de fapt, în două părți: o cheie secretă, pe care software-ul o stochează pe fiecare dispozitiv pe care v-ați pus parolele, și parola dvs. principală. Pentru a utiliza un nou dispozitiv cu 1Password, trebuie să transferați cheia secretă pe acesta. Puteți face o copie de siguranță a cheii secrete prin generarea unui „kit de urgență”, un PDF pe care îl puteți imprima și care conține secretul dvs. și spațiu pentru a vă nota parola principală. (Să sperăm că scrisul dvs. de mână este mai bun decât al meu.) La fel ca LastPass și Dashlane, 1Password și-a conceput serviciul online astfel încât să nu păstreze aceste secrete și, prin urmare, serviciul de asistență pentru clienți nu poate ajuta un atacator – sau pe dumneavoastră – să vă acceseze datele fără acestea. Spre deosebire de LastPass și Dashlane, procesul lor de recuperare nu necesită nicio interacțiune cu serviciul sau cu altcineva. Acest lucru face ca 1Password să fie, fără îndoială, cea mai privată opțiune, dar există un cost pentru fiecare client care are acest nivel de confidențialitate: 1Password nu poate ști ce fracțiune de clienți au tipărit kituri de recuperare, câți le-au folosit cu succes și nici câți și-au pierdut parolele pentru totdeauna. Singurele date pe care le obțin pentru a-i ajuta să îmbunătățească fiabilitatea procesului lor de recuperare provin din ceea ce utilizatorii oferă voluntar dacă contactează serviciul de asistență.
Dacă utilizați Chrome cu un cont Google și autentificare cu doi factori, puteți obține zece parole de recuperare de unică folosință (numere de opt cifre pe care le numesc coduri de rezervă) care pot înlocui unul dintre cei doi factori . Google vă recomandă să le „imprimați sau să le descărcați”. Google stochează, de asemenea, aceste coduri și astfel, spre deosebire de parolele generate aleatoriu și bine gestionate, codurile dvs. ar putea fi compromise dacă Google suferă o breșă.
Dacă folosiți un secret de recuperare tipărit cu Chrome sau 1Password, sau dacă vă creați unul propriu pentru KeePass sau PasswordSafe, va trebui să decideți unde să vă stocați secretele de recuperare după ce le imprimați. O cutie de valori sau un seif acasă poate fi potrivit, mai ales dacă aveți deja unul sau dacă aveți nevoie de unul oricum. Nu există niciun motiv tehnic pentru care nu ați putea împărtăși imprimările secretelor dvs. de recuperare cu prietenii. Dacă ar fi să o faceți, s-ar putea să nu doriți ca foaia să spună pentru cine este destinată, deoarece excluderea acestui fapt ar putea oferi o mică măsură de apărare în cazul în care este furată. O altă opțiune este să dați la două contacte de încredere jumătate dintr-un cod, sau la trei contacte de încredere două treimi din fiecare cod (astfel încât oricare două contacte să vă poată ajuta).
Dacă nu vă place niciuna dintre opțiunile de mai sus, ați putea să vă imprimați periodic toate parolele sau să le notați. Dacă imprimați, vă veți baza pe faptul că imprimanta dvs. este sigură și că aveți o conexiune de rețea sigură la acea imprimantă.
Planeta dvs. principală de e-mail necesită, de asemenea, o atenție specială atunci când vă planificați strategia de recuperare, deoarece multe alte parole pot fi resetate prin e-mail. Aceasta poate fi cea mai importantă parolă care trebuie schimbată cu o parolă generată aleatoriu, dar este și cea de care veți avea cea mai mare nevoie în cazul în care pierdeți accesul la managerul de parole. Dacă schimbați această parolă, ar trebui să vă gândiți să o scrieți sau să faceți și o copie de rezervă a acesteia.
.