menedżer haseł

Menedżer haseł to program, który przechowuje hasła i inne dane uwierzytelniające w zaszyfrowanym sejfie otwieranym jednym hasłem głównym. CERT Polska opisuje go jako narzędzie, które generuje losowe, bardzo długie hasła, bezpiecznie przechowuje je w zaszyfrowanym sejfie, wypełnia formularze logowania i synchronizuje hasła między komputerem a telefonem ^[1]. Użytkownik musi pamiętać tylko jedno hasło główne ^[1]. Dzięki temu do każdego serwisu może używać innego, długiego hasła.

Jak działa

Sejf to plik albo rekord w chmurze zaszyfrowany kluczem wyprowadzonym z hasła głównego. Wyprowadzenie odbywa się przez funkcję KDF, celowo wolną, aby utrudnić zgadywanie hasła głównego. Menedżer rozpoznaje stronę logowania, podpowiada zapisane dane i wpisuje je w formularz. Przy zakładaniu konta generuje nowe hasło losowe.

Na przykład otwartoźródłowy KeePassXC przechowuje bazę lokalnie na urządzeniu użytkownika, szyfruje ją algorytmem AES-256 albo ChaCha20 i wyprowadza klucz funkcją Argon2 ^[3]. Bazę może dodatkowo chronić plik klucza albo klucz sprzętowy YubiKey ^[3]. Menedżery chmurowe działają podobnie, ale przechowują zaszyfrowany sejf na serwerach dostawcy. LastPass opisywał swój model jako taki, w którym klucze szyfrujące pochodzą z hasła głównego, a samo hasło główne nie jest znane dostawcy ani przez niego przechowywane ^[4].

Codzienne użycie pokazuje schemat poniżej.

RYS. 1Logowanie z menedżerem haseł

Rodzaje

CERT Polska określa zapisywanie haseł w przeglądarce jako proste i dobre rozwiązanie, a osobny menedżer poleca jako narzędzie do generowania i przechowywania długich, losowych haseł ^[1].

W WordPressie

Menedżer haseł rozwiązuje najczęstszy problem kont na stronach WordPress: to samo hasło do panelu, poczty i hostingu. WordPress na ekranie profilu ma przycisk „Generate Password”, który tworzy nowe, silne hasło, i wskaźnik siły hasła ^[6]. Jeśli użytkownik wpisze własne słabe hasło, musi zaznaczyć pole potwierdzające jego użycie ^[6]. Wygenerowane hasło najłatwiej od razu zapisać w menedżerze.

Warto przechowywać w nim także dane spoza panelu: konto hostingu, SFTP, bazę danych, rejestratora domeny i hasła aplikacji (application passwords) używane przez integracje. Przycisk „Log Out Everywhere Else” w profilu pozwala wylogować inne urządzenia, gdy hasło trzeba zmienić po incydencie ^[6].

Menedżer z autouzupełnianiem chroni przed częścią phishingu: nie podpowie hasła do example.com na stronie o łudząco podobnym adresie. Nie zastępuje jednak uwierzytelniania dwuskładnikowego (2FA) na kontach administratorów.

Znaczenie

Hasła powtarzane w wielu serwisach są paliwem ataków credential stuffing: wyciek z jednego miejsca otwiera konta w innych. CERT Polska zaleca, by każde konto miało inne hasło, o długości co najmniej 14 znaków, a najlepiej większej ^[1]. Bez narzędzia jest to w praktyce niewykonalne.

NIST w wytycznych SP 800-63B wymaga, by systemy weryfikujące hasła pozwalały na używanie menedżerów haseł i autouzupełniania ^[2]. Zaleca też zezwalanie na wklejanie hasła, gdy mechanizm autouzupełniania jest niedostępny ^[2]. Uzasadnia to tym, że menedżery zwiększają szansę na wybór silniejszych haseł, zwłaszcza gdy mają generator ^[2]. Strona blokująca wklejanie w polu hasła działa więc wbrew tym zaleceniom.

Zagrożenia i dobre praktyki

Menedżer skupia wszystkie hasła w jednym miejscu, więc hasło główne staje się punktem krytycznym; CERT Polska zaleca tworzyć je metodą kilku losowych słów ^[1]. Ryzyka i odpowiedzi zestawia lista.

• Słabe hasło główne. Długie hasło z kilku losowych słów, nigdzie indziej nieużywane; zob. bezpieczne hasła.
• Utrata urządzenia z otwartym sejfem. Automatyczna blokada ekranu i blokada sejfu po bezczynności.
• Fałszywy instalator. Pobieranie programu wyłącznie ze strony producenta albo oficjalnego sklepu.
• Włamanie do dostawcy chmurowego. Silne hasło główne, bo sejf może trafić w ręce atakujących w postaci zaszyfrowanej.
• Przejęcie konta menedżera. Włączone uwierzytelnianie wieloskładnikowe (MFA) i klucz sprzętowy ^[3].

Historia i przykłady

LastPass 22 grudnia 2022 roku poinformował, że nieuprawniona osoba, korzystając z informacji skradzionych podczas incydentu ujawnionego w sierpniu 2022 roku, dostała się do chmurowego magazynu z kopiami zapasowymi ^[4]. Wśród skopiowanych danych była kopia sejfów klientów. Adresy stron były w niej zapisane jawnie, a loginy, hasła i notatki zaszyfrowane algorytmem AES-256 ^[4]. Firma podała, że domyślnie stosuje 100 100 iteracji PBKDF2 i od 2018 roku wymaga hasła głównego o długości co najmniej 12 znaków ^[4]. Incydent pokazał, że siła hasła głównego jest ostatnią linią obrony, a nieszyfrowane metadane też mogą zdradzić, z jakich serwisów ktoś korzysta.

Niebezpiecznik 19 października 2023 roku opisał reklamy w wyszukiwarce podszywające się pod KeePass ^[5]. Prowadziły na domenę zapisaną w Punycode, która w przeglądarce wyglądała niemal jak oryginalna, i serwowały instalator z malware FakeBat ^[5]. Był to przykład malvertising połączonego z atakiem homograficznym; celem był komputer ofiary, nie sam mechanizm menedżera ^[5].

Menedżer haseł rozwiązuje też problem, który w czerwcu 2024 roku dotknął katalog wtyczek WordPress.org. Według komunikatu z 29 czerwca 2024 roku część autorów wtyczek używała haseł, które wcześniej wyciekły z innych serwisów, a atakujący wykorzystali je do wstrzyknięcia złośliwego kodu do kilku wtyczek ^[7]. WordPress.org wymusił zmianę haseł autorów i zachęcił do włączenia uwierzytelniania dwuskładnikowego ^[7].