Heslo k e-mailu by nemělo být jen drobnou obměnou hesla k obchodu s koncertními vstupenkami. Jenže kdo si má pamatovat desítky různých kombinací? Správce hesel je ukládá do šifrovaného trezoru, pro jednotlivé účty vytváří dlouhá náhodná hesla a pomáhá s jejich vyplňováním. Při výběru ale nejde jen o seznam funkcí. Záleží na tom, jestli se vám s ním dobře pracuje na všech zařízeních, co uděláte při ztrátě telefonu a zda víte, jak služba s vašimi daty nakládá.
Nejdřív si ujasněte, kde hesla používáte
Pokud se přihlašujete na jednom telefonu a jednom počítači v rámci stejného ekosystému, může vám stačit správce v prohlížeči nebo operačním systému. Při střídání prohlížečů a zařízení, práci na cizím počítači nebo sdílení vybraných přístupů v domácnosti už může být praktičtější samostatná aplikace. Obvykle podporuje více platforem a nabízí přehlednější organizaci položek. Sama o sobě však nemusí být bezpečnější; záleží na konkrétní službě a jejím nastavení.
Sepište si, kde se pravidelně přihlašujete: na pracovním a osobním počítači, telefonu, případně tabletu. Ověřte podporu všech používaných systémů a prohlížečů, nejen těch hlavních. Zvláštní pozornost věnujte telefonu. Když na něm automatické vyplňování často selhává a hesla musíte zdlouhavě kopírovat, roste pokušení vrátit se k jednoduchým heslům.
Oddělte také pracovní a soukromé účty. Firemní přístupy nepřesouvejte bez souhlasu zaměstnavatele do osobního trezoru. A soukromý e-mail nebo hudební služby zase neukládejte bez rozmyslu do firemního účtu, o který můžete po změně zaměstnání přijít.
Co přesně správce chrání
Trezor má být uložený v šifrované podobě. U služby hledejte srozumitelné vysvětlení, kde se data šifrují, co poskytovatel může vidět a jak probíhá přihlášení na novém zařízení. Samotné označení „zero knowledge“ mnoho neřekne o zálohách, sdílených položkách ani metadatech účtu. Víc napoví dostupná technická dokumentace, historie bezpečnostních oprav a jasný postup pro případ incidentu.
Otevřený zdrojový kód umožňuje nezávislou kontrolu, nezaručuje však bezchybnost. Totéž platí pro bezpečnostní audit: zjistěte, jaké verze a součásti se týkal a zda provozovatel odstranil nalezené nedostatky. Nemusíte číst celý technický protokol. Podstatné je, aby šla zjištění dohledat a služba je neodbývala neurčitými sliby.
Správce hesel vás neochrání před vším. Škodlivý software v zařízení nebo přihlašovací údaje zadané na falešné stránce mohou obejít i dobře šifrovaný trezor. Pořád proto záleží na aktualizacích, zamykání obrazovky a kontrole webových adres. Automatické vyplňování může pomoci: některé aplikace nabízejí údaje jen pro odpovídající doménu. Není to ale neomylný detektor podvodů.
Hlavní heslo a druhý faktor
Hlavní heslo odemyká celý trezor. Zvolte jedinečné a dostatečně dlouhé; dobře posloužit může fráze z několika nesouvisejících slov, kterou nikde jinde nepoužíváte. Nepište si ji do obyčejné poznámky v telefonu ani si ji neposílejte e-mailem. Nouzovou papírovou kopii, pokud ji chcete mít, uložte na bezpečné místo přístupné jen oprávněným osobám.
Vícefaktorové ověření přidává překážku při přihlašování k účtu správce na novém zařízení. Podle nabídky služby zvažte ověřovací aplikaci nebo bezpečnostní klíč. Předem zjistěte, zda lze nastavit záložní metodu a jak uložit jednorázové obnovovací kódy. Druhý faktor nenahrazuje silné hlavní heslo; jeho přesná úloha závisí na tom, jak služba šifruje a synchronizuje data.
Synchronizace, místní trezor a výpadek služby
Cloudová synchronizace zpřístupní hesla na telefonu i počítači a změny obvykle zálohuje bez ruční práce. Zjistěte však, zda aplikace uchovává použitelnou offline kopii trezoru a co se stane při výpadku připojení. Místní trezor vám dává větší kontrolu nad umístěním souboru, ale zálohování a synchronizace jsou na vás. Při ručním kopírování snadno vzniknou různé verze; špatně nastavená synchronizace zase může způsobit konflikt změn.
V praxi je důležitější postup, který zvládnete dlouhodobě dodržovat, než spor o cloud a offline úložiště. Pokud si nejste jistí pravidelným zálohováním a bezpečným přenosem místního trezoru, může být lépe nastavená synchronizovaná služba rozumnější volbou. V obou případech si ověřte, že data dokážete exportovat do čitelného formátu a importovat jinam. Export může obsahovat nešifrovaná hesla: vytvářejte ho jen na důvěryhodném zařízení a po bezpečném přenosu ho z původního umístění odstraňte. Prosté smazání na některých úložištích nezaručuje definitivní odstranění, takže citlivý soubor raději vůbec nedávejte do sdílených složek ani běžných cloudových záloh.
Co vyzkoušet před zaplacením
Během zkoušení ponechte dosavadní způsob ukládání funkční. Do nového trezoru nejprve přeneste několik méně citlivých položek a na všech svých zařízeních vyzkoušejte:
- Vytvoření hesla při registraci a jeho správné uložení.
- Přihlášení v prohlížeči i v mobilní aplikaci, kterou běžně používáte.
- Změnu hesla a kontrolu, že trezor nabízí novou verzi, ne starou.
- Přístup bez internetu a přihlášení na novém zařízení podle pokynů služby.
- Export testovací položky a možnosti jejího opětovného importu.
Sledujte i zamykání aplikace. Odemčení otiskem prstu nebo rozpoznáním obličeje se na vlastním telefonu hodí, pokud je bezpečně nastavený i samotný přístroj. Na sdíleném počítači raději nastavte kratší interval automatického uzamčení a nenechávejte trezor otevřený na pozadí.
Funkce, které skutečně mění každodenní používání
Generátor má vytvářet dlouhá náhodná hesla, ale také umožnit úpravy pro weby s neobvyklými omezeními. Hodí se rozpoznávání duplicit a slabých hesel: ukáže, které účty řešit nejdřív. Upozornění na uniklé údaje berte jako vodítko, nikoli jako potvrzení, že všechny ostatní účty jsou v bezpečí. Při upozornění na kompromitovaný účet změňte heslo přímo na skutečném webu nebo v aplikaci a zkontrolujte související přístupy.
Některé správce ukládají i přístupové klíče neboli passkeys. Tam, kde je daná služba podporuje, umožňují přihlášení bez tradičního hesla. Před výběrem správce ověřte, zda je umí vytvářet a synchronizovat mezi vašimi zařízeními a zda je případně půjde převést jinam. Přenositelnost se liší podle správce i platformy. Jestli na přístupovém klíči závisí vaše přihlášení, zjistěte si možnosti obnovy účtu dřív, než budete měnit telefon.
Do trezoru lze často ukládat také platební karty, soukromé poznámky nebo doklady. Je to pohodlné, ale s každým dalším typem dat roste význam jeho ochrany. Zvažte, co tam skutečně potřebujete mít; samotná možnost uložit skeny dokladů nebo úplné zálohy obnovovacích kódů není důvodem to udělat.
Sdílení bez společného hlavního hesla
Pro společný účet ke streamovací službě nebo rodinnou rezervaci se hodí sdílení jednotlivých položek. Každý člen domácnosti by měl mít vlastní účet a společné přístupy vyhrazenou složku, místo aby všichni používali jeden trezor se stejným hlavním heslem. U rodinného tarifu předem zjistěte, kdo může položky upravovat, co se stane po odebrání člena a zda jeho soukromé položky zůstanou soukromé. U bankovních a dalších zvlášť citlivých účtů si nejprve ověřte, zda jejich pravidla sdílení přihlašovacích údajů vůbec dovolují.
Cena, důvěryhodnost a možnost odejít
Jednotlivci může stačit bezplatný tarif. Než začnete porovnávat roční ceny, podívejte se na omezení počtu zařízení, mobilní aplikace, vícefaktorového ověření, exportu, historie verzí a sdílení. Někde se platí za funkci, bez které se neobejdete, jinde hlavně za pohodlí navíc.
Zajímejte se i o provozovatele. Srozumitelná pravidla nakládání s daty, dostupná podpora, pravidelné aktualizace a věcná komunikace o bezpečnostních problémech řeknou víc než reklamní sliby. Ani služba bez známého incidentu nemá zaručenou bezchybnou budoucnost; sledujte, jak napravuje chyby a informuje uživatele. Ověřte si také možnost účet ukončit a přenést jinam nejen hesla, ale i poznámky, vlastní pole a používané přístupové klíče.
Přesun hesel bez zbytečného chaosu
Všechna hesla nemusíte měnit za jeden večer. Nejprve nastavte trezor a vícefaktorové ověření, připravte obnovovací kódy a zkuste přihlášení na druhém zařízení. Teprve potom přeneste stávající údaje. Po importu z prohlížeče zkontrolujte, zda v počítači nezůstal nešifrovaný export a zda prohlížeč dál nenabízí ukládání nových, odlišných verzí hesel. Dvě databáze, které se neaktualizují stejně, rychle způsobí zmatek.
Jako první změňte heslo k hlavnímu e-mailu: přes něj lze často obnovit přístup k dalším službám. Pak projděte účty s platebními údaji a místa, kde používáte stejné heslo. U důležitých účtů zapněte vlastní vícefaktorové ověření, pokud je dostupné. Ochrana trezoru je při úniku hesla k jednotlivé službě sama neochrání. Po každé změně se odhlaste a znovu přihlaste údaji z trezoru. Hned poznáte, zda se uložilo nové heslo.
V prvním týdnu si veďte krátký seznam účtů, kterým ještě potřebujete změnit heslo, ale samotná hesla si do něj nepište. Pokud jste stejné heslo používali pro e-mail a obchod se vstupenkami, oba záznamy odškrtněte až po úspěšném přihlášení z telefonu i počítače.
