Menedżer haseł

Z Wikipedii

Menedżer haseł - samodzielny program lub część większego programu, np. przeglądarki internetowej, pozwalający użytkownikowi zarządzać ważnymi danymi uwierzytelniającymi takimi jak konta, hasła, kody PIN, itd. Ze względu na funkcje użytkowe jest to oprogramowanie PIM, natomiast ze względu na zastosowane rozwiązania techniczne - oprogramowanie kryptograficzne.

Menedżer haseł korzysta z lokalnej bazy danych (pliku), w której przechowuje zaszyfrowane dane. Może mieć ponadto dodatkowo takie funkcje jak automatyczne wypełnianie formularzy (np. na stronach internetowych) lub generowanie losowych haseł.

Spis treści 1 Powody stosowania 2 Działanie menedżera i bazy 3 Cechy dobrego menedżera haseł 4 Elementarne zasady bezpieczeństwa 5 Przykłady menedżerów haseł

[edytuj] Powody stosowania

Dane uwierzytelniające, najczęściej występujące jako para dwóch ciągów znaków odpowiednio nazywanymi kontem i hasłem, są we współczesnym świecie i w krajach na odpowiednim stopniu rozwoju stosowane powszechnie. Zwłaszcza ma to miejsce przy użytkowaniu urządzeń komputerowych oraz oprogramowania, jak na przykład przy podłączaniu się (logowaniu) do firmowej sieci, do serwerów poczty elektronicznej, niektórych serwisów FTP, bankowości elektronicznej, sklepów internetowych, aukcji, serwisów rozrywkowych i innych usług w Internecie, przy otwieraniu poufnych, zabezpieczonych dokumentów (np. archiwów ZIP czy dokumentów Office), przy instalowaniu/aktywacji zakupionego oprogramowania (tzw. klucze seryjne), przy korzystaniu z bankomatu, otwieraniu drzwi klatki schodowej, uruchamianiu telefonu komórkowego, itd. Zapamiętanie ww. danych przekracza możliwości przeciętnego człowieka i konieczne jest stosowanie poufnych, zabezpieczonych baz wraz ze specjalistycznym oprogramowaniem do ich obsługi.

[edytuj] Działanie menedżera i bazy

Program na początku stosowania tworzy plik bazy, który zabezpieczany jest metahasłem lub hasłem głównym (master password). Hasło to należy zapamiętać lub użyć specjalnej techniki do jego ukrycia - użyteczna może być np. mnemotechnika. Zalecane jest, aby hasło było tzw. hasłem silnym, gdyż znacząco podnosi to poziom zabezpieczenia utworzonej bazy. Jednocześnie należy pamiętać, że hasło to jest daną krytyczną - jego utrata (zapomnienie czy niemożność odszukania) oznacza w zasadzie utratę bazy danych, oczywiście biorąc pod uwagę rozsądny, a nie astronomiczny budżet. Autorzy menedżerów zazwyczaj ostrzegają, że nie będą w stanie, i nie zajmują się odzyskiwaniem utraconych haseł głównych.

W utworzonej bazie tworzona jest lista identyfikatorów i haseł, które dają dostęp do rozmaitych kont. Plik bazy jest wprawdzie zapisywany na dysku, ale jest on zarazem szyfrowany, dzięki czemu nie można obejrzeć jego niezakodowanej zawartości za pomocą innych programów. Mocne szyfrowanie takie jak Blowfish, AES, Twofish, zapewnia że osoba chcąca poznać faktyczną zawartość bazy musiałaby użyć do pracy deszyfrującej wiele komputerów na całe lata czy dziesiątki lat, oczywiście dysponując odpowiednio wielkim budżetem.

Również same dane umieszczane w bazie są chronione w specjalny sposób. Na przykład hasła mogą być zapisane nie w jawnej postaci, ale jako ciąg powstały po przekonwertowaniu hasła funkcją mieszającą SHA-256. Chronione są też te dane podczas pracy programy, kiedy to muszą być wpisane do pamięci operacyjnej przydzielonej do procesu menedżera - zazwyczaj zapisywane są w postaci zaszyfrowanej za pomocą klucza sesyjnego.

[edytuj] Cechy dobrego menedżera haseł

Dobry, godny zaufania i stosowania menedżer haseł powinien:

• używać odpowiednio silnego szyfrowania bazy danych
• dodatkowo chronić dane zapisane w bazie, np. hasła, kolejnym poziomem szyfrowania
• chronić dane zapisywane podczas jego pracy w pamięci operacyjnej
• przed rozpoczęciem pracy z bazą automatycznie tworzyć jej kopię w celu zniwelowania skutków ewentualnej awarii komputera
• wcale lub najmniej jak to jest możliwe integrować się z systemem operacyjnym, w którym jest uruchamiany łącznie z opcją uruchamiania go z oddzielnego urządzenia zawierającego też bazę danych (np. z pamięci błyskowej (flesh) USB lub dyskietki)
• korzystać w limitowany sposób z tzw. schowka systemowego, a po skorzystaniu, np. do przekopiowania danych, automatycznie go czyścić
• automatycznie blokować otwartą bazę po niewielkim czasie nieaktywności użytkownika
• standardowo pokazywać na ekranie najważniejsze dane, np. hasła, w postaci zamaskowanej, ale z możliwością na życzenie użytkownika pokazywania ich w jawnej postaci
• posiadać generator haseł, który stanowi bardziej bezpieczną alternatywę dla haseł wymyślanych przez użytkownika

[edytuj] Elementarne zasady bezpieczeństwa

1. Z dwóch - program i baza istotna jest tylko baza. Na miejsce utraconego, np. w wyniku awarii dysku, programu prawie zawsze natychmiast lub bardzo szybko możemy otrzymać identyczny lub nowszy, ale obsługujący bazę. Baza jest unikalna, i jeśli nie posiadamy kopii, prawie zawsze nie będzie można jej odzyskać.
2. Baza powinna zawsze - za wyjątkiem być może okresu czasu, gdy ją modyfikujemy - istnieć w co najmniej dwóch identycznych egzemplarzach. Powinna też być zapisana tylko na zewnętrznym, dobrym jakościowo, nośniku danych.
3. Najważniejszym elementem zabezpieczenia i dostępu do bazy jest hasło główne. Powinno być dość długie, lepiej gdy jest niesłownikowe, zawiera kombinację wszystkich możliwych znaków. Powinno być utrwalone tylko w pamięci użytkownika bazy. Utrata tego hasła praktycznie zawsze oznacza utratę zawartości bazy ze względu na brak dostępu do jej zawartości.
4. Menedżery haseł wbudowane w przeglądarki internetowe (np. Firefox) mogą być używane wyłącznie do mało istotnych danych, gdyż istnieje co najmniej kilka metod niezauważalnego przejęcia z nich danych przez odpowiednio spreparowane (posiadające formularze do wypełnienia) strony www. Z tego względu nie należy w nich przechowywać danych uwierzytelniających autorów Wikipedii na ile by to nie było wygodne.

[edytuj] Przykłady menedżerów haseł

W sieci można znaleźć kilkadziesiąt programów, niepłatnych i komercyjnych, które pozwalają nam utworzyć bezpieczną, szyfrowaną w specjalny sposób bazę danych, do której dostępu nie będzie miała żadna inna osoba.

Za jeden z najlepszych niepłatnych menedżerów haseł był uważany polski program PINs (według oceny czasopism komputerowych - CHIP i PC World Komputer), ale od długiego czasu nie jest już rozwijany.

Innymi programami są np. poniższe niepłatne menedżery:

• GNOME Keyring
• KeePass
• KeePassX
• Password Safe
• Revelation