Jelszókezelő kezdőknek: hogyan válassz, és hogyan állítsd be egy délután alatt

Ha egyetlen dolgot tennél meg a fiókjaid biztonságáért, legyen az a jelszókezelő. Nem azért, mert divatos, hanem mert egyetlen lépéssel megszünteti a leggyakoribb hibát: azt, hogy ugyanazt a néhány jelszót használjuk mindenhol. A jelszókezelő minden fiókodhoz külön, hosszú, véletlenszerű jelszót készít, megjegyzi helyetted, és csak ott tölti ki, ahová az tényleg tartozik.

Ez a cikk a Digitális önvédelem sorozat első része. Végigmegyünk azon, hogyan működik egy jelszókezelő, milyen típusai vannak, mi alapján válassz, és hogyan állítsd be úgy, hogy egy délután alatt rendbe tedd a legfontosabb fiókjaidat. A sorozat következő részében a passkey-ről, a jelszó nélküli belépésről lesz szó, amelyhez a jelszókezelő szintén jó alap.

Miért nem elég a „jó jelszó”?

A legtöbben úgy gondolunk a jelszóra, mint egy zárra: ha elég bonyolult, nem törik fel. A valóságban a jelszavakat ritkán találgatják ki. Sokkal gyakoribb, hogy egy szolgáltatótól kiszivárognak, vagy egy megtévesztő oldalon mi magunk adjuk meg őket.

Amikor egy webáruház vagy fórum adatbázisa kiszivárog, a támadók a megszerzett e-mail-cím és jelszó párosokat automatizáltan végigpróbálják más szolgáltatásoknál is. Ezt a módszert hitelesítőadat-tömésnek (credential stuffing) hívják, és azért működik, mert az emberek többsége újrahasználja a jelszavait. Hiába volt erős a jelszavad, ha ugyanazt használtad egy tíz éve elfeledett fórumon és a levelezésednél is.

Hogy az e-mail-címed szerepelt-e ismert adatszivárgásban, azt a Have I Been Pwned oldalon nézheted meg. Ha találatot kapsz, az nem jelenti azt, hogy feltörték a fiókodat, de azt igen, hogy az ott használt jelszavad már nem titok.

A megoldás egyszerűen hangzik: minden fiókhoz más jelszó. Csakhogy egy átlagos felhasználónak több tucat, gyakran száznál is több fiókja van. Ennyi egyedi jelszót senki sem tud fejben tartani, és nem is kell. Erre való a jelszókezelő.

Hogyan működik egy jelszókezelő?

A jelszókezelő egy titkosított tároló, amelyben a belépési adataid vannak. A tárolót egyetlen mesterjelszó nyitja. A komoly jelszókezelők úgynevezett zéró tudású (zero-knowledge) felépítést használnak: a titkosítás és a visszafejtés a te eszközödön történik, a szolgáltató szerverére csak a már titkosított adat kerül. A szolgáltató tehát nem látja a jelszavaidat, és a mesterjelszavadat sem ismeri.

Ennek van egy fontos következménye: ha elfelejted a mesterjelszót, a szolgáltató sem tudja visszaadni az adataidat. Ezt nem hibaként, hanem a biztonság áraként érdemes felfogni, és előre készülni rá, erről lejjebb részletesen írunk.

A mindennapokban a jelszókezelő három dolgot csinál:

• Generál. Regisztrációkor vagy jelszócserekor hosszú, véletlenszerű jelszót készít, amelyet soha nem kell látnod vagy begépelned.
• Tárol és szinkronizál. A tároló titkosítva eljut minden eszközödre, így a telefonodon és a gépeden ugyanazokat az adatokat éred el.
• Kitölt. A böngészőbővítmény vagy a mobilalkalmazás felismeri a belépési oldalt, és felajánlja a hozzá tartozó adatokat.

Az automatikus kitöltés nem csak kényelmi funkció. A jelszókezelő a weboldal címéhez köti a mentett adatot, ezért egy megtévesztően hasonló című hamis oldalon egyszerűen nem ajánl fel semmit. Ha egy ismerősnek tűnő belépési oldalon a jelszókezelőd hallgat, az intő jel: érdemes megnézni a címsort, mielőtt bármit beírnál. Az ilyen csalások felismeréséről a sorozat harmadik része, az adathalászatról szóló útmutató szól.

Milyen típusok közül választhatsz?

A jelszókezelők három nagy csoportba sorolhatók, és mindegyiknek megvan a maga helye.

Beépített megoldások

Az Apple, a Google és a Microsoft is kínál saját jelszókezelőt, amely a rendszer és a böngésző része. Az Apple-eszközökön a Jelszavak alkalmazás és az iCloud-kulcskarika, androidos telefonon és Chrome-ban a Google Jelszókezelő végzi ezt a munkát. Előnyük, hogy nem kell semmit telepíteni, ingyenesek, és a rendszerbe mélyen beépülve működnek.

A hátrányuk akkor jön elő, ha vegyesen használsz eszközöket. Aki iPhone-t és windowsos gépet, vagy androidos telefont és Macet használ, annak a beépített megoldások kényelmetlenebbek, mert mindegyik a saját ökoszisztémáján belül működik a legjobban.

Független, felhőben szinkronizáló jelszókezelők

Ezek külön cégek termékei, amelyek minden nagy rendszeren és böngészőben működnek. Ide tartozik például a nyílt forráskódú Bitwarden, az 1Password vagy a Proton Pass. Jellemzően többet tudnak a beépített megoldásoknál: biztonságos megosztás családtagokkal, vészhelyzeti hozzáférés, jelentés a gyenge és újrahasznált jelszavakról, bankkártyák és jegyzetek tárolása.

Az árazás változó: van, amelyik ingyenes alapcsomagot is ad korlátlan számú jelszóval és eszközzel, másoknál csak előfizetéssel érhető el a teljes szolgáltatás. Az aktuális feltételeket mindig a szolgáltató oldalán nézd meg, mert időről időre változnak.

Helyi, fájlalapú jelszókezelők

A KeePassXC és rokonai egyetlen titkosított fájlban tárolják az adataidat, amely a saját gépeden van. Nincs szolgáltató, nincs előfizetés, nincs felhő, hacsak te magad nem szinkronizálod a fájlt valamilyen tárhelyen keresztül. Ez adja a legnagyobb kontrollt, cserébe a szinkronizálásról és a biztonsági mentésről neked kell gondoskodnod. Akkor jó választás, ha szereted kézben tartani a dolgaidat, és nem riaszt vissza egy kis beállítás.

Mi alapján válassz?

Nincs egyetlen legjobb jelszókezelő, de van néhány szempont, amely alapján jól lehet dönteni.

• Működjön minden eszközödön. Írd össze, milyen telefont, gépet és böngészőt használsz, és ellenőrizd, hogy mindegyikre van-e alkalmazás vagy bővítmény.
• Legyen zéró tudású. A szolgáltató ne férhessen hozzá a tárolód tartalmához. Ezt a komoly szereplők a dokumentációjukban részletesen leírják.
• Legyen független biztonsági auditja. A megbízható jelszókezelők rendszeresen külső cégekkel vizsgáltatják a kódjukat, és az eredményt nyilvánosságra hozzák.
• Támogasson erős kétlépcsős azonosítást. A tárolódhoz hitelesítő alkalmazással vagy hardverkulccsal is lehessen védelmet adni.
• Tudjon exportálni. Ha egyszer váltani szeretnél, vihesd magaddal az adataidat szabványos formátumban.
• Kezelje a passkey-eket. A jelszó nélküli belépés terjed, és praktikus, ha a jelszavaid és a passkey-eid egy helyen vannak.
• Legyen megosztás és vészhelyzeti hozzáférés, ha családdal közös fiókjaid vannak, vagy szeretnéd, hogy baj esetén egy megbízható személy hozzáférjen az adataidhoz.

Ha csak Apple-eszközeid vannak, a beépített megoldás teljesen rendben van. Ha vegyes az eszközparkod, vagy a családoddal is megosztanál fiókokat, egy független jelszókezelővel jársz jobban. Ha pedig semmit nem szeretnél más szerverén tárolni, a helyi megoldás a tiéd.

A legfontosabb, hogy válassz egyet, és kezdd el használni. Egy átlagos jelszókezelő is nagyságrendekkel jobb annál, mint hogy ugyanazt a három jelszót variálod.

A mesterjelszó: az egyetlen, amit meg kell jegyezned

A mesterjelszó nyitja a teljes tárolót, ezért két dolognak kell megfelelnie: legyen elég hosszú ahhoz, hogy ne lehessen végigpróbálgatni, és legyen megjegyezhető, mert ezt nem tárolhatod a jelszókezelőben.

A legjobb megoldás a jelmondat: több, egymástól független, véletlenszerűen választott szó egymás után. A hossz többet ér a bonyolultságnál. Az amerikai szabványügyi intézet NIST SP 800-63B iránymutatása is a hosszú jelszavakat ajánlja, és kifejezetten nem javasolja a kötelező karakterkeverési szabályokat és a rendszeres, ok nélküli jelszócserét. A brit kiberbiztonsági központ ugyanezt a gondolatot a három véletlen szó módszerével népszerűsíti.

Néhány gyakorlati tanács a jelmondathoz:

• Legalább négy-öt szóból álljon, és a szavak ne alkossanak értelmes mondatot, idézetet vagy dalszöveget.
• A szavakat tényleg véletlenszerűen válaszd. Erre jó a dobókockás módszer: az EFF szólistái pontosan erre készültek, és a legtöbb jelszókezelő beépített jelmondat-generátora is ilyen elven működik.
• Ne használd sehol máshol, soha.
• Ne tartalmazzon személyes adatot: nevet, születési dátumot, a háziállatod nevét.

Az első hetekben érdemes a jelmondatot papírra leírva, biztos helyen tartani, amíg be nem gyakorlod. Egy otthon elzárt papírlapot egy távoli támadó nem ér el, ezért ez sokkal kisebb kockázat, mint egy gyenge, de megjegyezhető mesterjelszó.

Beállítás lépésről lépésre

Az átállás nem egyetlen nagy feladat, hanem néhány kisebb lépés. Egy délután alatt a legfontosabb részén túl lehetsz.

1. Hozd létre a fiókot és a mesterjelszót. Telepítsd az alkalmazást a telefonodra és a gépedre, a böngésződbe pedig a bővítményt.
2. Kapcsold be a kétlépcsős azonosítást a jelszókezelőn. Ez a legértékesebb fiókod, ezért ne SMS-sel védd, hanem hitelesítő alkalmazással vagy hardverkulccsal.
3. Mentsd el a helyreállítási kódokat. A legtöbb szolgáltató ad vészhelyzeti készletet vagy helyreállítási kódot. Nyomtasd ki, és tedd biztos helyre.
4. Importáld a böngészőben mentett jelszavaidat. A Chrome, a Firefox, az Edge és a Safari is tud jelszavakat exportálni, a jelszókezelők pedig beolvassák ezeket a fájlokat. Az importálás után az exportált fájlt töröld, mert titkosítatlanul tartalmazza a jelszavaidat.
5. Kapcsold ki a böngésző saját jelszómentését, hogy ne legyen két, egymással versengő kitöltő.
6. Állítsd be a telefonodon az automatikus kitöltést. Androidon és iOS-en is a rendszerbeállításokban választhatod ki, melyik alkalmazás legyen a jelszavak szolgáltatója.
7. Cseréld le a legfontosabb jelszavakat. Erről szól a következő szakasz.

Melyik jelszavakat cseréld le először?

Nem kell egyszerre mindent rendbe tenni. A fiókjaid nem egyformán értékesek, ezért érdemes sorrendet tartani.

1. Az elsődleges e-mail-fiókod. Ezen keresztül állítható vissza szinte minden más fiókod jelszava. Aki a levelezésedhez hozzáfér, az lényegében mindenhez hozzáfér.
2. Pénzügyi szolgáltatások: netbank, fizetési szolgáltatók, webáruházak, ahol mentett bankkártyád van.
3. Közösségi és üzenetküldő fiókok, amelyekkel visszaélve a nevedben írhatnak az ismerőseidnek.
4. Felhőtárhelyek és fényképtárak, ahol a személyes irataid és képeid vannak.
5. Minden, ami adatszivárgásban érintett, vagy ahol tudod, hogy újrahasznált jelszót használsz.

A többit ráérsz menet közben: amikor legközelebb belépsz egy oldalra, a jelszókezelő felajánlja a mentést, te pedig azzal a lendülettel kicserélheted a jelszót egy generáltra. Néhány hét alatt így szinte észrevétlenül átáll az egész.

A legtöbb jelszókezelőben van egy biztonsági áttekintő, amely megmutatja a gyenge, az újrahasznált és az ismert szivárgásban érintett jelszavakat. Ezt érdemes pár havonta megnyitni, és a lista elejéről néhány tételt rendbe tenni.

Mi van, ha feltörik a jelszókezelőt?

Ez a leggyakoribb ellenvetés, és jogos kérdés: nem veszélyes minden tojást egy kosárba tenni?

A válasz a felépítésben rejlik. Egy zéró tudású jelszókezelőnél a szolgáltató szerverén csak titkosított adat van. Ha a szervert feltörik, a támadók titkosított tárolókat szereznek, amelyeket a mesterjelszó nélkül nem tudnak megnyitni. Ilyenkor az számít, mennyire erős a mesterjelszavad: egy hosszú, véletlenszerű jelmondat mellett a tárolód gyakorlatilag feltörhetetlen marad, egy rövid vagy máshol is használt jelszó mellett viszont nem.

Ezért a mesterjelszó erőssége nem elméleti kérdés. Ugyanezért fontos a kétlépcsős azonosítás is a jelszókezelő fiókján: az megakadályozza, hogy valaki a megszerzett mesterjelszóval egy új eszközről belépjen.

A másik oldalról nézve: a jelszókezelő nélküli állapot sem biztonságos. Az újrahasznált jelszavaknál elég egyetlen gyenge szolgáltató, és minden fiókod veszélybe kerül. A jelszókezelővel egyetlen, jól védett pontra szűkíted a kockázatot, ahelyett hogy száz gyengén védett ponton osztanád szét.

Készülj fel arra, ha kizárnád magad

A zéró tudású felépítés ára, hogy a mesterjelszó elvesztése az adatok elvesztését jelentheti. Ezt előre érdemes kezelni.

• Vészhelyzeti készlet. Írd le a mesterjelszót, a fiókhoz tartozó e-mail-címet és a helyreállítási kódot, és tartsd olyan helyen, ahol az értékes irataidat: otthon elzárva vagy egy megbízható családtagnál.
• Vészhelyzeti hozzáférés. Több jelszókezelő engedi, hogy megadj egy megbízható személyt, aki várakozási idő után hozzáférhet a tárolódhoz. Ez betegség vagy haláleset esetén a hozzátartozóidnak is nagy segítség.
• Rendszeres export. Időnként exportáld a tárolót titkosított formában, és tedd a biztonsági mentéseid közé. A mentések felépítéséről a sorozat negyedik része, a 3-2-1 szabályról szóló útmutató szól.
• Legalább két eszköz. Ha a tároló a telefonodon és a gépeden is fel van oldva, az egyik elvesztése nem zár ki.

Mit tárolhatsz még benne?

A jelszókezelő nem csak jelszavakra jó. Bármi belefér, amit biztonságban szeretnél tudni, és időnként szükséged van rá:

• Helyreállítási és tartalékkódok a kétlépcsős azonosításhoz. Ezeket ne a telefonod jegyzetei között vagy képernyőfotóként tárold.
• Biztonsági kérdésekre adott válaszok. A valódi válasz (például anyád leánykori neve) gyakran kideríthető, ezért érdemes véletlenszerű választ megadni, és azt elmenteni.
• Bankkártyaadatok és okmányszámok, amelyeket űrlapokon rendszeresen meg kell adnod.
• Wi-Fi-jelszavak, szoftverlicencek, a routered admin jelszava, vagyis minden, amit évente kétszer keresel, és soha nem találsz.

Titkosított jegyzetként ezek ugyanazt a védelmet kapják, mint a jelszavaid, és minden eszközödön kéznél vannak.

Gyakori hibák, amelyeket érdemes elkerülni

• Gyenge vagy újrahasznált mesterjelszó. Ez az egész rendszer alapja, ezen ne spórolj.
• Kétlépcsős azonosítás nélküli jelszókezelő. A legértékesebb fiókod érdemli a legerősebb védelmet.
• A böngésző jelszómentése bekapcsolva marad. Így a jelszavaid két helyen élnek, és nem tudod, melyik a friss.
• Az exportált fájl a letöltések között marad. Az importáláshoz használt CSV-fájl titkosítatlan, töröld azonnal.
• Feloldva hagyott tároló közös gépen. Állíts be automatikus zárolást néhány perc tétlenség után.
• Jelszó megosztása üzenetben. Ha valakivel közös fiókod van, a jelszókezelő megosztási funkcióját használd, ne e-mailt vagy csevegőalkalmazást.

Gyakori kérdések

Biztonságos a böngészőbe épített jelszómentés?

A mai böngészők jelszókezelői sokat fejlődtek, és jobbak a semminél. Egy külön jelszókezelő viszont jellemzően többet tud: független a böngészőtől, minden eszközödön működik, és több eszközt ad a megosztáshoz és a helyreállításhoz.

Mi történik, ha a szolgáltató megszűnik?

Ezért fontos az exportálás lehetősége. Ha időnként készítesz exportot, bármikor át tudsz költözni egy másik jelszókezelőbe.

Érdemes fizetni érte?

Az alapvető biztonsághoz nem feltétlenül kell: vannak jó ingyenes és nyílt forráskódú megoldások. A fizetős csomagok jellemzően a családi megosztást, a vészhelyzeti hozzáférést és a kényelmi funkciókat adják hozzá.

Rendszeresen cserélnem kell a jelszavaimat?

Nem. A mai ajánlások szerint akkor kell jelszót cserélni, ha okod van feltételezni, hogy kiszivárgott. Az egyedi, véletlenszerű jelszavakat fölösleges naptár szerint cserélgetni.

A kétlépcsős kódokat is tárolhatom a jelszókezelőben?

Sok jelszókezelő tud egyszer használatos kódokat generálni. Ez kényelmes, de így a jelszó és a második lépcső egy helyre kerül. A legfontosabb fiókjaidnál biztonságosabb külön hitelesítő alkalmazást vagy hardverkulcsot használni.

Összefoglalva

A jelszókezelő azt a problémát oldja meg, amelyet fejben nem lehet: minden fiókhoz egyedi, erős jelszót ad, és csak a megfelelő oldalon tölti ki. A választásnál az számít, hogy minden eszközödön működjön, zéró tudású legyen, és támogassa az erős kétlépcsős azonosítást. A beállítás lényege egy hosszú, véletlenszerű jelmondat, a kétlépcsős azonosítás bekapcsolása és a helyreállítás előkészítése.

Ha ezzel megvagy, a fiókjaid nagy része már védve van a leggyakoribb támadástól. A következő lépés a jelszó nélküli belépés: a sorozat második részében a passkey-ek működését és beállítását mutatjuk be. További útmutatókat a Biztonság rovatban találsz.