Hasła i passkeys: jak zabezpieczyć swoje konta
Używanie tego samego hasła w wielu serwisach to wciąż jedna z najczęstszych przyczyn przejęcia konta. Trzy narzędzia rozwiązują większość problemu: menedżer haseł, uwierzytelnianie dwuskładnikowe i passkeys.
Zespół redakcyjny Kayzen Security4 min czytania
Co sprawia, że hasło jest dobre
Długość liczy się bardziej niż pozorna złożoność. Fraza złożona z kilku niepowiązanych słów jest zarazem długa i łatwa do zapamiętania. Francuski organ ochrony danych CNIL publikuje szczegółowe zalecenie dotyczące haseł (délibération n° 2022-100 z 21 lipca 2022 r.), dostosowane do tego, czy są używane samodzielnie, czy z drugim składnikiem.
- Unikalne dla każdego konta.
- Długie: fraza hasłowa lub losowo wygenerowany ciąg znaków.
- Nigdy oparte na danych osobowych (imiona, daty, imię zwierzaka).
- Zmieniane bez zwłoki w razie znanego wycieku lub wątpliwości.
Menedżer haseł
Menedżer przechowuje Twoje dane logowania w zaszyfrowanym sejfie, chronionym jednym hasłem głównym. Generuje losowe hasła, wypełnia je automatycznie i podpowiada je tylko na właściwej stronie, co ogranicza również ryzyko phishingu.
Wybierz uznane narzędzie, starannie chroń hasło główne i włącz uwierzytelnianie dwuskładnikowe dla samego sejfu. W firmie menedżer zespołowy pozwala udostępniać dostępy bez wysyłania ich e-mailem.
Uwierzytelnianie dwuskładnikowe
- Aplikacja uwierzytelniająca lub fizyczny klucz bezpieczeństwa: najbezpieczniejsze opcje.
- Kod SMS: lepszy niż nic, ale bardziej narażony (przejęcie numeru, phishing w czasie rzeczywistym).
- Nigdy nie przekazuj otrzymanego kodu nikomu, kto o niego prosi, nawet jeśli przedstawia się jako Twój bank lub pomoc techniczna.
- Przechowuj kody zapasowe w bezpiecznym miejscu, poza głównym urządzeniem.
Passkeys: naturalny następny krok
Passkey (klucz dostępu) opiera się na standardach FIDO Alliance i W3C. Twoje urządzenie tworzy parę kluczy unikalną dla każdego serwisu: klucz prywatny nigdy nie jest przekazywany serwisowi i pozostaje na Twoim urządzeniu lub w menedżerze, który synchronizuje go w formie zaszyfrowanej; odblokowujesz go odciskiem palca, twarzą lub kodem.
Ponieważ klucz jest powiązany z prawdziwą nazwą domeny, fałszywa strona nie może go użyć: to silna ochrona przed phishingiem. Włączaj je, gdy usługa to umożliwia, zachowując sposób odzyskania dostępu.
W firmie
- Wymagać uwierzytelniania dwuskładnikowego dla poczty, dostępu zdalnego i narzędzi administracyjnych.
- Zapewnić zespołowy menedżer haseł zamiast współdzielonych arkuszy kalkulacyjnych.
- Szybko dezaktywować konta osób odchodzących z firmy.
- Używać różnych haseł lokalnego administratora na każdym stanowisku.
Oficjalne źródła
- CNIL (nowa karta) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (nowa karta) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (nowa karta) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Cytowane materiały są publikowane przez ich autorów w języku oryginału. Kayzen nie jest powiązany z żadną z tych instytucji.
Ten poradnik ma charakter informacyjny i ogólny. Nie zastępuje porady prawnej ani interwencji specjalisty ds. bezpieczeństwa IT.