Správca hesiel je softvér, ktorý ukladá vaše heslá do šifrovaného trezora. Pamätáte si jediné hlavné (master) heslo, ostatné si pamätá správca. Pre každú službu vygeneruje jedinečné silné heslo (napríklad 20 a viac náhodných znakov) a pri prihlasovaní ho automaticky vyplní. Hlavná výhoda — chráni pred credential stuffingom. Keď unikne heslo z jednej služby, ostatné účty zostávajú v bezpečí.
Ako to funguje
Správca udržiava šifrovaný trezor lokálne alebo v cloude. Hlavné heslo nikdy neopúšťa vaše zariadenie — server vidí len zašifrované dáta. Pri prihlásení na web správca vyplní meno a heslo, pri registrácii vygeneruje nové. Niektorí správcovia (Bitwarden, 1Password) majú aj generátor jednorazových kódov pre dvojfaktorové overenie (TOTP), kontrolu, či sa vaše heslo neobjavilo v úniku, bezpečné poznámky a zdieľanie hesiel v rodine.
Ako to rozpoznať
- Bežne používaní správcovia — Bitwarden (zadarmo, otvorený zdrojový kód), 1Password (platený), Kľúčenka od Apple (vstavaná v iOS a macOS), Správca hesiel Google (vstavaný v Androide a Chrome).
- Ak správcu nepoužívate a máte viac než desať online účtov, takmer isto heslá opakujete.
- Príznaky života bez správcu — zabudnuté heslá, časté obnovovanie cez e-mail, slabé heslá pre „nedôležité“ služby.
Čo robiť
- Začnite hneď — Bitwarden je zadarmo bez obmedzenia počtu zariadení, správcovia od Apple a Googlu sú v telefóne už vstavaní.
- Účty migrujte postupne — pri najbližšom prihlásení si heslo zmeňte na vygenerované správcom.
- Hlavné heslo musí byť silné (aspoň 12 znakov, ideálne celá fráza) a JEDINEČNÉ — nikde inde ho nepoužívajte.
- Zapnite dvojfaktorové overenie aj pre samotného správcu. A myslite na obnovu — bez hlavného hesla sa k trezoru nedostanete.
- Zálohujte trezor (export do súboru uložený na bezpečnom mieste, napríklad na šifrovanom disku alebo v domácom trezore).
Situácia na Slovensku
Na Slovensku správcov hesiel používa zatiaľ menšina ľudí, hoci patria k základným odporúčaniam kybernetickej hygieny pre domácnosti aj firmy. Najčastejšie bariéry sú nedôvera („prečo mám dať heslá cudzej firme?“) a obava zo zložitosti u starších používateľov. Pritom Kľúčenka v iPhone alebo Správca hesiel Google v Androide fungujú bez akéhokoľvek nastavovania — stačí ich prestať ignorovať a nechať telefón heslá generovať.
Časté otázky
Nie je riskantné mať všetky heslá na jednom mieste?
Menej riskantné než heslá opakovať alebo si ich písať na papier. Správcovia používajú šifrovanie AES-256 — aj keby útočník trezor získal, bez hlavného hesla je nepoužiteľný. Architektúra zero-knowledge znamená, že vaše heslá nepozná ani poskytovateľ.