Bezpieczeństwo danych w sieci (hasła, szyfrowanie, dobre praktyki itp.) [PL]

Zapisywanie haseł w formie tekstowej, w notatniku czy na karteczkach lub korzystanie wszędzie z tego samego hasła (lub minimalnie różniącego się) to nie są bezpieczne rozwiązania. Pod pewnymi warunkami zapisywanie haseł w przeglądarce może być ok, ale nie polecam tego i są lepsze sposoby.

W skrócie

1. Menedżer haseł
2. Weryfikacja dwuetapowa
3. Logowanie kontem Google, Facebooka i innymi
4. Gdy trzeba przekazać hasło innej osobie
5. Szyfrowanie komputera
6. Bezpieczeństwo sieci
7. Bezpieczne ukrycie danych na zdjęciu lub filmie
8. Zdrowy rozsądek i zasada ograniczonego zaufania

Menedżer haseł

Rekomendowane rozwiązanie to dedykowany i bezpieczny menedżer haseł z włączoną weryfikacją dwuetapową, np.:

• Bitwarden (macOS, Windows, Android, iOS), darmowy, chmura lub self-hosted
• 1Password (macOS, Windows, Android, iOS), płatny, chmura
• KeePass (Windows), KeePassXC (Windows, macOS, Linux), Keepass2Android (Android), darmowy, bez chmury (tylko lokalnie, synchronizacja we własnym zakresie np. przez Dropboxa, Google Drive itp.)

Nie należy stosować tego samego hasła w dwóch różnych miejscach. Hasło do każdej aplikacji/strony powinno być unikalne, najlepiej wygenerowane automatycznie z powyższych narzędzi (uwzględni to dobre praktyki tworzenia haseł).

Przy stosowaniu menedżera haseł, kluczowe jest, by mieć silne wieloznakowe hasło (minimum 12 znaków), zawierające duże i małe litery, znaki specjalne oraz koniecznie włączoną weryfikację dwuetapową lub inną dodatkową metodę uwierzytelnienia niż samo hasło.

Weryfikacja dwuetapowa

Wszędzie tam gdzie to możliwe należy włączyć weryfikację dwuetapową. Weryfikacja dwuetapowa po wpisaniu loginu i hasła wymaga podania dodatkowego, ograniczonego czasowo, kodu weryfikacyjnego, co zapobiega nieautoryzowanemu dostępowi na wypadek wycieku danych logowania.

Kod weryfikacyjny może być wygenerowany w specjalnej aplikacji (zwykle to bardziej bezpieczna opcja) lub wysłany SMS-em (mniej bezpieczna).

• Microsoft Authenticator (umożliwia stworzenie kopii w chmurze)
• Google Authenticator (w dniu publikacji tego wpisy nie umożliwia kopii w chmurze)
• Authy (alternatywa dla powyższych, umożliwia stworzenie kopii w chmurze)

Pamiętaj, aby bezpiecznie zapisać kody zapasowe, które otrzymasz po włączeniu weryfikacji dwuetapowej. To często jedyny sposób odzyskania dostępu do konta, gdy stracisz dostęp do urządzenia generującego kody.

Jeśli szukasz maksymalnego bezpieczeństwa, to najlepszym rozwiązaniem będzie klucz fizyczny typu YubiKey (minimum dwa – drugi jako backup).

Logowanie kontem Google, Facebooka i innymi

Jeśli dana usługa lub serwis umożliwiają logowanie kontem Google, Facebooka lub innymi, które mają włączoną weryfikację dwuetapową warto z tego skorzystać. Dzięki temu nie będzie potrzeby zapisywania dodatkowego hasła i osobnej weryfikacji.

Przekazywanie haseł innej osobie

Najczęściej nie powinniśmy nikomu przekazywać swoich haseł. Czasem zdarza się jednak potrzeba przekazania danych logowania innej osobie. Nie należy wysyłać nigdy takich dostępów zwykłym tekstem w jednej wiadomości.

Najlepiej w takiej sytuacji:

• skorzystać z wbudowanej w menadżera haseł opcji bezpiecznego udostępniania danych logowania
• zaszyfrować dane ręcznie, przekazać hasło innym kanałem niż zaszyfrowane dane
• w przypadku korzystania z opcji “manualnych” warto wysłać hasło osobno od loginu i bezwzględnie usunąć te dane po zapisaniu przez odbiorcę
• jeśli potrzebujesz skorzystać z maila, użyj trybu poufnego w Gmail, hasła w Proton Mail lub odpowiednika w innych skrzynkach (szukaj pod pojęciami takimi jak szyfrowanie, wiadomość ograniczona czasowo i/lub hasło do wiadomości)
• nigdy nie zostawiaj danych logowania zapisanych na mailu, w komunikatorze lub w zwykłej niezaszyfrowanej formie tekstowej

Szyfrowanie komputera

W celu zabezpieczenia danych na urządzeniu, należy zastosować szyfrowanie. W zależności od systemu operacyjnego może to wyglądać inaczej.

• Przykład dla macOS (FileVault)
• Przykład dla Windows 10 i 11 (BitLocker) – jeśli posiadasz wersję Home, BitLocker nie będzie u Ciebie dostępny. Jako alternatywę możesz skorzystać z aplikacji takich jak VeraCrypt lub Cryptomator.
• Szyfrowanie iOS i Androida może się różnić w zależności od modelu telefonu, ale w nowszych powinno być domyślnie włączone. Upewnij się w ustawieniach swojego telefonu lub na stronie producenta.

Bezpieczeństwo sieci

Sam ten punkt mógłby być osobnym artykułem, dlatego krótko tylko wspomnę:

• Unikaj korzystania z publicznych sieci Wi-Fi i/lub nie przesyłaj w nich wrażliwych danych (logowanie do ważnych miejsc, hasła, pliki itd.)
• Jeśli musisz skorzystać z publicznego Wi-Fi, zabezpiecz się z użyciem sieci VPN. Darmowa propozycja na początek: VPN wbudowany w Operę (tylko w przeglądarce) lub dedykowana aplikacja np. ProtonVPN.

Bezpieczne ukrycie danych na zdjęciu lub filmie

• Zamazanie blurem to nie jest wystarczający sposób zabezpieczenia danych wrażliwych ^[1].
• Dla bezpieczeństwa dane wrażliwe najlepiej przykrywać jednolitym paskiem.

Zainteresowanych szczegółami technicznymi odsyłam do artykułu Why You Should Never Use Pixelation To Hide Sensitive Text.

Zdrowy rozsądek i zasada ograniczonego zaufania

Mało które rozwiązania techniczne będą tak dobre jak zdrowy rozsądek i zasada ograniczonego zaufania. Warto czytać zgody, które wyrażamy, komunikaty, które akceptujemy, uprawnienia, które przydzielamy. Dobrą praktyką jest zawsze przydzielać minimum wymaganych dostępów. Jeśli np. zarządzasz stroną czy CMS-em, nie dawaj wszystkim dostępu admina, gdy np. rola redaktora w zupełności wystarczy.

Co prawda w przypadku różnych usług, czasem ciężko się odnaleźć w obudowanych prawniczym językiem regulaminach, tak, gdy chodzi o bezpieczeństwo ważnych danych, zwykle nie warto zgadzać się na coś, czego nie rozumiemy.

Gdy masz wątpliwości do danej usługi, zrób chociaż krótki research w sieci, skorzystaj z wyszukiwarki, poczytaj na dany temat lub zapytaj znajomych. Jeśli usługa, której chcesz powierzyć swoje ważne dane ma kiepską reputację, zastanów się dwa razy.

Podsumowanie

Powyższy wpis na pewno nie wyczerpuje zagadnienia, ale mam nadzieję, że jest dobrym wstępem do tematu bezpieczeństwa dla osób mniej technicznych. Wiem, że narzędzi i rozwiązań jest zdecydowanie więcej, ale starałem się ograniczyć propozycje do minimum, aby ułatwić start i ewentualny wybór początkującym.

Jeśli macie jakieś inne dobre tipy bezpieczeństwa, dodawajcie w komentarzach 🙂 

Podziel się

Jeśli podobał Ci się ten artykuł, może warto podzielić się z innymi?

https://www.damianwajer.com/blog/bezpieczenstwo-hasla/

Pozostańmy w kontakcie

Podobał Ci się ten wpis? Nie przegap kolejnej dawki przydatnej wiedzy! Tylko konkrety i najlepsze treści ze świata UX, web developmentu i produktywności. Głównie szybkie treści dla zajętych ludzi :).

Nie chcesz zostawiać e-maila?

Zobacz inne opcje pozostania w kontakcie.