Správce hesel a dvoufázové ověření: návod pro rodinu

Většina rodin má hesel víc, než si dokáže pamatovat: e-mail, banka, e-shopy, školní systémy, streamování, fotky v cloudu. Pokud si je všechna pamatujete, je to nejspíš proto, že se opakují. A právě opakované heslo je častá cesta, jak se cizí člověk dostane k vašemu účtu. Tenhle návod ukazuje, jak to během jednoho víkendu srovnat: pořídit správce hesel, zapnout dvoufázové ověření tam, kde na tom nejvíc záleží, a vyzkoušet přístupové klíče (passkeys).

Proč jedno heslo nestačí

Hesla velmi často unikají ze služeb, ne z vašeho počítače. Firma je uloží špatně, hackeři databázi zveřejní a údaje skončí v seznamech, které útočníci automaticky zkoušejí na dalších službách. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje, že nejrizikovější skupinou jsou uživatelé, kteří používají stejné heslo k více službám, včetně e-mailových schránek nebo firemních systémů.

E-mail je přitom klíč ke všemu. Přes odkaz „zapomenuté heslo“ se dá obnovit skoro každý další účet. Kdo vlastní vaši schránku, může se dostat do e-shopů, sociálních sítí i cloudu s fotkami.

Co z toho plyne v praxi:

• každý účet má mít jiné heslo, nejlépe vygenerované, ne vymyšlené;
• u nejdůležitějších účtů má být navíc druhý krok ověření;
• hesla si nemáte pamatovat ani zapisovat na papír pod klávesnici, od toho je správce hesel.

Jak správce hesel funguje

Správce hesel je program (nebo služba), který hesla vymýšlí, ukládá je do šifrovaného trezoru a při přihlašování je za vás doplní. Vy si pamatujete jediné: hlavní heslo k trezoru. Proto musí být opravdu silné a nikde jinde nepoužité.

Jak takové hlavní heslo vytvořit? NÚKIB v e-learningu pro veřejnost upozorňuje, že nejdůležitější je délka. Za dobrý základ se považuje aspoň 12 znaků. Lépe se pamatují frázová hesla: vezmete větu, kterou znáte jen vy, a heslo z ní odvodíte podle vlastního klíče, třeba začátečními písmeny slov, číslicí a interpunkcí. Vyhněte se předvídatelným vzorcům, jako je velké písmeno na začátku a číslice na konci.

Jak správce vybrat, aniž byste se upsali komukoli konkrétnímu? Podle těchto kritérií:

• Šifrování a zveřejněné bezpečnostní audity. Vývojář má doložit, jak trezor chrání.
• Dostupnost na všech vašich zařízeních. Telefon, tablet i počítač, v prohlížeči i v aplikaci.
• Záloha trezoru. Pokud se poškodí soubor nebo zařízení, musíte se k heslům dostat jinak.
• Sdílení v rodině. Heslo k internetové televizi nebo ke společnému účtu se má dát předat bez posílání v chatu.
• Čeština nebo aspoň srozumitelné ovládání. Nástroj, který rodina nechápe, nikdo používat nebude.

Existují i rozdíly v provedení: jedny trezory jsou uložené jen ve vašem zařízení, jiné se synchronizují přes internet. První varianta je pro pokročilejší, druhá je pohodlnější. Pro běžnou rodinu je dobrá ta, kterou skutečně budete používat každý den.

A co heslo uložené v prohlížeči?

Ukládání hesel přímo v prohlížeči je lepší než opakované jedno heslo, ale NÚKIB ho označuje za méně bezpečné, protože existují postupy, jak uložená hesla ze zařízení vzdáleně odcizit. Záleží na konkrétním prohlížeči a na tom, zda si nastavíte hlavní heslo. Pokud na prohlížeči trváte, aspoň zamykejte počítač, mějte aktuální systém a hlavní heslo zapněte tam, kde to prohlížeč umožňuje.

Dvoufázové ověření: druhý zámek na dveře

Dvoufázové ověření (zkráceně 2FA) znamená, že k přihlášení nestačí heslo. Po něm služba požádá o druhý důkaz, že jste to opravdu vy. NÚKIB ho označuje za záchrannou brzdu pro případ, že se k heslu dostane někdo cizí, a doporučuje ho zapnout všude, kde je to možné.

Druhý faktor má několik podob a nejsou stejně silné:

Způsob	Jak funguje	Slabina
SMS kód	Kód přijde textovou zprávou.	SMS nejsou šifrované, dají se odposlechnout. Hrozí i takzvaný SIM swap, kdy útočník získá kopii vaší SIM karty.
Ověřovací aplikace	Aplikace v telefonu generuje kód, který se mění zhruba po 30 sekundách.	Při výměně telefonu je nutné účty přenést. Bez záložních kódů hrozí zamčení.
Potvrzení v aplikaci (push)	Služba pošle dotaz „Přihlašujete se?“ a vy potvrdíte.	Útočníci posílají desítky žádostí, aby oběť jednu odklikla z nervů.
Bezpečnostní klíč nebo přístupový klíč	Přihlášení potvrdíte fyzickým klíčem nebo zámkem telefonu.	Musíte mít záložní způsob přihlášení.

Pravidlo, které se vyplatí naučit i děti: kód z SMS ani z aplikace nikdy nikomu nediktujte, ani „bance“, ani „technické podpoře“, ani kamarádovi, který vás prosí o kód, co mu „omylem přišel“. Kdo o kód žádá, je podvodník.

Kam druhý faktor zapnout jako první

1. Hlavní e-mail. Z něj se obnovují všechna ostatní hesla.
2. Internetové bankovnictví a platební služby. Většina bank druhý krok vyžaduje sama.
3. Účet u vašeho mobilního systému (Google, Apple nebo Microsoft), na kterém visí telefon, zálohy a fotografie.
4. Sociální sítě a cloudová úložiště.
5. Pracovní přístupy, pokud si přinášíte práci domů.

Záložní kódy: nejčastěji přehlížený krok

Když zapnete druhý faktor, služba nabídne záložní kódy pro případ, že telefon ztratíte nebo se rozbije. Právě tady lidé dělají chybu: kódy si vyfotí nebo uloží do stejného telefonu. NÚKIB radí uložit je bezpečně a ideálně off-line. V praxi to může být výtisk uložený s důležitými dokumenty. Kdo se záložních kódů zmocní, je pro službu ověřený uživatel, který jen ztratil telefon.

Ještě jedna drobnost: pokud přijímáte kódy jako SMS, vypněte v telefonu náhledy zpráv na zamčené obrazovce. Jinak si kód přečte každý, kdo se telefonu dotkne, i bez odemknutí.

Přístupové klíče (passkeys): co to je a kdy je použít

Přístupový klíč je novější způsob přihlášení, který heslo nahrazuje. Technicky jde o dvojici klíčů: soukromý zůstává ve vašem zařízení, veřejný má služba. Přihlašujete se otiskem prstu, skenem obličeje nebo zámkem obrazovky. Biometrické údaje zůstávají v zařízení a služba je nedostane, což potvrzuje i nápověda účtu Google.

Největší výhoda: přístupový klíč se nedá zadat na podvržené stránce, a lépe tak chrání před phishingem. Na rozdíl od hesla ho nelze opsat, sdílet ani omylem někomu vyzradit. Google zároveň uvádí, že přihlášení přístupovým klíčem už samo o sobě druhý krok ověření nahrazuje, protože dokládá, že máte zařízení a umíte ho odemknout.

Na co si dát pozor:

• K vytvoření je potřeba dostatečně nový systém. U účtu Google jsou to například Android 9, iOS 16, Windows 10, macOS Ventura a aktuální prohlížeč.
• Zapněte na telefonu zámek obrazovky, jinak nemá klíč co chránit.
• Ne každá služba přístupové klíče podporuje. Heslo a druhý faktor tedy zatím ještě potřebujete.
• Přemýšlejte, kde klíče žijí: v telefonu, v uložišti platformy nebo ve správci hesel. Ztráta zařízení nesmí znamenat ztrátu účtu.

Doporučení pro rodinu: přístupové klíče zapněte tam, kde je služba nabízí a kde vám přijdou pohodlné, a zbytek chraňte správcem hesel a ověřovací aplikací.

Jak to zavést v rodině za jeden víkend

Nemusíte měnit všechno najednou. Pomůže rozdělení na tři krátké večery.

Sobota večer: správce a hlavní heslo

Vyberte správce, nainstalujte ho na všechna zařízení a vytvořte hlavní heslo. Zapište si ho na papír, který schováte doma s dokumenty. Do správce postupně přenášejte nejdůležitější účty a u každého heslo nahraďte vygenerovaným.

Neděle dopoledne: druhý faktor u e-mailu, banky a hlavního účtu

Zapněte ověřovací aplikaci nebo klíč, vytiskněte záložní kódy a uložte je mimo telefon. Pak si zkuste přihlásit z jiného zařízení, abyste věděli, že to funguje.

Neděle odpoledne: děti, prarodiče a nouzový plán

• S dětmi si projděte pravidlo „kód nikomu neříkám“.
• Prarodičům pomozte s nastavením a zapište jim postup velkým písmem.
• Domluvte se, kdo v rodině ví, kde jsou uložené záložní kódy a hlavní heslo, aby se při nehodě nikdo nezasekl.

Podobné téma, jak chránit data a digitální identitu, rozebíráme i v článku o kybernetické bezpečnosti a ochraně dat. Pokud podnikáte, pomůže i přehled kyberbezpečnosti pro malé firmy. A když ukládáte dokumenty do cloudu, přečtěte si, jak vybrat poskytovatele cloudu.

Základní rady k heslům a ověřování najdete také v e-learningu Hesla a přihlašování od NÚKIB.

Časté otázky

Je správce hesel bezpečný? Co když ho někdo prolomí?

Trezor je šifrovaný a bez hlavního hesla je pro útočníka nečitelný. Riziko je mnohem menší než u opakovaně používaných hesel. Slabým místem bývá hlavní heslo, proto ho udělejte dlouhé a nikde jinde nepoužívejte.

Je SMS kód lepší než nic?

Ano. I SMS kód výrazně zvyšuje ochranu, ale NÚKIB upozorňuje, že se od něj pomalu upouští, protože SMS se dají odposlechnout. Pokud služba nabízí ověřovací aplikaci, zvolte ji.

Co dělat, když ztratím telefon s ověřovací aplikací?

Použijte záložní kódy, které jste si uložili při zapnutí druhého faktoru. Proto je tak důležité mít je vytištěné a uložené mimo telefon. Poté účty přeneste do nové aplikace a změňte hesla u nejcitlivějších služeb.

Nahradí přístupové klíče hesla úplně?

Postupně by mohly, ale zatím je nepodporuje každá služba. Dnes je rozumné používat přístupové klíče tam, kde je nabízejí, a jinde spoléhat na správce hesel a druhý faktor.

Mám do správce hesel ukládat i heslo k e-mailu a bance?

NÚKIB v e-learningu cituje rčení, že jsou jen dvě hesla, která do správce nepatří: k e-mailu a k internetovému bankovnictví. Jde o jednu z možných strategií, ne o povinnost. Zvolte si sami: buď je do správce uložíte a chráníte trezor velmi silným hlavním heslem a druhým faktorem, nebo je držíte mimo něj jako dlouhá, jedinečná hesla, která si zapamatujete. V obou případech u nich zapněte druhý faktor.