Bezpieczne hasło to podstawa – faktem jednak jest, że prowadzenie odpowiedniej polityki haseł, czyli korzystanie z regularnie zmienianych, unikalnych i odpowiednio silnych fraz, stanowi dla wielu użytkowników nie lada wyzwanie. Dobrym rozwiązaniem tego problemu są aplikacje zwane menedżerami haseł, których zadaniem jest nie tylko zarządzanie hasłami, ale również ich synchronizacja, zmiana i generowanie.

Oczywiście, menedżer haseł nie jest cudownym panaceum rozwiązującym wszystkie problemy z uwierzytelnianiem, ale użycie go to pierwszy krok na drodze do skutecznego zabezpieczenia tożsamości użytkownika. Odpowiednio dobrany program zwolni człowieka z obowiązku zapamiętywania dziesiątków haseł, a tworzone przez niego losowo hasła będą odporne na wiele typowych ataków, w tym m.in. ataki słownikowe czy siłowe.

Zobacz również:

• Palo Alto wzywa pilnie użytkowników jej zapór sieciowych, aby jak najszybciej zaktualizowali zarządzające nimi oprogramowanie
• Użytkownicy dalej konfigurują łatwe do odgadnięcia hasła

Podstawową funkcję menedżerów – czyli zapamiętywanie i wykorzystywanie w odpowiednim momencie loginów i haseł do serwisów i usług – znajdziemy również w wielu przeglądarkach internetowych, warto jednak wiedzieć, że możliwości przeznaczonych do tego celu aplikacji są znacznie większe. Oferują one zwykle m.in. szyfrowanie danych, możliwość synchronizowania ich pomiędzy różnymi platformami, obsługę urządzeń mobilnych czy wsparcie uwierzytelniania dwuetapowego. Owszem, niekiedy zdarza się, że użytkownik musi ręcznie kopiować login i hasło z menedżera do okna logowania – to rozwiązanie jest co prawda nieco mnie komfortowe, ale za to zdecydowanie podnosi poziom bezpieczeństwa.

Niektóre z tych aplikacji przechowują dane lokalnie, inne działają, opierając się na chmurze i synchronizacji, inne jeszcze cechują się podejściem hybrydowym (łącząc oba te rozwiązania). Jeśli nie ufacie chmurze, powinniście rozważyć m.in. KeePass, 1Password oraz SplashID Safe (chociaż ta ostatnia propozycja oferuje opcję przechowywania danych w chmurze); jeśli nie macie z nią problemu, powinniście zainteresować się LastPass, Dashlane czy PasswordBox.

Zdaniem niżej podpisanego, najlepsza opcja „lokalna” to KeePass – jest open source’owy, darmowy, a jego możliwości można rozszerzać za pomocą niezliczonych wtyczek (dzięki czemu KeePass jest w stanie robić wszystko, czego może potrzebować użytkownik). Jeśli chodzi o aplikację działającą na bazie chmury, najlepiej wypada chyba LastPass, którego zaletami jest przystępna cena (1 USD miesięcznie za wersję Premium) oraz sukcesywne wdrażanie wszystkich funkcji na wszystkich obsługiwanych platformach.

1Password

1Password to dzieło firmy AgileBits, producenta popularnego narzędzia do szyfrowania danych w OS X - Knox. Knox jest jednak ograniczony platformowo, a 1Password działa na większości dostępnych systemów (w tym OS X, Windows, iOS oraz Android).

Hasła – w postaci zaszyfrowanej – przechowywane są lokalnie. AgileBits nie dostarcza bezpośrednio usługi synchronizowania tych danych w chmurze, jednak można to zrobić, korzystając z zewnętrznych narzędzi (Dropbox dla wszystkich platform lub iCloud dla Mac oraz iOS). Dostępna jest również funkcja synchronizacji danych przez Wi-Fi, a dzięki temu że „zasobnik” z hasłami 1Password ma postać pojedynczego pliku, to jego przenoszenie pomiędzy różnymi platformami i urządzeniami jest bardzo proste.

Oczywiście, możliwe jest tworzenie wielu takich „zasobników”, co pozwala m.in. na udostępnianie części haseł współpracownikom, rodzinie lub znajomym (program oferuje również funkcję przesyłania haseł do innej kopii klienta 1Password).

Co ważne, program oferuje również sporo narzędzi dodatkowo zwiększających bezpieczeństwo, m.in. funkcję analizowania siły hasła oraz serwisu, do którego się logujemy (pod kątem potencjalnych luk). Potrafi też np. dać znać użytkownikowi, że w serwisie, do którego się loguje, wykryto swego czasu błąd, w związku z czym rekomendowana jest zmiana hasła.

Dość skomplikowany jest cennik aplikacji – w przeciwieństwie do konkurencji autorzy 1Password chcą od użytkownika, by płacił oddzielnie za aplikacje klienckie na różne platformy. Program dla PC czy Mac kosztuje np. 49 USD, zaś klient dla iOS czy Androida – 9,99 USD (podstawowa wersja jest darmowa, ale do korzystania z wielu funkcji niezbędne jest wykupienie wersji Pro).

Głównym problemem 1Password wydaje się to, że wiele nowych, istotnych funkcji trafia w pierwszej kolejności do wersji Mac (wydanie dla Windows dopiero po niedawnej aktualizacji wyposażone zostało w wiele rozwiązań dostępnych w wydaniu dla urządzeń Apple’a już od dawna). To dobry, solidny menedżer haseł, jednak w pierwszej kolejności warto go polecić właśnie użytkownikom Maców czy iPadów.

Dashlane

Dashlane to aplikacja próbująca połączyć kluczowe cechy menedżerów lokalnych i chmurowych – aby zapewnić użytkownikom możliwie najwyższy poziom bezpieczeństwa. To do nich należy ostateczny wybór, czy chcą przechowywać swoje hasła na serwerach firmy i cieszyć się pełną synchronizacją pomiędzy różnymi platformami czy raczej wolą je mieć na własnym dysku i zapomnieć o synchronizacji.

W wariancie, w którym baza haseł jest przechowywana w chmurze Dashlane, użytkownik ma pełną kontrolę nad hasłem głównym (do aplikacji) – firma nie przechowuje na swoich serwerach hasha hasła, używa go wyłączenie do lokalnego szyfrowania i deszyfrowania danych. Dlatego też webowa wersja bazy dostępna jest tylko w trybie odczytu, modyfikacji można dokonywać w niej wyłącznie z poziomu klienta.

Uwierzytelnianie na urządzenia zarejestrowane w usłudze odbywa się dwustopniowo, z wykorzystaniem hasła głównego oraz kodu przesyłanego e-mailem. Dashlane dostępny jest w dwóch modelach: darmowe konto umożliwia wymianę haseł pomiędzy jednym urządzeniem i chmurą, zaś płatne (Premium, 39,99 USD rocznie) pozwala na synchronizowanie haseł pomiędzy wieloma urządzeniami, wykonywanie backupu konta, udostępnianie więcej niż 5 pozycji, dostęp do aplikacji webowych czy systemu pomocy technicznej.

W przypadku tej aplikacji kluczowe jest zapamiętanie (i ochrona) hasła głównego – firma informuje, że jego odzyskanie nie jest możliwe w razie zgubienia (to konsekwencja tego, że nie jest ono przechowywane w żadnej formie po stronie dostawcy).

Dashlane obsługuje dwustopniowe uwierzytelnianie (via Google Authenticator), chociaż funkcję tę trzeba włączyć z poziomu klienta dla Windows lub Mac. Będzie ono działało wyłącznie na urządzeniach z dostępem do internetu. Możliwe jest przesyłanie hasła i loginu do innych użytkowników Dashlane oraz ustalanie reguł korzystania z tak udostępnionych danych (np. zablokowanie możliwości zmiany hasła), a także wskazanie osoby, która w sytuacji wyższej konieczności uzyska dostęp do danego loginu/hasła.

Sytuacja Dashlane jest dość specyficzna, aplikacja chce być hybrydą lokalnego i chmurowego menedżera haseł, a to sprawia, że żadnym z nich nie jest w 100%. Nie znaczy to jednak, że nie jest rozwiązaniem godnym polecenia – innowacyjność i staranność jej twórców zasługują na uznanie. Jeśli kogoś nie przekonuje – ze względów bezpieczeństwa – chmurowy aspekt funkcjonowania Dashline, warto odwiedzić stronę aplikacji, na której znaleźć można szczegółowe omówienie modelu zabezpieczeń.

KeePass

KeePass to dojrzały, open source’owy (GNU GPL v 2) i darmowy program do zarządzania hasłami działający natywnie na Windows i dostępny za sprawą Mono również na OS X oraz Linuksie. Jego atuty to właśnie otwarta architektura i wsparcie dla wtyczek mogących znacząco rozszerzać podstawowy zakres funkcji programu. Za ich sprawą możliwa jest m.in. zmiana algorytmu szyfrowania, automatyzowanie logowania z poziomu przeglądarek czy dodanie klawiatury ekranowej.

Program zaprojektowano tak, by przechowywał lokalną kopię zasobnika z hasłami, choć dzięki wspomnianym wtyczkom możliwe jest synchronizowanie tych danych online, za pośrednictwem Dropboksa, Google Docs czy Microsoft OneDrive. Atutem „lokalności” tych danych jest możliwość współdzielenia jednej bazy haseł przez kilku użytkowników lub odwrotnie – posiadania kilku baz przez jednego użytkownika.

Dostępność na urządzeniach mobilnych wypada tu nieco gorzej niż w przypadku płatnych konkurentów – porty aplikacji są dostępne dla iOS, Android oraz Windows Phone, jednak nie wszystko działa poprawnie (nie wszystkie wersje obsługują np. synchronizację chmurową, a na dodatek niektóre są płatne – do 2 USD).

Użytkownicy, dla których ważniejsze od synchronizacji jest bezpieczeństwo, z pewnością docenią liczne, dostępne domyślnie, metody uwierzytelniania – dostęp do bazy haseł KeePass można zablokować, korzystając np. z loginu i hasła, klucza programowego czy logowania z użyciem konta Windows. Klucz programowy można zapisać na dysku USB.

Głównym problemem tej aplikacji jest poziom skomplikowania – wszystkie niezbędne funkcje i narzędzia tu są, jednak dla niektórych użytkowników dostęp do nich i sprawienie, że wszystko będzie działać tak, jak powinno, może być za trudne.