Jak bezpečně sdílet hesla: srovnání 4 praktických metod

Dříve nebo později musí heslo sdílet každý. Rodiče chtějí při návštěvě heslo k Wi-Fi. Partner potřebuje přihlášení k Netflixu. Kolega potřebuje přístupové údaje k testovacímu serveru. Freelancer potřebuje API klíč, který jste pro něj vygenerovali.

Otázkou nikdy není, zda heslo sdílet budete. Otázkou je, jak ho sdílet, aniž byste způsobili bezpečnostní katastrofu.

Tento průvodce rozebírá čtyři praktické metody bezpečného sdílení hesel, porovnává je vedle sebe a nabízí jednoduché pravidlo, které výrazně snižuje riziko.

Proč se sdílení hesel nedá vyhnout

Vzpomeňte si na poslední měsíc. Kolikrát jste s někým sdíleli nějaké přihlašovací údaje?

• Hesla k Wi-Fi pro hosty, návštěvníky z Airbnb nebo kolegy ve sdílené kanceláři
• Přihlášení ke streamovacím službám s členy rodiny nebo blízkými přáteli
• Přístupové údaje k serverům nebo hesla k databázím sdílená ve vývojovém týmu
• API klíče předané dodavatelům nebo zapojené do nástrojů třetích stran
• PIN kódy k bankovním kartám nebo bezpečnostní kódy sdílené s partnerem pro případ nouze

Hesla už dávno nejsou jen osobním tajemstvím. V soukromém i pracovním životě jsou sdíleným majetkem. Skutečným problémem není samotné sdílení, ale způsob, jakým se to dělá.

3 největší rizika nebezpečného sdílení hesel

Než se podíváme na řešení, je dobré pochopit, co se může pokazit.

1. Historie chatu se stává trvalou slabinou

Když heslo pošlete přes Slack, WhatsApp nebo e-mail, zůstane v historii konverzace navždy. Pokud je některý z účtů o několik měsíců později kompromitován, staré heslo je zcela odhalené. Úniky dat z komunikačních platforem nejsou teorie. Dějí se pravidelně.

2. Snímky obrazovky a přeposílání nemáte pod kontrolou

Jakmile zprávu odešlete, nemáte kontrolu nad tím, co se s ní stane. Příjemce si může udělat snímek obrazovky, přeposlat ji někomu dalšímu nebo nechat telefon odemčený. Heslo ve zprávě v podobě prostého textu dělí od úniku jediný okamžik nepozornosti.

3. Bez vypršení platnosti je heslo odhalené natrvalo

Většina sdílených hesel se nikdy nezmění. Heslo k Wi-Fi, které jste před půl rokem poslali zprávou? Pořád leží v konverzaci. Přístupové údaje k AWS, které jste poslali e-mailem freelancerovi, jenž už projekt dokončil? Pořád má v doručené poště. Bez vypršení platnosti je každé sdílené heslo časovaná bomba.

Metoda 1: Odkazy chráněné heslem

Tento přístup odděluje obsah od klíče k přístupu. Vytvoříte odkaz, který obsahuje citlivé informace, ale samotný odkaz jde otevřít jen s heslem.

Jak to funguje:

1. Zapište přihlašovací údaje do nástroje pro zabezpečené poznámky
2. Nastavte pro odkaz heslo
3. Odkaz pošlete jedním kanálem (např. e-mailem)
4. Heslo pošlete jiným kanálem (např. SMS)
5. Volitelně nastavte dobu platnosti

Příklad: LOCK.PUB umožňuje vytvořit tajnou poznámku chráněnou heslem. Zapíšete přihlašovací údaje, nastavíte heslo, přidáte libovolnou dobu platnosti (Pro) a získáte odkaz ke sdílení. Příjemce k zobrazení obsahu potřebuje heslo a po nastavené době platnost odkazu automaticky vyprší.

Výhody: Není potřeba instalovat aplikaci. Funguje na všech zařízeních. Automatické vypršení platnosti. Dvoufaktorový přístup (odkaz + heslo).

Nevýhody: Heslo je nutné předat zvlášť. Jednosměrná komunikace (není interaktivní).

Metoda 2: Funkce sdílení ve správcích hesel

Všechny velké správce hesel dnes nabízejí funkci sdílení. Místo posílání samotného hesla sdílíte přístup přes šifrovaný trezor správce hesel.

Jak to funguje:

1. Uložte přihlašovací údaje do svého správce hesel (1Password, Bitwarden, LastPass, Dashlane; bezplatnou verzi mají už jen Bitwarden a LastPass)
2. Pomocí vestavěné funkce sdílení udělte přístup konkrétní osobě
3. Příjemce si údaje zobrazí ve vlastním účtu správce hesel
4. Přístup můžete kdykoli odebrat

Výhody: Nejvyšší úroveň zabezpečení. Na firemních plánech záznam o tom, kdo k čemu přistupoval. Snadné odebrání přístupu. Přihlašovací údaje zůstávají přehledně uspořádané.

Nevýhody: Obě strany potřebují stejného správce hesel (nebo aspoň účet v něm). Měsíční předplatné. Pro jednorázové sdílení zbytečně složité. Pro méně technicky zdatné uživatele nutnost se to naučit.

Metoda 3: Zprávy s koncovým šifrováním

Aplikace jako Signal nabízejí skutečné koncové (end-to-end) šifrování, což znamená, že vaše zprávy nemůže číst ani poskytovatel služby.

Jak to funguje:

1. Obě strany si nainstalují Signal (nebo jinou aplikaci s koncovým šifrováním)
2. Heslo pošlete přes šifrovaný chat
3. Volitelně použijte mizející zprávy, které se po nastavené době automaticky smažou

Výhody: Komunikace v reálném čase. Silné šifrování. K dispozici mizející zprávy. Zdarma.

Nevýhody: Obě strany potřebují aplikaci. Historie chatu může v zařízeních zůstat, pokud ji ručně nesmažete. Snímky obrazovky jsou stále možné. Závisíte na zabezpečení zařízení příjemce.

Metoda 4: Samodestruktivní poznámky

Jde o poznámky, které po jednom zobrazení nebo po uplynutí nastavené doby přestanou jít otevřít.

Jak to funguje:

1. Zapište citlivé informace do služby pro samodestruktivní poznámky
2. Získejte jedinečný odkaz
3. Odkaz pošlete příjemci
4. Jakmile si poznámku přečte (nebo jakmile vyprší její platnost), přestane jít otevřít

Příklad: S LOCK.PUB Pro můžete nastavit, aby šla tajná poznámka otevřít jen jednou, nebo jí dát krátkou dobu platnosti (třeba jen 5 minut). V kombinaci s ochranou heslem tak získáte jednorázovou poznámku, kterou si lze přečíst jen po ověření. Jakmile si ji příjemce přečte nebo uplyne doba platnosti, odkaz už nepůjde otevřít.

Výhody: V chatu ani v e-mailu nezůstane žádná kopie. Minimální nastavení. Není potřeba aplikace. Velmi nízké riziko dlouhodobého odhalení.

Nevýhody: Pokud si ji příjemce nepřečte včas, přijde o přístup. Nehodí se pro přihlašovací údaje, které je třeba opakovaně dohledávat.

Srovnávací tabulka

Vlastnost	Odkazy chráněné heslem	Správci hesel	Zprávy s koncovým šifrováním	Samodestruktivní poznámky
Snadnost použití	Velmi snadné	Středně náročné	Snadné	Velmi snadné
Úroveň zabezpečení	Vysoká	Velmi vysoká	Vysoká	Vysoká
Nutná instalace aplikace?	Ne	Ano (obě strany)	Ano (obě strany)	Ne
Automatické vypršení?	Ano (Pro)	Ne (ruční odebrání)	Volitelně	Ano
Zdarma?	Ano (LOCK.PUB)	Omezené bezplatné verze	Ano (Signal)	Jen s Pro (LOCK.PUB)
Nejlepší pro	Jednorázové sdílení přihlašovacích údajů	Týmový nebo dlouhodobý přístup	Výměnu v reálném čase	Vysoce citlivá jednorázová tajemství

Osvědčený postup: pravidlo dvou kanálů

Ať zvolíte kteroukoli metodu, dodržujte toto jednoduché pravidlo:

Nikdy neposílejte tajemství a klíč k přístupu stejným kanálem.

Pokud pošlete e-mailem odkaz chráněný heslem, heslo pošlete SMS. Pokud sdílíte přihlašovací údaje přes Slack, dešifrovací klíč pošlete přes Signal. Pokud napíšete poznámku a zamknete ji, zavolejte dotyčnému a heslo mu řekněte ústně.

Tomu se říká pravidlo dvou kanálů a je to nejúčinnější návyk, který si můžete osvojit. I když je jeden kanál kompromitován, útočník má jen polovinu skládačky.

Takhle vypadá tento princip v praxi:

• Odkaz jde e-mailem -> heslo jde přes SMS
• Přihlašovací údaje jdou přes Slack -> přístupový kód jde telefonátem
• URL šifrované poznámky jde přes chat -> dešifrovací heslo jde přes jinou chatovací aplikaci

Pravidlo dvou kanálů promění jakoukoli metodu sdílení z „asi v pořádku“ na „skutečně bezpečné“.

Závěr

Sdílet hesla nikdy nepřestanete. Můžete ale přestat je sdílet lehkomyslně.

Vyberte metodu, která odpovídá vaší situaci. Pro jednorázové předání přihlašovacích údajů někomu, kdo není technicky zdatný, se odkaz chráněný heslem s dobou platnosti těžko překonává. Pro dlouhodobý týmový přístup investujte do správce hesel. Pro rychlou výměnu v reálném čase použijte zprávy s koncovým šifrováním. Pro vysoce citlivá tajemství, která by mělo jít přečíst jen jednou, použijte samodestruktivní poznámku.

Nejdůležitější je zbavit se zvyku vkládat hesla do běžných zpráv v chatu. Jakmile začnete používat kteroukoli z těchto čtyř metod, budete se divit, proč jste to kdy dělali jinak.

Chcete to vyzkoušet? Vytvořte si tajnou poznámku chráněnou heslem na lock.pub – zabere to asi 10 sekund a nepotřebujete žádný účet.

Související: Sdílení tajemství online

Pokud řešíte širší situaci než tento konkrétní případ, přečtěte si hlavního průvodce: Sdílení tajemství online pomocí odkazu chráněného heslem. Na jednom místě pokrývá tajné odkazy, jednorázový přístup, poznámky chráněné heslem, bezpečné sdílení souborů, odkazy s žádostí, vypršení platnosti a potvrzení o přečtení.