W poprzednim wpisie z serii "Bezpieczny w sieci" poruszyłem temat bezpieczeństwa naszych haseł i tak jak obiecałem w tym wpisie pokażę jak korzystać z menadżera haseł — Bitwarden.
Menedżery haseł, takie jak Bitwarden, ułatwiają przechowywanie i dostęp do unikalnych i bezpiecznych haseł na wszystkich urządzeniach, dzięki czemu Twoje konta internetowe są bezpieczniejsze niż kiedykolwiek! Korzystając z Bitwarden, nie trzeba niebezpiecznie powtarzać prostych haseł lub pozostawiać ich w niezaszyfrowanych formatach, takich jak arkusze kalkulacyjne, dokumenty lub karteczki samoprzylepne.
Bitwarden
Bitwarden to oprogramowanie typu open source, którego celem jest dostarczenie społeczności użytkowników online łatwo i bezpiecznie zarządzać ich poufnymi informacjami. Bitwarden zaprojektowany został z myślą o użytkownikach najbardziej dbających o bezpieczeństwo, ten menadżer do zarządzania hasłami pomaga osobom, zespołom i organizacjom na całym świecie.
- Dla osób fizycznych : Bitwarden to najbezpieczniejszy sposób ochrony przed kradzieżą haseł poprzez tworzenie silnych, unikalnych haseł i zarządzanie nimi na wszystkich urządzeniach.
- Dla firm : Bitwarden oferuje potężne, bezpieczne zarządzanie hasłami z pełną kontrolą administracyjną w celu spełnienia wymagań zgodności.
Bitwarden działa od 2017 roku i od tego czasu przeszedł już dwa niezależne audyty bezpieczeństwa. Pierwszy odbył się w listopadzie 2018 roku przez firmę zabezpieczającą Cure53 gdzie został pomyślnie zakończony pod względem kodu źródłowego oraz analizy kryptograficznej (Link do raportu audytu). Z kolei drugi audyt odbył się w lipcu 2020 r. a Bitwarden, przeszedł gruntowną ocenę bezpieczeństwa i testy penetracyjne przeprowadzone przez firmę audytorską Insight Risk Consulting (Link do pełnego raportu).
Dzięki Bitwarden wszystkie Twoje dane są w pełni zaszyfrowane, zanim jeszcze opuszczą Twoje urządzenie i tylko Ty masz dostęp do zarządzania nimi. Nawet zespół Bitwarden nie może odblokować chronionych danych. Bitwarden pieczętuje poufne informacje za pomocą szyfrowania end-to-end AES-256 bit, salted hashing i PBKDF2 SHA-256.
Darmowy i Płatny
Podstawowe funkcje Bitwarden są w 100% bezpłatne, w tym nieograniczone przechowywanie loginów, notatek, kart i tożsamości, dostęp do Bitwarden na dowolnym urządzeniu, generator bezpiecznych haseł i wiele innych.
Bitwarden posiada również plan rozszerzony/płatny, który obejmuje:
- 1 GB przestrzeni na zaszyfrowane załączniki.
- Dodatkowe opcje logowania dwustopniowego, takie jak klucze YubiKey, FIDO U2F oraz Duo.
- Dostęp awaryjny
- Raporty bezpieczeństwa haseł, stanu konta i raporty wycieków danych, aby Twoje dane były bezpieczne.
- Generator kodów weryfikacyjnych TOTP (2FA) dla danych logowania w sejfie.
- Priorytetowe wsparcie klienta.
- Wszystkie przyszłe funkcje Premium. Więcej już wkrótce!
Wszystko to jedynie za 10,00 $ /rok + 4$ za każdy dodatkowy GB szyfrowanej przestrzeni.
Bitwarden dla rodziny i firmy
Bitwarden udostępnia warstwę współpracy i udostępniania do zarządzania hasłami dla rodziny, zespołu lub przedsiębiorstwa, umożliwiając bezpieczne udostępnianie wspólnych informacji, takich jak biurowe hasła do sieci wifi, poświadczenia online lub wspólne firmowe karty kredytowe. Bezpieczne udostępnianie za pośrednictwem organizacji jest bezpieczne i łatwe.
Organizacje łączą użytkowników i elementy skarbca w celu bezpiecznego udostępniania loginów, notatek, kart i tożsamości. Organizacjami może być rodzina, zespół, firma lub dowolna grupa osób, która musi bezpiecznie udostępniać dane. Organizacje mają unikalny skarbiec, w którym administratorzy mogą zarządzać elementami, użytkownikami i ustawieniami organizacji.
Darmowy plan pozwala dwóm użytkownikom na bezpieczne współdzielenie danych. Możesz użyć darmowej organizacji, aby udostępnić ją znajomemu lub partnerowi, albo przetestować ją przed uaktualnieniem do innego planu.
Pełny plan rozszerzony/płatny dla organizacji/biznesu znajduje się tutaj
Tworzymy nowe konto
Aby założyć nowe konto, w pierwszej kolejności przechodzimy do strony głównej Bitwarden i klikamy w "Get Started" bądź przechodzimy tam bezpośrednio z tego linku.
Następnym krokiem jest podanie adresu email - zalecam podać najlepszy adres email, jaki posiadamy (bardzo dobrym posunięciem byłoby założenie zupełnie nowego adresu email i ja polecam Szwajcarską skrzynkę ProtonMail, o której również będę pisał w przyszłości) i po założeniu konta zachęcam zmienić hasło na zupełnie nowe wygenerowane losowo przez generator Bitwarden.
I teraz NAJWAŻNIEJSZA RZECZ, a mianowicie Bitwarden korzysta z modelu Zero-Knowledge - Oznacza to, że Bitwarden nie przechowuje (nie zna) Twojego hasła głównego i nie jest w stanie go odzyskać jeżeli utracisz do niego dostęp!
Ostatnią rzeczą w tym kroku jest zweryfikowanie adresu e-mail - logując się do swojego Web Vault i wybierając przycisk Zweryfikuj e-mail znajdujący się w pobliżu prawego górnego rogu.
Dodatkowe informacje o haśle głównym!
Twoje hasło główne to podstawowa i jedyna metoda dostępu do skarbca. Bardzo ważne jest, aby Twoje hasło główne było:
Zapamiętywalne dla Ciebie! - Bitwarden korzysta z rozwiązania typu Zero Knowledge/Zero Trust solution (Zero Wiedzy/Zero Zaufania). Oznacza to, że zespół Bitwarden, jak również same systemy Bitwarden, nie posiadają wiedzy na temat Twojego hasła głównego, oraz nie mają możliwości jego odzyskania ani zresetowania. Dlatego NIE ZAPOMNIJ swojego hasła głównego!
Silne - Im dłuższe, bardziej złożone i rzadziej używane hasło główne, tym bezpieczniejsze będą Twoje dane w skarbcu. Skorzystaj z bezpłatnego narzędzia do testowania siły hasła, aby sprawdzić siłę niektórych haseł wzorcowych, których użycie rozważasz. Ponadto możesz skorzystać z darmowego generatora haseł, gdzie możesz wygenerować hasło alfanumeryczne bądź frazowe.
Bitwarden Web Vault
O teraz masz dostęp do swojego konta w Bitwarden Web Vault. Wiele ważnych funkcji, takich jak ustawianie logowania dwuetapowego czy administrowanie organizacją, można wykonać tylko z poziomu naszego "skarbca internetowego".
Twój skarbiec jest dostępny z każdej nowoczesnej przeglądarki internetowej, po przejściu na stronę vault.bitwarden.com.
Gdy po raz pierwszy zalogujesz się do swojego Web Vault, trafisz do widoku "Mój skarbiec". W tym miejscu znajduje się lista wszystkich Twoich elementów skarbca, w tym loginów, kart, tożsamości i bezpiecznych notatek.
Od tego momentu możesz tworzyć nowe foldery, zapisywać hasła dostępu i wiele, wiele innych!
Rozszerzenia i Aplikacje
Bitwarden integruje zarządzanie hasłami bezpośrednio w Twojej ulubionej przeglądarce, jako aplikacja desktopowa oraz aplikacja mobilna. Odpowiednie dla nas oprogramowanie można pobrać ze strony Bitwarden Downloads.
Poniżej zamieszczam kilka wideo tutoriali, które przejrzyście odpowiadają na najistotniejsze kwestie dotyczące korzystania z tego menadżera haseł w zależności od urządzenia/systemu, na którym chcemy z niego korzystać.
Sprawdź czy Twoje dane zostały naruszone!
Prócz wyżej wymienionych funkcjonalności, nasz menadżer haseł posiada jeszcze dwa bardzo przydatne narzędzia, a mianowicie możemy sprawdzić, czy nasz email, login czy nawet hasło zostało naruszone!
Jak widać na poniższym zrzucie, mój stary adres Gmail został znaleziony w wykradzionych bazach danych! Niestety do wycieku doszło u czołowego producenta portfeli sprzętowych – Ledger… no cóż, bywa i tak…
Aby sprawdzić, czy nasze dotychczasowe hasło znajduje się w jakiejś wykradzionej bazie danych możemy sprawdzić przy dodawaniu/tworzeniu nowego elementu do auto uzupełniania/logowania
Właśnie dzięki temu narzędziu i dostępie Bitwarden'a do tego typu informacji z wykradzionych baz danych dowiedziałem się, że jedno z moich ówcześnie głównych haseł zostało wykryte w 3 wykradzionych bazach danych... Mogę się podzielić, że moim hasłem był mój numer pesel (11 cyfr), niestety jak pokazuje narzędzie do testowania siły hasła, atakującemu wystarczył zaledwie 1 dzień, aby złamać tego typu hasło.
Losowy test haseł
Na koniec chciałem się trochę pobawić i wpisywałem losowe hasła, które przyszły mi do głowy i sprawdzałem je pod kątem tego czy zostały one już wykradzione i znajdują się w dostępnych przez Bitwarden bazach danych. A oto rezultaty mojej zabawy:
- Tomek123 - znajduje się w 309 wykradzionych bazach danych
- tomek123 - 3632 baz danych
- Tomek12345 - 39 baz danych
- Myszka123 - 320 baz danych
- myszka123 - 992 baz danych
- Kotek123 - 124 baz danych
- kotek123 - 1951 baz danych
- Domek123 - 33 baz danych
- domek123 - 735 baz danych
- Klucz123 - 13 baz danych
- qwert12345 - 73606 baz danych
- 12345qwert - 171447 baz danych
- 1qaz2wsx - 787692 baz danych
- Niebiescy123 - 1 baza danych
- niebiescy123 - 5 baz danych
- niebiescy - 408 baz danych
- Niebiescy - 28 baz danych
- legia123 - 628 baz danych
- Legia123 - 55 baz danych
Podsumowując
Jak widzisz drogi czytelniku, Bitwarden posiada wiele atutów przemawiających na jego korzyść.
- Dostępność międzyplatformowa - Łatwy dostęp do danych zapisanych w skarbcu z dowolnego miejsca: przeglądarki i dowolnego urządzenia.
- Chmura lub samodzielne hostowanie - W ciągu kilku minut można uruchomić menadżer haseł w chmurze lub utrzymywać go samodzielnie, uzyskując pełną kontrolę nad danymi
- Audyt bezpieczeństwa i zgodność z przepisami - Otwarte źródło i audyty stron trzecich, zgodność z regulacjami Privacy Shield, GDPR i CCPA.
- Bezpieczne udostępnianie haseł
- Raporty o stanie skarbca
- Zawsze aktualne wsparcie
- Szczegółowe dzienniki zdarzeń
- Elastyczne integracje - Połącz swoje istniejące systemy z Bitwarden za pomocą uwierzytelniania SSO, usług katalogowych lub zaawansowanych interfejsów API.
Oczywiście, ktoś zaraz może powiedzieć, że ten wpis wygląda jak "artykuł sponsorowany" i piszę o tym menadżerze nieobiektywnie. Jednak zapewniam Cię, że nie jest to artykuł sponsorowany, a jest to wyłącznie moja własna inicjatywa, aby podzielić się z Tobą naprawdę solidnym narzędziem do zarządzania naszymi hasłami i innymi notatkami oraz na swój własny sposób wspomóc rozwój tego oprogramowania, z którego chętnie korzystam.
Cała idea Open Source polega właśnie na tym, aby wspólnie tworzyć i rozwijać dane oprogramowanie, które będzie dostępne dla każdego na świecie zupełnie za darmo, a tylko dzięki zaangażowanej społeczności jest to możliwe. Ta sama zasada dotyczy fundamentalnie dobrych projektów na blockchain, tzn. że nawet jeżeli będziesz dysponować najlepszą technologią na świecie, a nie będzie ona miała swojej fundamentalnej społeczności to istnieje niewielka szansa na jego dalszy rozwój : )
Technologia Ethereum obecnie nie jest najlepszą technologią dostarczającą inteligentne umowy, aczkolwiek dzięki fundamentalnie silnej społeczności, ten projekt mógł i może dalej się rozwijać, aby ten problem rozwiązać i zaspokoić potrzeby rynkowe na ich usługę.