Uložená hesla ve vašem prohlížeči nejsou vůbec tak bezpečná, jak si myslíte

Webové prohlížeče se staly výchozím správcem hesel pro většinu lidí. Spravedlivě řečeno, ve většině případů si důvěru zasloužily; Chrome, Firefox, Opera, Brave a další populární prohlížeče učinily obrovské pokroky v bezpečnosti hesel v prohlížečích.

Ale stále existuje velký rozdíl mezi "bezpečnější než dříve" a "dostatečně bezpečné, aby se na to dalo úplně spolehnout." Ukládání hesel v prohlížeči vás velmi dobře chrání proti některým hrozbám. Ale proti jiným si nevede tak dobře.

Správci hesel v prohlížeči jsou velmi pohodlní

To je součást problému

Největším důvodem, proč někdo používá správce hesel v prohlížeči, je pohodlí. Chápu to; používal jsem ho roky. Vestavěný správce hesel v Chromu byl můj domov, i když jsem věděl o všech jeho rizicích a problémech.

Odstranění jakékoli úrovně tření při zabezpečování hesel znamená, že většina lidí pochopitelně zvolí nejjednodušší cestu. Časem si nahromadíte stovky přihlášení pro různé weby a služby a váš Google účet vás sleduje, vždy se objeví, když ho potřebujete.

Čím více o tom píšu, tím jasnější je, proč tolik lidí přirozeně používá správce hesel v prohlížeči. Tématu tohoto článku zrovna nezískávám popularitu — ale ujišťuji vás, že je toho víc.

Největším problémem nemusí být vždy samotný správce hesel v prohlížeči. Většinou jsou bezpeční, používají přihlášení vašeho zařízení jako formu ochrany a mnoho správců hesel v prohlížeči nabízí bezpečné lokální šifrování.

Váš prohlížeč předpokládá, že váš počítač je zabezpečený

Víte, co se říká o předpokladech

Největším problémem správců hesel v prohlížeči je, že předpokládají, že vše kolem vás je bezpečné. Vkládají obrovskou důvěru do bezpečnosti vašeho účtu v operačním systému a používají ho jako hlavní metodu pro ochranu vašeho účtu.

Většina prohlížečů zobrazí uložená hesla po rychlé kontrole autentizace systému, například pomocí vašeho Windows PINu nebo Windows Hello, vašeho hesla pro macOS, otisku prstu atd. Není to nepřiměřená úroveň očekávání.

Ale problém je v tom, že nebiometrické metody se v některých případech snadno prolomí, zejména pokud použijete slabé, snadno zapamatovatelné heslo, aby bylo přihlašování jednoduché. Biometrické metody je mnohem těžší napodobit, i když jsme viděli lidi, kteří odemykali zařízení pomocí masek (nebo mladí lidé používající tvář Normana Reeduse k obcházení online ověřování věku).

Jsou tu také ty zapomnětlivé okamžiky, které si jsem jistý, že každý čas od času zažil. Obvykle si opravdu dobře pamatuji, že mám stisknout CTRL + L, když odcházím od svého notebooku v kavárně. Ale jsme všichni lidé a lidé dělají hloupé věci. Pamatuji si, že jsem nechal svůj notebook odemčený na velké technologické akci v tiskové místnosti. Předpokládal bych, že většina lidí tam je docela správně smýšlející a okamžitě nevyskočí, aby ukradla data z mého notebooku. Ale nikdy nevíte, a to je část problému s prohlížečovými správci hesel.

Malware se nestará o to, jak silné je vaše heslo

Složitost je problém pro lidi, ne pro počítače

Mnoho bezpečnostních rad se zaměřuje na vytváření silnějších hesel, a abych byl jasný, to je naprosto důležité. Používání unikátních hesel pro každý účet zůstává jednou z nejlepších věcí, které můžete udělat pro zlepšení své bezpečnosti, zejména když úniky dat zůstávají téměř neustálou událostí. Správci hesel v prohlížečích zde velmi pomáhají, protože odstraňují potřebu pamatovat si desítky či dokonce stovky přihlašovacích údajů sami.

Problém je v tom, že útočníci už stále více nepotřebují vaše skutečné heslo. Malware kradoucí informace se stal jednou z největších hrozeb pro uživatele prohlížečů, protože prohlížeče ukládají obrovské množství užitečných informací, nejen přihlašovací údaje. Autentizační cookies, platební informace, relace prohlížení a uložená přihlášení se mohou stát cíli v závislosti na typu malwaru.

Monitorování schránky je další úhel pohledu. Pokud kopírujete hesla odkudkoli — i z dedikovaného správce — malware na vašem systému je může zachytit dříve, než se dostanou do pole pro přihlášení. Zneužití rozšíření prohlížeče je podobně podceňováno; škodlivé nebo kompromitované rozšíření má významný přístup k tomu, co váš prohlížeč vidí a co dělá.

Účty v prohlížeči se také staly stále cennějšími cíli, protože často odemykají mnohem více než jen historii prohlížení. Kompromitovaný účet prohlížeče může potenciálně odhalit uložená hesla, platební informace, údaje pro automatické vyplňování, synchronizované záložky a další data, v závislosti na tom, co se rozhodnete uložit. Moderní prohlížeče zahrnují bezpečnostní ochrany kolem synchronizace a funkce jako vícefaktorové ověřování velmi pomáhají, ale nejsou automatickým řešením pro každou situaci.

Synchronizace prohlížeče může způsobit neúmyslné bezpečnostní problémy

Jak často kontrolujete, kde jste přihlášeni?

Část toho, co dělá správce hesel v prohlížeči tak užitečným, je to, že odstraňují překážky v každodenním životě. Celý den neustále přecházím mezi zařízeními, a mít hesla, karty, historii prohlížení a přihlašovací údaje, které mě automaticky následují, šetří obrovské množství času. Je to jeden z důvodů, proč Google Chrome zůstal mým výchozím prohlížečem po mnoho let, i přes některé problémy, o kterých jsem psal jinde.

Nevýhodou je, že vaše úložiště hesel je nyní rozšířeno na všechna zařízení, kde je váš účet prohlížeče aktivní. Někdo jiný používající tento počítač by mohl náhodně získat přístup ke všem vašim heslům, i když jste byli na svém hlavním zařízení vědomě zaměřeni na bezpečnost.

Specializované správce hesel přinášejí bezpečnostní vrstvy, které opravdu potřebujete

Bezpečnost je jako lahodný dort

Teď, nejde jen o to „správci hesel v prohlížeči jsou špatní, specializovaní správci hesel jsou dobří.“ Chci opravdu uznat, že přesun lidí od používání jednoho hesla pro více účtů k správci hesel v prohlížeči je obrovský pokrok. Opravdu: je lepší používat správce hesel v prohlížeči než nemít nic.

Rozdíly mezi prohlížečem a specializovaným správcem hesel jsou však poněkud jemnější, a právě to nakonec tvoří rozdíl.

Nejdůležitější je architektura trezoru. Specializované správce hesel jako Bitwarden, 1Password a Proton Pass používají šifrování s nulovou znalostí, což znamená, že váš trezor je zašifrován na vašem zařízení ještě předtím, než vůbec dorazí na jejich servery. Dokonce ani poskytovatel nemůže vidět vaše hesla. Ukládání hesel v prohlížeči váže váš trezor přímo k vašemu účtu Google, Microsoft nebo Apple — což je pohodlné, ale znamená to, že vaše hesla jsou tak bezpečná, jak bezpečný je tento účet.

Monitorování průniků je další oblastí, kde se specializovaní správci hesel prosazují. Většina z nich vás bude aktivně upozorňovat, když se web, na který máte přihlašovací údaje, objeví ve známém úniku dat, což vás podnítí k okamžité změně postiženého hesla, než ho někdo použije proti vám. Prohlížeče nabízejí základní verzi této funkce, ale specializovaní správci ji obvykle zobrazují výrazněji a reagují na ni rychleji.

Nejbezpečnější možností není jen přestat používat správce hesel v prohlížeči

Pokud jste vázáni na používání správce hesel v prohlížeči a opravdu nechcete přejít na některého z nejlepších specializovaných správců hesel, jako je Bitwarden, alespoň zvýšte svou bezpečnost.

• Povolte MFA na každém účtu, který jej podporuje
• Zamkněte svá zařízení správně — silná přihlašovací hesla, automatické zamykání při nečinnosti
• Zkontrolujte a odstraňte rozšíření prohlížeče, která aktivně nepoužíváte
• Udržujte svůj prohlížeč aktualizovaný
• Zkontrolujte, s jakými zařízeními je váš účet prohlížeče synchronizován
• Používejte přístupové klíče všude, kde jsou k dispozici — zcela obejdou hesla

Jak jsem řekl, správci hesel v prohlížeči dělají dost, takže byste se neměli cítit špatně, že nějakého používáte. Jenže můžete být mnohem bezpečnější s vyhrazeným správcem hesel, a ten odstraňuje ten pocit „dostatečně bezpečné“, což je místo, kde problémy začínají.