Jak przekonałem rodziców, żeby przestali zapisywać hasła w zeszycie

Zeszyt był w kratkę, miał zieloną okładkę i leżał w szufladzie pod telewizorem. Na pierwszej stronie: bank, poczta, „ten portal od prądu”. Na ostatniej: dopisane długopisem nowe wersje tych samych haseł, bo „system kazał zmienić”. Znacie to? Ja znam z domu w Wejherowie.

Nie będę udawał, że zeszyt jest najgorszym pomysłem świata. Złodziej z internetu go nie przeczyta, a to spory plus. Problem w tym, że zeszyt rodzi złe nawyki. Skoro każde hasło trzeba przepisać ręcznie, to hasła robią się krótkie, podobne do siebie i pełne imion psów. A jedno hasło w pięciu serwisach to jak jeden klucz do domu, samochodu, piwnicy i skrzynki pocztowej. Wystarczy, że wycieknie z jednego sklepu internetowego, i ktoś próbuje nim otworzyć wszystko po kolei.

Co to w ogóle jest menedżer haseł

Najprościej: sejf na hasła, który sam je wymyśla, pamięta i wpisuje. Ty pamiętasz jedno hasło, to do sejfu. Resztę robi program.

Działa to mniej więcej tak:

• zakładasz konto w sklepie i menedżer proponuje hasło w stylu k7#Rq!vM2p..., którego nie musisz znać,
• przy logowaniu aplikacja podpowiada login i hasło, a ty tylko klikasz,
• menedżer rozpoznaje adres strony, więc na fałszywej stronie banku po prostu niczego nie podpowie. Za to lubię go najbardziej.

Menedżer haseł to ta sama rada, którą od lat powtarzają specjaliści od bezpieczeństwa, w tym CERT Polska: długie, unikalne hasła do każdego serwisu i dodatkowe zabezpieczenie logowania tam, gdzie się da.

Jaki wybrać, żeby nie przekombinować

Są trzy główne drogi i każda jest w porządku:

1. Menedżer wbudowany w telefon i przeglądarkę. Android ma menedżera haseł Google, iPhone ma swój w ustawieniach Apple. Zero instalowania, działa od ręki. Minus: najwygodniej jest, gdy cała rodzina siedzi w jednym świecie, a moi rodzice mają jeden telefon z Androidem i jeden iPhone'a po mojej siostrze.
2. Osobna aplikacja w chmurze, na przykład Bitwarden. Działa na każdym systemie, synchronizuje się między telefonem i komputerem, ma darmowy plan, który dla zwykłego człowieka w zupełności wystarcza.
3. Program trzymający sejf tylko na twoim dysku, na przykład KeePassXC. Świetne dla osób, które nie ufają chmurze, ale wtedy kopię zapasową pliku robisz sam. Dla rodziców odpada, bo ten plik prędzej czy później zginie razem z laptopem.

Wybrałem drugą opcję, bo sam jej używam i mogłem pomagać przez telefon. Jeśli twoi bliscy mają wszystko od jednego producenta, wbudowany menedżer będzie prostszy i też dobry. Lepszy menedżer „gorszy”, ale używany, niż „najlepszy”, którego nikt nie otwiera.

Jak to przeprowadziliśmy, krok po kroku

Całość zajęła dwa weekendy i jedną rozmowę telefoniczną w stylu „a gdzie jest ten kluczyk?”.

Weekend pierwszy: hasło główne i pięć najważniejszych kont

Zaczęliśmy od hasła głównego, czyli jedynego, które trzeba pamiętać. Zamiast Burek1965! zrobiliśmy zdanie z czterech, pięciu niezwiązanych słów, na przykład w stylu „kaloryfer-śpiewa-pod-mostem-wtorki”. Długie, a łatwe do zapamiętania. Tata ćwiczył je przez tydzień, wpisując codziennie rano, zanim wszedł w aplikację.

Potem przenieśliśmy tylko pięć kont: poczta, bank, profil zaufany, konto Google i Facebook mamy. Przy okazji zmieniliśmy tam hasła na nowe, wygenerowane przez menedżer. Reszta zeszytu poczekała.

Dlaczego poczta na początku? Bo przez skrzynkę mailową da się zresetować hasło prawie wszędzie. Ktoś, kto przejmie skrzynkę, klika po kolei „nie pamiętam hasła” w banku, sklepach i portalach, a linki do zmiany przychodzą prosto do niego.

Weekend drugi: weryfikacja dwuetapowa i sprzątanie

Na poczcie, koncie Google i w menedżerze włączyliśmy weryfikację dwuetapową. To dodatkowy krok przy logowaniu: poza hasłem trzeba potwierdzić, że to ty, na przykład kodem z aplikacji w telefonie. Nawet jak ktoś pozna hasło, bez telefonu nie wejdzie.

Resztę kont z zeszytu przenosiliśmy „przy okazji”: loguję się do portalu od prądu, menedżer pyta, czy zapisać, klikam „tak”, a przy następnej wizycie zmieniam hasło na wygenerowane. Po miesiącu zeszyt był pusty w tym sensie, że nic z niego nie było już potrzebne.

Plan awaryjny, czyli co z zeszytem

I tu zaskoczenie: zeszytu nie wyrzuciliśmy. Zmieniliśmy tylko jego rolę.

Zostały w nim trzy rzeczy: hasło główne do menedżera, kody zapasowe do weryfikacji dwuetapowej (serwisy dają je przy włączaniu, żeby dało się wejść, gdy telefon zginie) i informacja, jak odzyskać dostęp. Zeszyt leży w domu, w szufladzie, której nie widać od drzwi. To rozsądny kompromis: w sieci złodziej ma milion prób na sekundę, a do szuflady w Wejherowie musiałby się najpierw włamać.

Druga rzecz: dostęp awaryjny. Część menedżerów pozwala wskazać zaufaną osobę, która w razie problemu może poprosić o dostęp do sejfu. U rodziców tą osobą jestem ja. Warto to ustawić, zanim będzie potrzebne, a nie po fakcie.

Czego pilnować, żeby nie żałować

• Hasło główne musi być jedyne w swoim rodzaju. Nigdzie indziej go nie używasz. Nigdy.
• Nie zapisuj hasła głównego w notatce w telefonie. Kartka w domu tak, notatka zsynchronizowana z chmurą nie.
• Aktualizacje. Menedżer, telefon i przeglądarka mają być aktualne. Większość łatek to właśnie poprawki bezpieczeństwa.
• Nikt normalny nie poprosi o hasło główne. Ani bank, ani ja, ani „pan z pomocy technicznej”. Powtórzyłem to rodzicom tyle razy, że mama zaczęła to mówić przed mną.
• Nie przenoś wszystkiego naraz. Pięć ważnych kont w pierwszym tygodniu to dobry wynik. Sto kont w jeden wieczór to przepis na zablokowane logowanie i frustrację.

Jak rozmawiać z rodzicami, żeby się udało

Nie zacząłem od „wasze hasła są słabe”. Zacząłem od pytania, ile razy w ostatnim roku klikali „nie pamiętam hasła”. Odpowiedź: „no parę razy”. A potem pokazałem, że z menedżerem nie trzeba pamiętać niczego poza jednym zdaniem.

Tacie sprzedałem to jako wygodę, mamie jako bezpieczeństwo. Obu argumentów używałem uczciwie, bo oba są prawdziwe. Pomogło też to, że pierwsze logowania robili sami, a ja siedziałem obok i nic nie dotykałem. Po tygodniu tata oznajmił, że „ten sejf jest całkiem sprytny”. A w zeszłym miesiącu zadzwonił tylko po to, żeby zapytać, jak dodać do niego nowe konto w aptece internetowej. Hasło wygenerował sam.