Ai uitat parola master? Cum funcționează kitul de recuperare al unui seif de parole criptat

La un cont obișnuit, parola uitată se rezolvă în două minute: apeși „am uitat parola", primești un email și alegi alta. La un seif de parole cu criptare pe dispozitiv, lucrurile stau altfel, iar diferența nu este o neglijență, ci chiar rostul produsului. Dacă furnizorul nu poate citi datele tale, nu le poate nici deschide „în locul tău". Articolul explică ce înseamnă asta în practică, cum funcționează kitul de recuperare din SpokPass și cum îl păstrezi, astfel încât uitarea unei parole să rămână o neplăcere, nu o catastrofă.

De ce nu există „resetare parolă" într-un seif zero-knowledge

În SpokPass, parola master nu pleacă niciodată din browser: nici la înregistrare, nici la autentificare, nici la schimbarea ei. Din ea și din email se derivă local, cu Argon2id (64 MiB de memorie, 3 iterații), o cheie master care nu se stochează nicăieri, nici pe disc, nici pe server. Datele din seif se criptează cu AES-256-GCM, iar serverul primește doar blocuri criptate pe care nu are cheia să le deschidă.

Consecința este simplă și incomodă: dacă o parolă de resetare ar putea deschide seiful, atunci furnizorul (sau cineva care îi sparge sistemele) ar putea face același lucru. Un seif care poate fi resetat de la distanță este, prin construcție, un seif pe care furnizorul îl poate citi. Pentru a putea promite că nimeni în afara ta nu vede datele, trebuie să accepți că nici furnizorul nu te poate salva.

Cum e construit seiful: de ce schimbarea parolei nu recriptează tot

La înregistrare se generează o cheie a seifului, de 32 de octeți aleatori. Toate intrările se criptează cu ea, nu direct cu parola. Pe server ajunge doar această cheie, învelită (criptată) cu o cheie derivată din parola master. Avantajul practic este că schimbarea parolei master reînvelește 32 de octeți, nu recriptează miile de intrări din seif.

Aceeași structură face posibilă și recuperarea: dacă aceeași cheie a seifului poate fi învelită în mai multe feluri, seiful se poate deschide pe mai multe căi independente.

Kitul de recuperare: a doua cale de acces

La crearea contului, browserul generează un cod de recuperare de 128 de biți, în formatul SPOK-XXXX-XXXX-XXXX-XXXX-XXXX-XXXX. Alfabetul exclude literele care se confundă ușor, tocmai pentru ca un cod copiat de pe hârtie să nu fie citit greșit. Codul se afișează o singură dată.

Din el se derivă, tot cu Argon2id, o a doua cheie de învelire, iar cheia seifului se salvează pe server și înfășurată cu ea. Rezultatul: seiful se poate deschide pe două căi independente, cu parola master sau cu kitul de recuperare. Serverul nu poate folosi niciuna dintre ele.

La înregistrare, utilizatorul este obligat să confirme că a salvat kitul. Nu e o formalitate birocratică: este singurul moment în care codul există în clar, iar ulterior nu mai poate fi afișat din nou.

Cele trei situații posibile

• Ai parola master, ai kitul: situația normală. Ai două căi de acces.
• Ai uitat parola master, dar ai kitul: deschizi seiful cu kitul și îți păstrezi datele.
• Ai pierdut și parola, și kitul: datele sunt pierdute definitiv. Nu există a treia cale, pentru că serverul nu are nicio cheie.

Unde păstrezi kitul de recuperare

Regula de bază: kitul se păstrează într-un loc sigur și separat de dispozitivul pe care lucrezi. Dacă laptopul este furat sau stricat, kitul nu trebuie să dispară odată cu el.

• Tipărit sau scris de mână, într-un dosar închis, un sertar cu cheie sau un seif fizic.
• Într-un al doilea loc, dacă datele sunt importante: de exemplu, o copie la o persoană de încredere din conducerea firmei sau a asociației.
• Nu în același loc cu parola master. Dacă cineva ia ambele, are acces complet.
• Nu într-un email, un mesaj, o fotografie în galerie sau un fișier „parole.txt". Exact acolo se caută primul lucru.

Pentru firme, ajută și o regulă scrisă: cine răspunde de kitul fiecărui seif și unde este păstrat. Fără ea, kitul poate să rămână, ca și parolele, doar în capul unui om. Cum ar trebui gestionat accesul când oamenii se schimbă am discutat în articolul despre predarea parolelor la schimbarea administratorului.

Cum alegi o parolă master pe care să nu o uiți

Parola master este singura parolă pe care trebuie să o ții minte, deci este singura care merită efortul de a fi memorabilă. Lungimea contează mai mult decât simbolurile: o frază lungă din cuvinte fără legătură între ele este mai greu de ghicit și mai ușor de reținut decât un șir scurt cu semne speciale. Detaliile sunt în articolul despre parola puternică și generatorul de parole.

• nu o refolosi nicăieri altundeva;
• nu o scrie în același loc cu kitul;
• exersează introducerea ei în primele zile după crearea contului, ca să o fixezi;
• dacă e nevoie, notează un indiciu privat, nu parola întreagă.

Alte protecții care contează pentru acces

Recuperarea nu e singura parte a accesului. Din aceleași principii decurg și alte reguli: după 5 parole greșite contul se blochează 5 ore, iar contorul este ținut în baza de date, nu în memoria unei instanțe. Seiful se blochează automat după 15 minute de inactivitate, implicit, iar cheia seifului trăiește doar în memoria filei de browser, nu într-un loc unde ar rămâne după închidere. Aceste reguli te protejează de cineva care încearcă să ghicească parola sau care găsește un dispozitiv lăsat deschis.

Pentru transparență, 2FA pe contul SpokPass nu există încă; este planificat. Până atunci, apărarea contului stă în parola master lungă și unică și în kitul păstrat cu grijă.

Ce se întâmplă în organizații

În SpokPass, fiecare om are propriul seif, iar în organizații rolurile sunt proprietar, administrator și membru. Administratorul organizației nu poate citi seiful nimănui. Din acest motiv, nici el nu poate „reseta" parola unui coleg și nu poate recupera datele în locul lui. Poate însă să suspende un cont: sesiunile se închid, iar locul se eliberează. Cum se gestionează conturile când cineva pleacă, ai în articolul despre plecarea unui angajat. Un manager de parole pentru firmă trebuie, așadar, însoțit de o regulă clară despre kituri.

Verificare de zece minute

1. Ai kitul tipărit sau scris de mână? Dacă nu l-ai salvat, discută neapărat cu cei responsabili despre cum procedezi cu contul respectiv.
2. Este păstrat separat de laptop și de parola master?
3. Știe o a doua persoană de încredere unde se află, dacă seiful este al firmei?
4. Ți-ai exersat parola master în ultimele zile?
5. Ai un obicei scris pentru cazul în care cineva pleacă din firmă?

Pe scurt

Lipsa butonului „resetează parola" nu este un defect al unui seif criptat pe dispozitiv, ci prețul unei promisiuni: nimeni în afara ta nu poate citi datele. Kitul de recuperare este plasa de siguranță: o păstrezi tipărit, separat de parola master, într-un loc pe care îl cunoști. Cine face asta rămâne cu un seif de parole care apără datele de toți, inclusiv de furnizor, fără să se lase fără acces în ziua în care uită parola.