Μια μικρή επιχείρηση μπορεί να χρησιμοποιεί δεκάδες διαφορετικούς λογαριασμούς: email, Microsoft 365, λογιστική εφαρμογή, cloud storage, social media, CRM, website, hosting και υπηρεσίες συνεργατών.
Αν οι εργαζόμενοι πρέπει να θυμούνται διαφορετικό ισχυρό password για κάθε υπηρεσία, το πιθανότερο είναι ότι κάποια στιγμή θα αρχίσουν να επαναχρησιμοποιούν κωδικούς, να δημιουργούν προβλέψιμες παραλλαγές ή να τους αποθηκεύουν με μη ασφαλή τρόπο.
Ένα password manager αντιμετωπίζει αυτό το πρόβλημα δημιουργώντας και αποθηκεύοντας διαφορετικά credentials για τους λογαριασμούς του χρήστη. Δεν αποτελεί όμως από μόνο του ολοκληρωμένη στρατηγική identity security και η επιλογή του χρειάζεται προσοχή.
Τι είναι ένα Password Manager;
Το password manager είναι εφαρμογή ή υπηρεσία διαχείρισης credentials. Αντί ο χρήστης να θυμάται όλους τους κωδικούς του, οι κωδικοί αποθηκεύονται σε προστατευμένο vault και μπορούν να συμπληρώνονται όταν χρειάζονται.
Ένας σύγχρονος password manager μπορεί επίσης να δημιουργεί τυχαίους και μοναδικούς κωδικούς, να συγχρονίζει credentials μεταξύ εγκεκριμένων συσκευών και, ανάλογα με τη λύση, να παρέχει επιχειρηματικές λειτουργίες διαχείρισης και ασφαλούς sharing.
Η βασική αξία είναι απλή: ο εργαζόμενος δεν χρειάζεται να επινοεί και να θυμάται διαφορετικό password για κάθε λογαριασμό.
Γιατί η επαναχρησιμοποίηση Password είναι επικίνδυνη;
Αν το ίδιο password χρησιμοποιείται σε πολλές υπηρεσίες, η παραβίαση ενός λογαριασμού μπορεί να δημιουργήσει κίνδυνο και για τους υπόλοιπους.
Ένας επιτιθέμενος μπορεί να δοκιμάσει credentials που έχουν διαρρεύσει από μία υπηρεσία σε άλλους λογαριασμούς. Η χρήση διαφορετικού password σε κάθε υπηρεσία περιορίζει αυτή τη δυνατότητα.
Το NIST αναγνωρίζει ακριβώς αυτή τη χρήση των password managers: μπορούν να βοηθήσουν τους χρήστες να διατηρούν ξεχωριστά passwords για διαφορετικές υπηρεσίες, μειώνοντας τον κίνδυνο από password reuse.
Ποια είναι τα βασικά πλεονεκτήματα;
1. Μοναδικό Password για κάθε λογαριασμό
Ο password manager μπορεί να δημιουργεί διαφορετικό τυχαίο password για κάθε υπηρεσία. Έτσι δεν χρειάζεται ένας εργαζόμενος να χρησιμοποιεί το ίδιο credential σε email, CRM, cloud storage και άλλους λογαριασμούς.
2. Λιγότερα passwords που πρέπει να θυμάται ο χρήστης
Η καθημερινή χρήση γίνεται ευκολότερη επειδή ο χρήστης δεν χρειάζεται να απομνημονεύει δεκάδες διαφορετικά credentials.
Αυτό επιτρέπει στην επιχείρηση να αποφεύγει πρακτικές όπως passwords σε σημειώσεις, spreadsheets ή επαναχρησιμοποιούμενες παραλλαγές του ίδιου κωδικού.
3. Καλύτερη διαχείριση εταιρικών credentials
Σε ένα business password-management περιβάλλον μπορούν, ανάλογα με τη λύση, να υπάρχουν οργανωμένα vaults, policies, έλεγχος πρόσβασης και δυνατότητες ασφαλούς sharing.
Αυτό είναι σημαντικό όταν μια ομάδα χρειάζεται πρόσβαση σε έναν λογαριασμό που δεν υποστηρίζει προσωπικούς εταιρικούς χρήστες ή σύγχρονο identity federation.
4. Μείωση της ανάγκης να πληκτρολογείται ο κωδικός
Το autofill μπορεί να μειώσει τη χειροκίνητη αντιγραφή και πληκτρολόγηση credentials. Δεν πρέπει όμως να θεωρείται από μόνο του phishing-resistant authentication.
Για υπηρεσίες που υποστηρίζουν πραγματικό phishing-resistant sign-in, τα passkeys και άλλες κατάλληλες FIDO-based μέθοδοι αποτελούν διαφορετική και ισχυρότερη κατηγορία authentication.
Ποια είναι τα μειονεκτήματα;
Η συγκέντρωση πολλών credentials σε ένα vault δημιουργεί και σημαντικές απαιτήσεις ασφάλειας.
Το vault είναι υψηλής αξίας στόχος
Αν ένας επιτιθέμενος αποκτήσει επιτυχώς πρόσβαση στο password vault ενός χρήστη, οι συνέπειες μπορεί να είναι σοβαρές επειδή εκεί συγκεντρώνονται credentials για πολλές υπηρεσίες.
Για αυτό η ασφάλεια του password manager δεν πρέπει να αντιμετωπίζεται όπως η ασφάλεια ενός συνηθισμένου λογαριασμού χαμηλής αξίας.
Η ανάκτηση πρόσβασης χρειάζεται σχεδιασμό
Η επιχείρηση πρέπει να γνωρίζει τι συμβαίνει αν ένας εργαζόμενος χάσει την πρόσβαση στον λογαριασμό ή στις συσκευές του.
Ένα recovery mechanism που είναι υπερβολικά εύκολο μπορεί να δημιουργεί δρόμο παράκαμψης των ισχυρότερων authentication controls. Από την άλλη, μια διαδικασία χωρίς κατάλληλο recovery μπορεί να προκαλέσει επιχειρησιακό πρόβλημα όταν χαθεί η πρόσβαση.
Η σωστή ισορροπία πρέπει να αξιολογείται πριν από την εγκατάσταση της λύσης.
Υπάρχει εξάρτηση από έναν κρίσιμο provider
Ένα business password manager γίνεται σημαντικό μέρος της identity υποδομής. Πριν την επιλογή του χρειάζεται αξιολόγηση του provider, των security controls, των επιλογών recovery, της διαχείρισης συσκευών και της δυνατότητας εξαγωγής ή μεταφοράς των credentials αν στο μέλλον χρειαστεί αλλαγή λύσης.
Είναι ασφαλές να έχετε όλους τους κωδικούς σε ένα σημείο;
Αυτή είναι ίσως η σημαντικότερη ερώτηση.
Η συγκέντρωση credentials αυξάνει την αξία του vault ως στόχου. Από την άλλη πλευρά, η εναλλακτική πρακτική — επαναχρησιμοποίηση passwords, προβλέψιμοι κωδικοί ή αποθήκευσή τους σε μη ασφαλή αρχεία — μπορεί να δημιουργεί ακόμη μεγαλύτερο καθημερινό κίνδυνο.
Επομένως η σωστή ερώτηση δεν είναι αν υπάρχει μηδενικός κίνδυνος. Είναι αν η λύση μειώνει τον συνολικό κίνδυνο της επιχείρησης και αν το ίδιο το password-management environment προστατεύεται κατάλληλα.
Πώς πρέπει να προστατεύεται το Password Manager;
Το account που προστατεύει το vault χρειάζεται ιδιαίτερη προσοχή.
- Χρησιμοποιήστε ισχυρό authentication για την πρόσβαση στο password manager.
- Ενεργοποιήστε MFA όταν η λύση το υποστηρίζει.
- Προστατεύστε ιδιαίτερα το βασικό credential ή recovery mechanism.
- Περιορίστε administrative access στο business environment.
- Αφαιρείτε άμεσα την πρόσβαση εργαζομένων που αποχωρούν.
- Ελέγχετε τις συσκευές από τις οποίες επιτρέπεται η πρόσβαση, όπου η λύση παρέχει τέτοιους ελέγχους.
- Παρακολουθείτε security events και administrative changes όταν παρέχεται σχετικό logging.
Η ακριβής υλοποίηση εξαρτάται από τις δυνατότητες του συγκεκριμένου προϊόντος και το identity architecture της επιχείρησης.
Password Manager και MFA: Χρειάζονται και τα δύο;
Ναι, όταν εξακολουθείτε να χρησιμοποιείτε password-based λογαριασμούς, οι δύο τεχνολογίες επιλύουν διαφορετικά προβλήματα.
Το password manager βοηθά να δημιουργούνται και να διατηρούνται διαφορετικά credentials. Το MFA προσθέτει πρόσθετη απαίτηση authentication ώστε η γνώση ενός password να μην αρκεί απαραίτητα για πρόσβαση.
Το ίδιο το password manager πρέπει επίσης να προστατεύεται με ισχυρό authentication και MFA όπου υποστηρίζεται.
Παράλληλα, η επιχείρηση πρέπει να γνωρίζει ότι δεν είναι όλες οι μορφές MFA εξίσου ανθεκτικές στο phishing. Όπου είναι εφικτό, phishing-resistant authentication αποτελεί ισχυρότερη κατεύθυνση.
Password Manager ή Passkeys;
Δεν χρειάζεται να επιλέξετε απαραίτητα το ένα ή το άλλο.
Τα passkeys είναι τεχνολογία αντικατάστασης passwords βασισμένη στα πρότυπα FIDO. Χρησιμοποιούν κρυπτογραφικά credentials και είναι σχεδιασμένα ώστε να είναι phishing-resistant.
Όταν μια επιχειρηματική υπηρεσία υποστηρίζει κατάλληλα passkeys, μπορούν να εξαλείψουν την ανάγκη χρήσης password για το συγκεκριμένο sign-in.
Ωστόσο, πολλές επιχειρήσεις εξακολουθούν να διαθέτουν εφαρμογές που απαιτούν passwords. Για αυτές τις εφαρμογές, ένα password manager παραμένει χρήσιμο.
Επιπλέον, η διάκριση μεταξύ των δύο τεχνολογιών γίνεται μικρότερη σε επίπεδο διαχείρισης: ένας credential manager μπορεί πλέον να λειτουργεί ως passkey provider και να αποθηκεύει ή να συγχρονίζει passkeys, ανάλογα με την πλατφόρμα και τη λύση.
Δείτε επίσης τον οδηγό της DataShield για τα passkeys και την αντικατάσταση των παραδοσιακών passwords.
Browser Password Manager ή Dedicated Business Password Manager;
Δεν υπάρχει μία απάντηση που να είναι σωστή για κάθε επιχείρηση.
Ένας ενσωματωμένος credential manager του browser ή του λειτουργικού συστήματος μπορεί να καλύπτει αποτελεσματικά προσωπικά ή απλούστερα use cases.
Μια επιχείρηση όμως μπορεί να χρειάζεται πρόσθετες δυνατότητες όπως:
- κεντρικό administration,
- διαχείριση χρηστών και ομάδων,
- business vaults,
- ελεγχόμενο sharing,
- policies,
- audit ή security logs,
- διαδικασίες onboarding και offboarding,
- enterprise recovery,
- ενσωμάτωση με την υπάρχουσα identity υποδομή.
Αν αυτές οι δυνατότητες είναι απαραίτητες, η αξιολόγηση πρέπει να γίνει με επιχειρηματικά και security κριτήρια και όχι μόνο με βάση το πόσο εύκολο είναι το autofill.
Τι να ελέγξετε πριν επιλέξετε Password Manager;
Μην ξεκινήσετε από το ποιο προϊόν είναι πιο γνωστό. Ξεκινήστε από τις απαιτήσεις της επιχείρησης.
- Security architecture: πώς προστατεύονται και κρυπτογραφούνται τα vault δεδομένα;
- Authentication: ποιες μέθοδοι MFA ή phishing-resistant authentication υποστηρίζονται;
- Recovery: τι συμβαίνει όταν ένας χρήστης χάσει πρόσβαση;
- Administration: μπορείτε να διαχειρίζεστε κεντρικά χρήστες, ομάδες και policies;
- Sharing: πώς μοιράζονται εταιρικά credentials χωρίς να αποκαλύπτονται ανεξέλεγκτα;
- Offboarding: τι συμβαίνει στα εταιρικά credentials όταν αποχωρήσει εργαζόμενος;
- Logging: υπάρχουν επαρκή audit και security events για τις ανάγκες σας;
- Devices: πώς ελέγχεται η πρόσβαση από νέες ή μη εγκεκριμένες συσκευές;
- Portability: υπάρχει ασφαλής διαδικασία export ή migration αν αλλάξετε provider;
- Passkeys: μπορεί η λύση να ενταχθεί στη μελλοντική passwordless στρατηγική σας;
Τι γίνεται με Shared Accounts;
Η καλύτερη λύση είναι συνήθως κάθε εργαζόμενος να διαθέτει προσωπικό εταιρικό account, ώστε να υπάρχουν σαφής ταυτότητα, ατομικά permissions και δυνατότητα ανάκλησης πρόσβασης.
Υπάρχουν όμως legacy εφαρμογές και υπηρεσίες που εξακολουθούν να χρησιμοποιούν κοινά credentials.
Σε αυτές τις περιπτώσεις ένα business password manager μπορεί να είναι ασφαλέστερος τρόπος διαχείρισης από την αποστολή του password μέσω email, chat ή spreadsheet. Αυτό όμως δεν μετατρέπει τα shared accounts σε ιδανική αρχιτεκτονική.
Όπου μια υπηρεσία υποστηρίζει προσωπικούς χρήστες, roles, SSO ή άλλο κατάλληλο identity model, αυτά πρέπει να αξιολογούνται αντί της μόνιμης εξάρτησης από shared passwords.
Τι συμβαίνει όταν αποχωρεί ένας εργαζόμενος;
Το offboarding είναι ένας από τους σημαντικότερους λόγους για τους οποίους το password management πρέπει να αντιμετωπίζεται ως εταιρική διαδικασία και όχι ως προσωπική επιλογή του κάθε εργαζομένου.
Όταν κάποιος αποχωρεί, η επιχείρηση πρέπει να μπορεί να:
- αφαιρέσει την πρόσβασή του στο εταιρικό password-management environment,
- ελέγξει ποια shared credentials χρησιμοποιούσε,
- αλλάξει credentials όπου υπάρχει πραγματική ανάγκη,
- διασφαλίσει ότι κρίσιμα εταιρικά credentials δεν παραμένουν μόνο σε προσωπικό vault,
- ανακαλέσει άλλες σχετικές εταιρικές προσβάσεις.
Η διαδικασία αυτή πρέπει να αποτελεί μέρος του συνολικού identity lifecycle της επιχείρησης.
Πότε ένα Password Manager δεν αρκεί;
Ένα password manager δεν αντικαθιστά:
- MFA ή phishing-resistant authentication,
- least privilege,
- σωστό identity lifecycle,
- endpoint security,
- monitoring,
- security awareness,
- incident response.
Αν ένας λογαριασμός έχει υπερβολικά permissions ή αν ένα παραβιασμένο endpoint επιτρέπει σε έναν attacker να ενεργεί ως ήδη authenticated χρήστης, η ύπαρξη ισχυρού password από μόνη της δεν λύνει το πρόβλημα.
Το password management είναι ένα μέρος της συνολικής στρατηγικής identity και access security.
Πρακτικό Checklist για μια ΜΜΕ
- Χρησιμοποιεί κάθε λογαριασμός διαφορετικό password;
- Έχουν σταματήσει οι εργαζόμενοι να αποθηκεύουν passwords σε spreadsheets και απροστάτευτες σημειώσεις;
- Προστατεύεται ο password manager με MFA ή ισχυρότερη διαθέσιμη μέθοδο;
- Υπάρχει ξεκάθαρη recovery διαδικασία;
- Τα εταιρικά credentials βρίσκονται σε εταιρικό και όχι αποκλειστικά προσωπικό vault;
- Υπάρχει διαδικασία onboarding και offboarding;
- Ελέγχονται τα shared accounts και καταργούνται όπου μπορούν να αντικατασταθούν;
- Υπάρχουν κατάλληλα administrative permissions;
- Έχει αξιολογηθεί η ασφάλεια και η αρχιτεκτονική του provider;
- Χρησιμοποιούνται passkeys ή άλλο phishing-resistant authentication όπου υποστηρίζονται;
Άρα, αξίζει ένα Password Manager για επιχείρηση;
Για μια επιχείρηση που εξακολουθεί να χρησιμοποιεί πολλούς password-based λογαριασμούς, ένα σωστά επιλεγμένο και σωστά προστατευμένο password manager μπορεί να μειώσει σημαντικά τα πρακτικά προβλήματα που οδηγούν σε password reuse και μη ασφαλή αποθήκευση credentials.
Δεν πρέπει όμως να θεωρείται ο τελικός προορισμός της authentication στρατηγικής.
Όπου οι εφαρμογές το επιτρέπουν, SSO και phishing-resistant passwordless authentication μπορούν να μειώσουν ακόμη περισσότερο την εξάρτηση από passwords. Στα υπόλοιπα συστήματα, το password manager παραμένει ένα χρήσιμο control.
Πώς μπορεί να βοηθήσει η DataShield
Η επιλογή password manager δεν πρέπει να γίνεται απομονωμένα από την υπόλοιπη identity υποδομή.
Η DataShield μπορεί να αξιολογήσει τον τρόπο με τον οποίο η επιχείρησή σας διαχειρίζεται accounts, passwords, MFA, administrative privileges, shared credentials και offboarding και να εντοπίσει πού χρειάζεται password management και πού είναι προτιμότερη η μετάβαση σε ισχυρότερες μεθόδους authentication.
Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για να εντοπιστούν αδύναμα σημεία στη διαχείριση identities και εταιρικών προσβάσεων.
Συμπέρασμα
Το password manager λύνει ένα πραγματικό πρόβλημα: οι άνθρωποι δεν μπορούν πρακτικά να θυμούνται μεγάλο αριθμό μοναδικών και ισχυρών passwords.
Για μια επιχείρηση, όμως, η σωστή εφαρμογή απαιτεί περισσότερα από την εγκατάσταση μιας εφαρμογής. Χρειάζεται ασφαλές authentication του vault, σωστό recovery, κεντρική διαχείριση όπου απαιτείται, ελεγχόμενο sharing και οργανωμένο offboarding.
Και καθώς περισσότερες υπηρεσίες υποστηρίζουν passkeys και άλλες phishing-resistant μεθόδους, ο στόχος πρέπει σταδιακά να είναι όχι απλώς η καλύτερη διαχείριση passwords, αλλά η μείωση της εξάρτησης από passwords όπου αυτό είναι τεχνικά εφικτό.
