Recenzja 1Password 2024: Czy to bezpieczny menedżer haseł?

1Password oferuje zabezpieczenia klasy wojskowej

1Password nie cacka się w kwestii ochrony użytkownika. Stosuje 256-bitowe szyfrowanie AES zgodne ze standardami branży oraz zaawansowane protokoły bezpieczeństwa, które chronią hasła i pozostałe ważne dane.

Ucieszyło mnie, że informacje przechowywane w skrytkach 1Password są zabezpieczone szyfrowaniem end-to-end. Program tak naprawdę nie wie co w nim zapisujesz. Tylko ty masz klucz do odszyfrowania przechowanych informacji. Na potrzeby szyfrowania danych, 1Password pozwala również na utworzenie „hasła nadrzędnego”, które nie będzie dostępne dla nikogo poza tobą.

Dodatkowo, kiedy hasło przesyłane jest na serwer 1Password, podlega ochronie protokołów Transport Layer Security (TLS) oraz Secure Remote Password (SRP), co stanowi kolejną warstwę szyfrowania. Oto rozpiska wszystkich zabezpieczeń.

256-bitowe szyfrowanie AES

1Password zabezpiecza dane 256-bitowym szyfrowaniem AES, które banki i instytucje wojskowe powszechnie stosują do ochrony danych. Nie musiałem martwić się, że hakerzy czy cyberprzestępcy wykradną mi hasło.

Hasło nadrzędne i klucz Secret Key

1Password dba o podwójne zabezpieczenie danych. Program poprosił mnie o utworzenie hasła nadrzędnego, którego nikt poza mną nie będzie znał. Dodatkowo, w trakcie rejestracji aplikacja wygenerowała dla mnie klucz Secret Key. Secret Key wykorzystywany jest razem z hasłem nadrzędnym do szyfrowania i odszyfrowywania danych użytkownika. Najbardziej spodobało mi się to, że program automatycznie przekierowywał mnie przez różne punkty kontroli bezpieczeństwa i uwierzytelniania, żeby upewnić się, że moje dane nie wpadną w niepowołane ręce.

1Password wygenerowało dla mnie awaryjny dokument PDF zawierający mój klucz Secret Key i automatycznie zapisało go na moim urządzeniu w trakcie rejestracji. Dzięki temu miałem offline’ową kopię klucza Secret Key. Aby uzyskać dostęp do swoich danych, muszę jednocześnie użyć hasła nadrzędnego i składającego się z 34 znaków klucza Secret Key. Dlatego też nawet jeśli ktoś uzyska dostęp do jednego z nich (ale nie obu) i tak nie dostanie się do moich danych.

Ochrona przed atakami brute force z PBKDF2

1Password wykorzystuje funkcję wyprowadzania klucza, która zabezpiecza konto przed atakami brute force. Kiedy tworzysz hasło nadrzędne, 1Password używa algorytmu lub szyfru, by wygenerować klucz do szyfrowania i deszyfrowania twoich danych. Hakerzy wykorzystują specjalny sprzęt i oprogramowanie, by odgadywać hasła metodą prób i błędów. Taki sposób określa się mianem ataku brute force (albo ataku słownikowego).

1Password używa PBKDF2, by generować klucze odporne na ataki słownikowe. Hasło do twojego konta przechodzi wraz z ciągiem zaburzającym przez PBKDF2-HMAC-SHA256 w 100 000 iteracji. Oznacza to, że nawet hakerzy ze sprzętem o potężnej mocy obliczeniowej (który pozwala na podjęcie milionów prób odgadnięcia hasła) nie będą w stanie odkodować zaszyfrowanych danych w najbliższej przyszłości.

Bezpieczne wprowadzanie i automatyczne blokowanie

1Password zarzeka się, że pola, w których wprowadza się dane do programu, są w pełni odporne na keyloggery, ale moje testy nie do końca to potwierdziły. Keyloggery to programy komputerowe, które rejestrują każde wciśnięcie przycisku na klawiaturze komputera. Hakerzy wykorzystują je, żeby dowiedzieć się co wpisujesz. W ten sposób mogą na przykład poznać twoje hasło.

Na swojej witrynie 1Password twierdzi, że „chroni dane przed keyloggerami” i że „pola do wprowadzania danych w 1Password uniemożliwiają innym narzędziom sprawdzenie co się w nie wpisuje, co dotyczy również hasła nadrzędnego”.

Postanowiłem zainstalować keyloggera na swoim komputerze z systemem Windows i przekonać się czy zarejestruje jakie klawisze wciskam. Niestety program przechwycił wszystko, co wprowadziłem do 1Password, nawet moje hasło nadrzędne. Skontaktowałem się w tej kwestii z obsługą 1Password. Pracownik stwierdził, że doszło do błędu w komunikacji i 1Password tak naprawdę nie chroni urządzeń, które już zostały przejęte.

Odpowiedź pracownika obsługi bardzo mnie zaniepokoiła, zwłaszcza, że na witrynie 1Password wprost napisano, że oprogramowanie chroni użytkowników przed keyloggerami. Zacząłem się przez to zastanawiać czy są jeszcze jakieś kwestie, w których producenci 1Password nie są do końca szczerzy.

Na szczęście 1Password regularnie usuwa dane ze schowka. Dzięki temu nawet jeśli ktoś uzyska dostęp do twojego urządzenia, nie pobierze informacji przechowywanych w schowku. Analogicznie, 1Password chroni przed narzędziami, które próbują wykorzystać dane ze schowka. Dane w schowku usuwane są w ciągu 90 sekund.

Aby upewnić się, że nieuprawnione osoby nie dostaną się do twojej skrytki, 1Password automatycznie blokuje ci dostęp do aplikacji po 10 minutach bezczynności. Możesz dostosować okres, po których uruchamia się automatyczna blokada. Dostępne opcje to od 1 minuty aż po 1 godzinę, ale możesz też wybrać „nigdy”, jeśli chcesz zupełnie dezaktywować funkcję automatycznego blokowania. Ja ustawiłem sobie 5 minut i aplikacja rzeczywiście blokowała mnie po tym okresie, tak jak powinna. Jeżeli korzystasz z Maca z Touch ID, iPada, iPhone’a lub urządzeń z Androidem, możesz wygodnie odblokować aplikację 1Password odciskiem palca.

Ochrona przesyłanych danych z TLS i SRP

1Password zabezpiecza dane w trakcie przesyłu z urządzenia na serwer, korzystając z protokołów TLS i SRP (Secure Remote Password). To dodatkowa warstwa ochrony, która uniemożliwia hakerom przechwycenie danych (i hasła) w trakcie przesyłu. Wrażenie zrobiło na mnie również to, że 1Password działa tylko na zaufanych przeglądarkach. Dzięki temu nie udostępni danych przeglądarce, w której wprowadzono jakieś podejrzane modyfikacje.

Uwierzytelnianie dwuetapowe (2FA)

1Password oferuje też inne niezbędne zabezpieczenia. Jest na przykład kompatybilny ze stronami stosującymi uwierzytelnianie dwuetapowe (2FA). Możesz skorzystać z Authy lub Microsoft Authenticator, by potwierdzić logowanie do aplikacji 1Password. 1Password pozwala też na sprawdzanie stron, które wspierają 2FA i przechowywanie kodów uwierzytelniania w 1Password.

Ucieszyłem się, że 1Password prosiło mnie o potwierdzenie przed wypełnieniem formularzy na stronach. To oznacza, że witryny nie mogą wykorzystać niewidzialnych formularzy, by wykraść dane. 1Password chroni też przed witrynami wyłudzającymi informacje, które tworzą klony stron internetowych, by wykradać dane.

Postanowiłem to przetestować. Zapisałem dane logowania na domenie Facebooka, wszedłem na stronę Yahoo i spróbowałem automatycznie uzupełnić pola z danymi logowania. 1Password nie uzupełniło pól, ponieważ w moim banku haseł nie zapisano żadnych danych logowania powiązanych z domeną Yahoo.

Prywatność – Stosowanie open-source’owych formatów danych

Twórcy 1Password mają ewidentną obsesję na punkcie prywatności. Hasła do konta i pozostałe dane przechowywane w skrytce są poufne i szyfrowane end-to-end. 1Password stosuje dwa open-source’owe formaty danych, OPVault i swoje własne Agile Keychain. Dzięki temu dane są bezpiecznie zsynchronizowane po stronie serwera, a każdy zainteresowany może uzyskać wgląd do architektury zabezpieczeń. Apple iCloud i Dropbox stosują taki sam rodzaj otwartego formatu danych.

Firma współpracuje też z „Privacy”, zewnętrzną aplikacją, która umożliwia tworzenie prywatnych czy też wirtualnych kart, które maskują prawdziwe dane karty kredytowej podczas zakupów przez Internet.

1Password przeszło w ostatnich latach kilka niezależnych audytów, przeprowadzonych przez Cure53, AppSec, Bugcrowd, CloudNative, Nvisium, Onica oraz Independent Security Evaluators (ISE). 1Password posiada certyfikację SOC 2 Type 2. To potwierdza, że bezpiecznie zarządza danymi, by chronić dobro i prywatność klientów. Mimo wszystko fajnie byłoby, gdyby 1Password udało się uzyskać certyfikat ISO 27001 (tak jak np. Keeper), potwierdzający wyższy poziom zarządzania cyfrowymi bankami danych.

Wypróbuj 1Password za darmo przez 14 dni