Saya berhenti menggunakan pengelola kata sandi dengan cara yang salah dan memperbaiki keamanan saya

Pengelola kata sandi itu hebat, tapi hanya memilikinya saja bukanlah solusi ajaib. Kita sering memperlakukan pengelola kata sandi seperti tombol malas, secara membabi buta menyimpan semua kata sandi di satu tempat. Dan kenapa tidak? Pengelola kata sandi seharusnya aman, dan memang begitu adanya.

Namun, pengelola kata sandi tidaklah sempurna, terutama ketika Anda mempertimbangkan bahwa mereka pada dasarnya merupakan satu titik kegagalan dalam keamanan dan privasi Anda. Pengelola kata sandi, dalam banyak hal, memusatkan risiko Anda, dengan hanya satu kebocoran bisa berpotensi mengekspos semua data Anda. Selain itu, hal ini berlaku untuk pengelola kata sandi apa pun. Apakah Anda menggunakan Bitwarden, 1Password, atau LastPass, Anda harus memastikan bahwa Anda benar-benar melindungi brankas pengelola kata sandi Anda dan tidak secara tidak sengaja meninggalkannya terbuka.

Kata sandi utama lemah

Kata sandi yang kuat hanya seaman kata sandi utama

Kesalahpahaman terbesar tentang pengelola kata sandi adalah bahwa penyedia layanan cloud melindungi data Anda. Mereka tidak; mereka hanya menyimpannya. Satu-satunya yang melindungi data Anda adalah kata sandi utama yang Anda gunakan untuk masuk ke pengelola kata sandi.

Jika seorang penyerang berhasil mencuri brankas terenkripsi Anda — sesuatu yang terjadi pada LastPass beberapa waktu yang lalu — mereka dapat mengambil data itu secara offline. Saat offline, penyerang tidak memiliki batasan kecepatan; mereka hanya perlu memecahkan kunci spesifik Anda.

Itulah sebabnya saya baru-baru ini beralih dari string yang kompleks dan sulit diingat ke frase sandi dengan entropi tinggi yang terdiri dari lima hingga enam kata acak. String seperti iL0V3wh!t3caT5 sulit diingat oleh manusia, tetapi mudah ditebak oleh komputer. Namun, paraphrase seperti Jennifer-Greene-Bing-Holmes sulit ditembus oleh mesin karena panjangnya, tetapi mudah bagi kita untuk diingat dan diketik.

Isi otomatis selalu aktif

Mimpi seorang penyerang phishing

Kami semua senang ketika kami masuk ke halaman login dan melihat kolom-kolom terisi secara otomatis. Rasanya futuristik. Tapi itu merupakan celah keamanan yang besar. Kerentanan ini bergantung pada "kolom tak terlihat" di situs web phishing.

Situs jahat dapat menempatkan formulir login tersembunyi di halaman yang terlihat tidak berbahaya — mungkin berupa email palsu, artikel berita, atau bahkan forum. Jika pengelola kata sandi Anda diatur untuk Mengisi Otomatis saat halaman dimuat, ia akan mendeteksi bidang formulir di dalam kode dan menyisipkan kredensial Anda. Anda mungkin tidak melihatnya, tetapi sebuah skrip di halaman itu bisa menangkap data tersebut saat diisi otomatis.

Untuk menghadapi skenario seperti itu, cara termudah dan teraman adalah menonaktifkan Autofill secara keseluruhan. Sekarang saya menggunakan pintasan keyboard (dalam kasus saya, Ctrl + Shift + L) atau mengklik ekstensi browser secara manual untuk memasukkan kredensial. Ini memastikan saya tetap memegang kendali, sehingga saya bisa memverifikasi keasliannya sebelum memasukkan kredensial saya.

Menyimpan semuanya di satu tempat

Anda sebaiknya tidak menggunakan satu manajer untuk semuanya

Saya dulu menggunakan pengelola kata sandi yang sama untuk semuanya, baik menyimpan kata sandi maupun mengaktifkan 2FA, karena generator kata sandi satu kali berbasis waktu (TOTP) merupakan bagian dari langganan “Pro” atau pengelola yang saya gunakan.

Tapi itu adalah kesalahan yang kita semua lakukan. Ya, menggunakan pengelola kata sandi yang sama untuk mengisi kata sandi dan kode 2FA memang sangat nyaman. Namun, itu pada dasarnya menurunkan tingkat keamanan Anda dari autentikasi dua faktor (2FA) menjadi "autentikasi satu pintu."

Jika seorang penyerang berhasil membobol brankas Anda, mereka memiliki kuncinya (kode sandi) dan faktor kedua (kode TOTP), sehingga 2FA menjadi tidak efektif secara langsung. Ini sangat serius, karena penyerang dapat mengakses hampir semua hal yang tersimpan di pengelola kata sandi, tanpa ada cara bagi kami untuk menghentikannya.

Untungnya, masalah ini memiliki solusi yang sangat sederhana: gunakan aplikasi berbeda untuk manajemen kata sandi dan aplikasi lain untuk 2FA. Saya memindahkan kode 2FA untuk akun penting saya — Email, Perbankan, dan Crypto — keluar dari pengelola kata sandi dan ke dalam aplikasi sumber terbuka khusus (Aegis), dan, jika perlu, ke dalam solusi keamanan berbasis perangkat keras tingkat perusahaan dengan YubiKey.

Pengelola kata sandi itu praktis

Sampai mereka tidak

Gesekan adalah musuh dari mengadopsi hal baru. Dan jelas mematikan autofill, menggunakan parafrase panjang, dan memisahkan 2FA di aplikasi yang berbeda membutuhkan 10 hingga 20 detik lebih. Yang jelas terasa seperti kerepotan besar dibandingkan dengan kemudahan satu kali ketuk menggunakan pengelola kata sandi.

Untuk sebagian besar akun, seperti forum, buletin, atau keanggotaan, biasanya tidak masalah menyimpan semuanya di satu tempat. Jika seseorang meretas Spotify saya, itu menyebalkan tapi tidak mengubah hidup. Itulah sebabnya saya menggunakan pendekatan bertingkat untuk akun penting seperti keuangan, email, dan media sosial.

Keamanan bukan tentang semuanya atau tidak sama sekali; ini tentang mengelola risiko. Anda masih bisa menikmati kenyamanan, hanya hindari hal ini untuk akun yang paling penting.

Pastikan untuk memeriksa manajer kata sandi Anda secara rutin

Setiap kali kita menginstal alat kenyamanan, kita merasa pekerjaan sudah selesai. Tapi sebenarnya belum. Luangkan 15 menit dan rakit kembali pengaturan Anda. Ganti kata sandi utama Anda, hapus semua kata sandi yang berulang, nonaktifkan "Autofill", dan hapus kode 2FA dengan nilai tertinggi dari brankas. Memang, pengelola kata sandi adalah alat yang luar biasa, dan praktis, tetapi hanya jika Anda yang benar-benar mengelolanya.