Recenze 1Password 2024: Je tento správce hesel bezpečný?

1Password nabízí bezpečnostní funkce vojenské úrovně

1Password bezpečnostní opatření bere velmi vážně. Používá standardní 256bitové šifrování AES a pokročilé bezpečnostní protokoly, aby byla vaše hesla a další důležité informace v bezpečí.

S potěšením jsem zjistil, že informace, které ukládám do trezoru 1Password, jsou šifrovány koncovým šifrováním. To znamená, že aplikace neví, co jste do trezoru uložili. Klíč k dešifrování uložených informací máte pouze vy. Pro zašifrování dat vám 1Password umožní vytvořit „hlavní heslo“, které znáte pouze vy.

Kromě toho 1Password zajišťuje, že i při přenosu hesla na cestě k serveru je heslo chráněno protokolem TLS (Transport Layer Security) a SRP (Secure Remote Password), což představuje další vrstvu šifrování. Zde je přehled všech bezpečnostních funkcí tohoto programu.

256bitové šifrování AES

1Password chrání data 256bitovým šifrováním AES, kterému důvěřují i banky a vojenské organizace. Nemusel jsem se bát, že by mi heslo ukradli hackeři nebo kyberzločinci.

Ochrana hlavním heslem a tajným klíčem

1Password mi zajistil dvojí zabezpečení mých dat. Musel jsem si vytvořit hlavní heslo, které jsem znal pouze já. Aplikace také během registrace vygenerovala v mém zařízení tajný klíč. Tento tajný klíč se používá v kombinaci s hlavním heslem k šifrování a dešifrování dat. Nejvíce se mi líbilo, jak jsem byl automaticky přesměrován přes různé úrovně bezpečnostních kontrol a ověřování, aby se mé údaje nedostaly do nesprávných rukou.

1Password také vygeneroval PDF dokument pro nouzové situace, který obsahoval můj tajný klíč, a zároveň automaticky uložil můj tajný klíč do zařízení, pomocí kterého jsem se zaregistroval. Tím je zajištěno, že mám zálohu svého tajného klíče v režimu offline. Pro přístup k datům je nutná kombinace hlavního hesla a 34znakového tajného klíče. Takže i kdyby se někdo dostal k mému hlavnímu heslu nebo tajnému klíči (nikoliv k obojímu), nestačilo by mu to k získání přístupu do mého trezoru.

Ochrana před hrubou silou pomocí PBKDF2

Služba 1Password používá tzv. funkci odvození klíče, která chrání váš účet před útoky hrubou silou. Při vytváření hlavního hesla používá 1Password algoritmus nebo šifru k vygenerování klíče, který se používá k šifrování a dešifrování vašich dat. Hackeři používají speciální počítačový hardware a software při odhalování hesel metodou pokusu a omylu v rámci tzv. útoku hrubou silou (běžně nazývaného také slovníkový útok).

1Password používá ke generování klíčů odolných proti slovníkovým útokům metodu PBKDF2. Heslo k vašemu účtu je přeneseno do protokolu PBKDF2-HMAC-SHA256 se 100 000 iteracemi. To znamená, že ani hackeři se špičkovým výpočetním výkonem (který by jim umožnil miliony pokusů o odhalení hesla) nebudou schopni dešifrovat vaše zašifrovaná data.

Zabezpečený přístup a automatické zamykání

1Password o sobě tvrdí, že zabezpečuje pole, do nichž se zadávají údaje, před takzvanými keyloggery, ale zjistil jsem, že to není tak úplně pravda. Keyloggery jsou počítačové programy, které zaznamenávají každý stisk klávesy v počítači. Pomocí těchto programů lze zjistit, co píšete – včetně vašich hesel.

Na svých webových stránkách 1Password tvrdí, že „chrání vaše údaje před keyloggery“ a že „1Password používá zabezpečená vstupní pole, která zabraňují jiným nástrojům zjistit, co do nich zadáváte, včetně vašeho hlavního hesla.“

Sám jsem to vyzkoušel tak, že jsem do svého počítače se systémem Windows nainstaloval keylogger a zkontroloval, zda jsou mé stisky kláves zaznamenávány. Bohužel byly zaznamenány všechny mé záznamy v aplikaci 1Password a dokonce i hlavní heslo. Kontaktoval jsem kvůli tomu podporu aplikace 1Password a její pracovník mi řekl, že šlo o nedorozumění a že 1Password nechrání již napadená zařízení.

Tato odpověď mě znepokojuje, protože na webových stránkách 1Password je jasně uvedeno, že chrání uživatele před keyloggery. Odpověď mě přiměla přemýšlet o tom, o čem dalším autoři 1Password neříkají celou pravdu.

Pozitivní je, že 1Password také pravidelně odstraňuje informace uložené ve schránce. Pokud tedy někdo získá přístup k vašemu zařízení, nemůže se dostat k informacím ve schránce. Stejně tak vás 1Password chrání před nástroji, které se snaží využít data ve schránce. Informace ve schránce odstraní do 90 sekund.

Aby nikdo neměl neoprávněný přístup k vašemu trezoru, 1Password vás po 10 minutách nečinnosti automaticky odhlásí z aplikace. Můžete si dokonce nastavit časový rámec, ve kterém má k tomuto automatickému uzamčení docházet. Pohybuje se v rozmezí od 1 minuty do 1 hodiny. Rovněž můžete funkci automatického zamykání zcela deaktivovat. Nastavil jsem časový limit na 5 minut a po této době se aplikace skutečně automaticky uzamknula. Aplikaci 1Password můžete také snadno odemknout otiskem prstu na Macu s Touch ID, iPadu, iPhonu a zařízeních se systémem Android.

Ochrana dat při přenosu pomocí TLS a SRP

1Password zabezpečuje vaše data při přenosu ze zařízení na server pomocí protokolu TLS a SRP (Secure Remote Password). Získáte tak další úroveň zabezpečení, která chrání vaše data (a heslo) před zachycením hackery během přenosu dat. Další působivou věcí na 1Password je, že funguje pouze s důvěryhodnými webovými prohlížeči. Tímto způsobem nepředává vaše data prohlížečům, které nejsou důvěryhodné.

Dvoufaktorové ověřování (2FA)

1Password nabízí další důležité bezpečnostní funkce. Podporuje webové stránky s dvoufaktorovým ověřováním (2FA). Pro přihlášení do aplikace 1Password můžete použít Authy nebo Microsoft Authenticator. Aplikace 1Password také umožňuje kontrolovat webové stránky, které podporují 2FA, a ukládat ověřovací kódy do aplikace 1Password.

Potěšilo mě, že 1Password vyžaduje mé potvrzení pro vyplňování formulářů na webových stránkách. To proto, aby se vyhnul webům, které používají neviditelné formuláře ke krádeži vašich údajů. 1Password vás také chrání před phishingovými weby, které vytvářejí klony webových stránek, aby ukradly vaše údaje.

Otestoval jsem to tak, že jsem uložil přihlašovací údaje do domény Facebooku, navštívil webovou stránku společnosti Yahoo a zkusil automaticky vyplnit přihlašovací pole. Aplikace 1Password vstupní pole pro přihlášení nevyplnila, protože v mém trezoru nebylo uloženo žádné přihlašovací jméno vázané na doménu Yahoo.

Ochrana osobních údajů – datové formáty s otevřeným zdrojovým kódem

Aplikace 1Password se důkladně zaměřuje na ochranu soukromí. Heslo k vašemu účtu a data uložená v trezoru jsou soukromá a šifrovaná metodou end-to-end. Služba 1Password používá dva datové formáty s otevřeným zdrojovým kódem, OPVault a svůj vlastní Agile Keychain. Díky tomu jsou vaše data bezpečně synchronizována na straně serveru a kdokoli si může bezpečnostní architekturu podrobně prohlédnout. Tyto otevřené datové formáty jsou stejným typem datového formátu, který používají služby společnosti Apple iCloud a Dropbox.

Společnost také spolupracuje s aplikací třetí strany Privacy, která umožňuje vytvářet soukromé karty nebo virtuální karty, které při nakupování online skrývají původní údaje o kreditní kartě.

V posledních letech proběhlo několik nezávislých auditů aplikace 1Password. Audit provedly společnosti Cure53, AppSec, Bugcrowd, CloudNative, Nvisium, Onica a Independent Security Evaluators (ISE). 1Password je držitelem certifikátu SOC 2 typu 2. To znamená, že bezpečně spravuje data a chrání tak zájmy a soukromí zákazníků. Rád bych však, aby společnost 1Password získala certifikaci ISO 270001 jako například Keeper, která se uděluje za lepší postupy správy digitálního trezoru.

Vyzkoušet 1Password zdarma na 14 dní