--- id: CP-201 slug: menedzer-hasel-zero-knowledge lang: pl title: Menedżer haseł i szyfrowanie Zero-Knowledge description: Jak menedżer haseł szyfruje sejf na podstawie hasła głównego i co zrobić, aby naprawdę chronił Państwa konta. canonical_url: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Menedżer haseł i szyfrowanie Zero-Knowledge”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-013 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/ fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ en: https://startbrain.io/cyberpedia/en/articles/zero-knowledge-password-manager/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ it: https://startbrain.io/cyberpedia/it/articles/gestore-password-zero-knowledge/ nl: https://startbrain.io/cyberpedia/nl/articles/wachtwoordmanager-zero-knowledge/ pt: https://startbrain.io/cyberpedia/pt/articles/gestor-palavras-passe-zero-knowledge/ sources: - "n": 1 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide accessed: "2026-11-03" - "n": 2 title: "SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/132/final accessed: "2026-11-03" - "n": 3 title: Password Storage - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html accessed: "2026-11-03" - "n": 4 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 5 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 6 title: Three random words publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words published: "2021-12-21" accessed: "2026-11-03" - "n": 7 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 9 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 10 title: "Credentials from Password Stores: Password Managers" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/005/ accessed: "2026-11-03" --- # Menedżer haseł i szyfrowanie Zero-Knowledge Menedżer haseł przechowuje dane logowania pracownika w sejfie. Sejf otwiera się jednym sekretem, czyli hasłem głównym [1]. Dziesiątki haseł, z których każdy korzysta, trudno zapamiętać, a skutek jest znany: ludzie używają tych samych haseł wielokrotnie albo wybierają hasła popularne, co wykorzystują atakujący [1]. W idealnym przypadku opisanym przez NCSC klucz odszyfrowujący sejf jest zazwyczaj wyprowadzany z hasła głównego i nie powinien być dostępny dla dostawcy usługi synchronizacji [1]. Ta właściwość ma swoją cenę: jeśli klucz odszyfrowujący zostanie utracony, nie powinno być możliwe jego zresetowanie w celu odzyskania zawartości sejfu [1]. ## W 30 sekund - Gdzie to się zdarza: za każdym razem, gdy hasło jest tworzone, wpisywane lub zapisywane, w pracy i w domu. - Czego chce atakujący: hasła głównego albo danych logowania w postaci jawnej, wydobytych z pamięci [10], ponieważ udany atak daje dostęp do wszystkich przechowywanych haseł [1]. - Odruch: wybrać długie, niepowtarzalne hasło-frazę jako hasło główne [5][6], włączyć w menedżerze uwierzytelnianie wieloskładnikowe [1] i nigdy nie używać tego sekretu gdzie indziej [4]. - Jeśli to już zrobione: sprawdzić, czy istnieje odzyskiwanie dostępu, kto może je uruchomić i czy chcą Państwo z niego korzystać [1]. ## Pytania wprost ### Czy dostawca może odczytać moje hasła? Poradnik NCSC (Wielka Brytania) opisuje przypadek idealny: przechowywane dane logowania są dostępne tylko dla użytkownika, za pomocą jego klucza odszyfrowującego, zazwyczaj wyprowadzanego z hasła głównego. Klucz ten nie może być dostępny dla innych, w tym dla dostawcy [1]. Menedżer, który oferuje odzyskiwanie dostępu przez dostawcę, odbiega od tego przypadku: NCSC ostrzega, że metodę odzyskiwania można wykorzystać do uzyskania dostępu do danych logowania, zwłaszcza gdy odpowiada za nią dostawca [1]. ### Co się stanie, jeśli zapomnę hasła głównego? Państwo tracą dostęp do wszystkich zapisanych haseł i muszą zresetować jedno po drugim hasła do kont, których to dotyczy, co zajmuje dużo czasu [1]. Niektóre menedżery oferują odzyskiwanie dostępu z udziałem innych upoważnionych osób: współpracownika, administratora lub dostawcy [1]. NCSC zaleca, aby o skorzystaniu z tej opcji decydować po zestawieniu jej ryzyka z kosztem utraty sejfu [1]. ### Dlaczego hasło główne nie jest używane wprost jako klucz? Funkcja wyprowadzania klucza zamienia hasło w klucz szyfrujący. W grudniu 2010 roku NIST opublikował zalecenie SP 800-132, które opisuje wyprowadzanie kluczy głównych z haseł lub haseł-fraz w celu ochrony przechowywanych danych [2]. NIST podaje w 2023 roku, że planuje zrewidować ten dokument [2]. ### Czy menedżer haseł może zostać zaatakowany? Tak. NCSC przypomina, że jak każde oprogramowanie menedżer może mieć podatności i że jest naturalnym celem, ponieważ udany atak daje dostęp do wszystkich haseł użytkownika [1]. Ten sam poradnik konkluduje, że korzyści przeważają nad ryzykiem [1]. ## Jak to działa Hasło główne przechodzi przez funkcję wyprowadzania klucza, która tworzy klucz szyfrujący [2]. Do przechowywania haseł po stronie serwera OWASP zaleca wolne algorytmy, takie jak Argon2id, bcrypt lub PBKDF2, a szybkie algorytmy, takie jak SHA-256, uznaje za nieodpowiednie, ponieważ pozwalają atakującemu testować bardzo wiele kombinacji na sekundę [3]. Wolny algorytm o dużym zapotrzebowaniu na pamięć sprawia, że atak siłowy jest trudniejszy, droższy i dłuższy [3]. Ustawienie odbywa się za pomocą współczynnika pracy, czyli liczby iteracji algorytmu dla każdego hasła [3]. OWASP podaje kilka równoważnych minimalnych konfiguracji dla Argon2id, a jedną z nich jest 19 MiB pamięci, 2 iteracje i stopień równoległości 1, natomiast dla PBKDF2 przy wymaganiu FIPS-140 współczynnik 600 000 lub więcej z HMAC-SHA-256 [3]. Te liczby dotyczą przechowywania haseł po stronie serwera. Źródła zebrane dla tego artykułu nie mówią, jakie parametry stosuje każdy menedżer dla swojego sejfu. W codziennym użyciu menedżer wypełnia też formularze. Powinien podpowiadać dane logowania tylko dla witryny, dla której zostały zapisane, nigdy całego sejfu dla odwiedzanej witryny [1]. NCSC dodaje, że menedżer może lepiej rozpoznawać fałszywe witryny niż człowiek [1]. ## Co należy zrobić Jako hasło główne proszę wybrać długie hasło-frazę. CISA proponuje ciąg od 4 do 7 niepowiązanych ze sobą słów [5]. NCSC radzi użyć trzech losowych słów, na przykład „applenemobiro”, i odradza dat urodzenia, drużyn sportowych oraz imion bliskich lub zwierząt, które często ujawniają media społecznościowe [6]. Zamiana litery „o” na zero niewiele dodaje do siły hasła, ponieważ cyberprzestępcy znają tę sztuczkę [6]. CNIL podaje jako przykład hasło o długości co najmniej 12 znaków czterech rodzajów i zaznacza, że może być krótsze, jeśli konto ma dodatkowe zabezpieczenia [4]. Nigdy nie należy używać tego hasła głównego ponownie. CNIL zaleca osobne, niepowtarzalne hasło do każdego wrażliwego konta, aby uniknąć włamań kaskadowych [4]. Proszę włączyć w menedżerze uwierzytelnianie wieloskładnikowe. Dzięki niemu atakujący musi znać hasło główne i dysponować drugim składnikiem [1]. NCSC prosi o jego stosowanie we wszystkich menedżerach z synchronizacją w chmurze oraz dla kont uprzywilejowanych, takich jak konta administratorów [1]. OWASP przytacza analizę Microsoftu, według której uwierzytelnianie wieloskładnikowe zatrzymałoby 99,9 % przejęć kont [7]. Proszę zdecydować, czy chcą Państwo mieć metodę odzyskiwania dostępu, zestawiając jej ryzyko z kosztem utraty sejfu, i wiedzieć, kto mógłby ją uruchomić [1]. Jeśli firma ma politykę w tej sprawie, należy ją stosować. NCSC zaleca osobom odpowiedzialnym określenie jasnej zasady dotyczącej eksportu sejfu w postaci jawnej, ponieważ po wyeksportowaniu hasła nie są już chronione [1]. Proszę pozwolić menedżerowi generować hasła do pozostałych kont: ułatwia to stosowanie haseł unikalnych, długich i losowych [1]. NIST zauważa, że wklejanie w polach do wpisywania ułatwia korzystanie z menedżerów [8]. Ta wersja NIST SP 800-63 jest zastąpiona przez SP 800-63-4 od 1 sierpnia 2025 roku [8]. ## Pułapki - Słabe hasło główne. Atakujący może próbować je odgadnąć atakiem siłowym [10]. W sprawie polityki hasła głównego MITRE odsyła do zaleceń NIST [10]. - Phishing. MITRE zaleca szkolenie użytkowników w rozpoznawaniu prób phishingu, które wykradają ciasteczka sesji lub dane logowania [10]. - Sejf otwarty w pamięci. Gdy baza jest odblokowana, dane logowania mogą zostać skopiowane w pamięci, a atakujący wydobywają z niej hasło główne lub dane logowania w postaci jawnej [10]. MITRE zaleca ponowne blokowanie menedżera po krótkim czasie [10]. - Nieaktualne oprogramowanie. MITRE zaleca regularną aktualizację przeglądarek, menedżerów i powiązanego oprogramowania [10], a NCSC sprawdzanie, czy producent szybko usuwa swoje luki [1]. - Rozszerzenia i przeglądarka. Menedżer często korzysta z rozszerzenia przeglądarki do wypełniania formularzy [1]. MITRE wymienia dane rozszerzeń przeglądarki i menedżerów wśród celów niektórych złośliwych programów [10]. Na komputerze współdzielonym Cybermalveillance.gouv.fr odradza zapisywanie haseł w przeglądarce [9]. - Skradzione bazy sejfów. MITRE wymienia grupy atakujących i złośliwe programy, które celowały w takie bazy: Threat Group-3390 zdobyła bazę KeePass na zainfekowanej maszynie, a Indrik Spider wyeksportowała hasła z menedżerów [10]. - Utrata sekretu bez możliwości odzyskania. Jeśli klucz zostanie utracony i nie istnieje odzyskiwanie dostępu, sejf pozostaje nieczytelny [1]. - Notatki w postaci jawnej. Karteczki samoprzylepne, pliki tekstowe, poczta elektroniczna czy telefon nie są przeznaczone do przechowywania haseł [4]. ## Źródła 1. NCSC (Royaume-Uni), „Password manager buyers guide”. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (dostęp 3 listopada 2026) 2. NIST, „SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC”. https://csrc.nist.gov/pubs/sp/800/132/final (dostęp 3 listopada 2026) 3. OWASP, „Password Storage - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (dostęp 3 listopada 2026) 4. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026) 5. CISA, „Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026) 6. NCSC (Royaume-Uni), „Three random words”, 21 grudnia 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (dostęp 3 listopada 2026) 7. OWASP, „Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (dostęp 3 listopada 2026) 8. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026) 9. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026) 10. MITRE ATT&CK, „Credentials from Password Stores: Password Managers”. https://attack.mitre.org/techniques/T1555/005/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.