Cyberpediaod Brain
PLENESFRITNLPT

Menedżer haseł i szyfrowanie Zero-Knowledge

Jak menedżer haseł szyfruje sejf na podstawie hasła głównego i co zrobić, aby naprawdę chronił Państwa konta.

W 30 sekund

Gdzie to się zdarza
Za każdym razem, gdy hasło jest tworzone, wpisywane lub zapisywane, w pracy i w domu.
Czego chce atakujący
Hasła głównego albo danych logowania w postaci jawnej, wydobytych z pamięci10, ponieważ udany atak daje dostęp do wszystkich przechowywanych haseł1.
Odruch
Wybrać długie, niepowtarzalne hasło-frazę jako hasło główne56, włączyć w menedżerze uwierzytelnianie wieloskładnikowe1 i nigdy nie używać tego sekretu gdzie indziej4.
Jeśli to już zrobione
Sprawdzić, czy istnieje odzyskiwanie dostępu, kto może je uruchomić i czy chcą Państwo z niego korzystać1.

O co chodzi

Menedżer haseł przechowuje dane logowania pracownika w sejfie. Sejf otwiera się jednym sekretem, czyli hasłem głównym1. Dziesiątki haseł, z których każdy korzysta, trudno zapamiętać, a skutek jest znany: ludzie używają tych samych haseł wielokrotnie albo wybierają hasła popularne, co wykorzystują atakujący1.

W idealnym przypadku opisanym przez NCSC klucz odszyfrowujący sejf jest zazwyczaj wyprowadzany z hasła głównego i nie powinien być dostępny dla dostawcy usługi synchronizacji1. Ta właściwość ma swoją cenę: jeśli klucz odszyfrowujący zostanie utracony, nie powinno być możliwe jego zresetowanie w celu odzyskania zawartości sejfu1.

Pytania wprost

Czy dostawca może odczytać moje hasła?

Poradnik NCSC (Wielka Brytania) opisuje przypadek idealny: przechowywane dane logowania są dostępne tylko dla użytkownika, za pomocą jego klucza odszyfrowującego, zazwyczaj wyprowadzanego z hasła głównego. Klucz ten nie może być dostępny dla innych, w tym dla dostawcy1. Menedżer, który oferuje odzyskiwanie dostępu przez dostawcę, odbiega od tego przypadku: NCSC ostrzega, że metodę odzyskiwania można wykorzystać do uzyskania dostępu do danych logowania, zwłaszcza gdy odpowiada za nią dostawca1.

Co się stanie, jeśli zapomnę hasła głównego?

Państwo tracą dostęp do wszystkich zapisanych haseł i muszą zresetować jedno po drugim hasła do kont, których to dotyczy, co zajmuje dużo czasu1. Niektóre menedżery oferują odzyskiwanie dostępu z udziałem innych upoważnionych osób: współpracownika, administratora lub dostawcy1. NCSC zaleca, aby o skorzystaniu z tej opcji decydować po zestawieniu jej ryzyka z kosztem utraty sejfu1.

Dlaczego hasło główne nie jest używane wprost jako klucz?

Funkcja wyprowadzania klucza zamienia hasło w klucz szyfrujący. W grudniu 2010 roku NIST opublikował zalecenie SP 800-132, które opisuje wyprowadzanie kluczy głównych z haseł lub haseł-fraz w celu ochrony przechowywanych danych2. NIST podaje w 2023 roku, że planuje zrewidować ten dokument2.

Czy menedżer haseł może zostać zaatakowany?

Tak. NCSC przypomina, że jak każde oprogramowanie menedżer może mieć podatności i że jest naturalnym celem, ponieważ udany atak daje dostęp do wszystkich haseł użytkownika1. Ten sam poradnik konkluduje, że korzyści przeważają nad ryzykiem1.

1Jak to działa1 min

Hasło główne przechodzi przez funkcję wyprowadzania klucza, która tworzy klucz szyfrujący2. Do przechowywania haseł po stronie serwera OWASP zaleca wolne algorytmy, takie jak Argon2id, bcrypt lub PBKDF2, a szybkie algorytmy, takie jak SHA-256, uznaje za nieodpowiednie, ponieważ pozwalają atakującemu testować bardzo wiele kombinacji na sekundę3. Wolny algorytm o dużym zapotrzebowaniu na pamięć sprawia, że atak siłowy jest trudniejszy, droższy i dłuższy3.

Ustawienie odbywa się za pomocą współczynnika pracy, czyli liczby iteracji algorytmu dla każdego hasła3. OWASP podaje kilka równoważnych minimalnych konfiguracji dla Argon2id, a jedną z nich jest 19 MiB pamięci, 2 iteracje i stopień równoległości 1, natomiast dla PBKDF2 przy wymaganiu FIPS-140 współczynnik 600 000 lub więcej z HMAC-SHA-2563. Te liczby dotyczą przechowywania haseł po stronie serwera. Źródła zebrane dla tego artykułu nie mówią, jakie parametry stosuje każdy menedżer dla swojego sejfu.

W codziennym użyciu menedżer wypełnia też formularze. Powinien podpowiadać dane logowania tylko dla witryny, dla której zostały zapisane, nigdy całego sejfu dla odwiedzanej witryny1. NCSC dodaje, że menedżer może lepiej rozpoznawać fałszywe witryny niż człowiek1.

2Co należy zrobić2 min

Jako hasło główne proszę wybrać długie hasło-frazę. CISA proponuje ciąg od 4 do 7 niepowiązanych ze sobą słów5. NCSC radzi użyć trzech losowych słów, na przykład „applenemobiro”, i odradza dat urodzenia, drużyn sportowych oraz imion bliskich lub zwierząt, które często ujawniają media społecznościowe6. Zamiana litery „o” na zero niewiele dodaje do siły hasła, ponieważ cyberprzestępcy znają tę sztuczkę6. CNIL podaje jako przykład hasło o długości co najmniej 12 znaków czterech rodzajów i zaznacza, że może być krótsze, jeśli konto ma dodatkowe zabezpieczenia4.

Nigdy nie należy używać tego hasła głównego ponownie. CNIL zaleca osobne, niepowtarzalne hasło do każdego wrażliwego konta, aby uniknąć włamań kaskadowych4.

Proszę włączyć w menedżerze uwierzytelnianie wieloskładnikowe. Dzięki niemu atakujący musi znać hasło główne i dysponować drugim składnikiem1. NCSC prosi o jego stosowanie we wszystkich menedżerach z synchronizacją w chmurze oraz dla kont uprzywilejowanych, takich jak konta administratorów1. OWASP przytacza analizę Microsoftu, według której uwierzytelnianie wieloskładnikowe zatrzymałoby 99,9 % przejęć kont7.

Proszę zdecydować, czy chcą Państwo mieć metodę odzyskiwania dostępu, zestawiając jej ryzyko z kosztem utraty sejfu, i wiedzieć, kto mógłby ją uruchomić1. Jeśli firma ma politykę w tej sprawie, należy ją stosować. NCSC zaleca osobom odpowiedzialnym określenie jasnej zasady dotyczącej eksportu sejfu w postaci jawnej, ponieważ po wyeksportowaniu hasła nie są już chronione1.

Proszę pozwolić menedżerowi generować hasła do pozostałych kont: ułatwia to stosowanie haseł unikalnych, długich i losowych1. NIST zauważa, że wklejanie w polach do wpisywania ułatwia korzystanie z menedżerów8. Ta wersja NIST SP 800-63 jest zastąpiona przez SP 800-63-4 od 1 sierpnia 2025 roku8.

3Pułapki1 min
  • Słabe hasło główne. Atakujący może próbować je odgadnąć atakiem siłowym10. W sprawie polityki hasła głównego MITRE odsyła do zaleceń NIST10.
  • Phishing. MITRE zaleca szkolenie użytkowników w rozpoznawaniu prób phishingu, które wykradają ciasteczka sesji lub dane logowania10.
  • Sejf otwarty w pamięci. Gdy baza jest odblokowana, dane logowania mogą zostać skopiowane w pamięci, a atakujący wydobywają z niej hasło główne lub dane logowania w postaci jawnej10. MITRE zaleca ponowne blokowanie menedżera po krótkim czasie10.
  • Nieaktualne oprogramowanie. MITRE zaleca regularną aktualizację przeglądarek, menedżerów i powiązanego oprogramowania10, a NCSC sprawdzanie, czy producent szybko usuwa swoje luki1.
  • Rozszerzenia i przeglądarka. Menedżer często korzysta z rozszerzenia przeglądarki do wypełniania formularzy1. MITRE wymienia dane rozszerzeń przeglądarki i menedżerów wśród celów niektórych złośliwych programów10. Na komputerze współdzielonym Cybermalveillance.gouv.fr odradza zapisywanie haseł w przeglądarce9.
  • Skradzione bazy sejfów. MITRE wymienia grupy atakujących i złośliwe programy, które celowały w takie bazy: Threat Group-3390 zdobyła bazę KeePass na zainfekowanej maszynie, a Indrik Spider wyeksportowała hasła z menedżerów10.
  • Utrata sekretu bez możliwości odzyskania. Jeśli klucz zostanie utracony i nie istnieje odzyskiwanie dostępu, sejf pozostaje nieczytelny1.
  • Notatki w postaci jawnej. Karteczki samoprzylepne, pliki tekstowe, poczta elektroniczna czy telefon nie są przeznaczone do przechowywania haseł4.

Karta

Identyfikator
CP-201
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Kontrolować dostęp (control_access)
Odruch Brain
cr-013
Schemat
G3 · Przekrój anatomiczny
Języki
en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 10
ŹródłaŹródła: 10
  1. NCSC (Royaume-Uni), „Password manager buyers guide”. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (dostęp 3 listopada 2026)
  2. NIST, „SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC”. https://csrc.nist.gov/pubs/sp/800/132/final (dostęp 3 listopada 2026)
  3. OWASP, „Password Storage - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (dostęp 3 listopada 2026)
  4. CNIL, „Les conseils de la CNIL pour un bon mot de passe”, 26 stycznia 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (dostęp 3 listopada 2026)
  5. CISA, „Use Strong Passwords | CISA”. https://www.cisa.gov/secure-our-world/use-strong-passwords (dostęp 3 listopada 2026)
  6. NCSC (Royaume-Uni), „Three random words”, 21 grudnia 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (dostęp 3 listopada 2026)
  7. OWASP, „Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (dostęp 3 listopada 2026)
  8. NIST, „NIST Special Publication 800-63B”. https://pages.nist.gov/800-63-3/sp800-63b.html (dostęp 3 listopada 2026)
  9. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?”, 23 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (dostęp 3 listopada 2026)
  10. MITRE ATT&CK, „Credentials from Password Stores: Password Managers”. https://attack.mitre.org/techniques/T1555/005/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Menedżer haseł i szyfrowanie Zero-Knowledge”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/

BibTeX 
@misc{brain_cp201_pl_2026,
  author = {Brain},
  title = {Menedżer haseł i szyfrowanie Zero-Knowledge},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/menedzer-hasel-zero-knowledge/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0