Menadżer haseł – który wybrać

Przeciętny internauta zarządza dziś kilkudziesięcioma kontami online — od bankowości przez pocztę po platformy streamingowe. Używanie wszędzie tego samego hasła to proszenie się o kłopoty, a zapamiętanie dziesiątek unikalnych kombinacji jest po prostu niemożliwe. Menadżer haseł rozwiązuje ten problem raz na zawsze, ale wybór konkretnego narzędzia nie jest taki oczywisty. Poniżej sprawdzamy, jak działają te aplikacje i zestawiamy ze sobą trzech najważniejszych graczy na rynku: Bitwarden, 1Password i LastPass.

Jak działa menadżer haseł i czym różni się od zapisywania w przeglądarce

Menadżer haseł to zaszyfrowany skarbiec, który przechowuje wszystkie hasła w jednym miejscu, chronionym jednym silnym hasłem głównym. Aplikacja generuje losowe, złożone hasła, zapamiętuje je i automatycznie wypełnia formularze logowania na stronach oraz w aplikacjach mobilnych. Zamiast tworzyć hasło „Fido2015!”, wystarczy kliknąć „generuj” i otrzymać ciąg w stylu xK8#mPq2@vLs9 — czegoś takiego żaden atak słownikowy nie złamie w sensownym czasie.

Różnica między dedykowanym menadżerem a wbudowaną funkcją zapisu haseł w Chrome lub Firefox jest znacząca. Przeglądarkowe sejfy działają dobrze, gdy logujemy się wyłącznie z jednego urządzenia i jednej przeglądarki. Dedykowane aplikacje oferują zaszyfrowaną synchronizację między wieloma urządzeniami i systemami, obsługę haseł do aplikacji mobilnych, bezpieczne notatki, przechowywanie kart płatniczych i dokumentów, a często też monitorowanie wycieków danych w dark webie.

Szyfrowanie end-to-end i architektura zero-knowledge

Każde liczone narzędzie stosuje szyfrowanie end-to-end z kluczem derywowanym z hasła głównego. Oznacza to, że dostawca usługi technicznie nie może odczytać zawartości skarbca — nie ma dostępu do klucza. Model ten nazywa się zero-knowledge i stanowi branżowy standard bezpieczeństwa od co najmniej dekady.

Hasło główne jest lokalnie przekształcane w klucz kryptograficzny (zwykle AES-256 z PBKDF2 lub Argon2), a do serwerów trafia już zaszyfrowany blob danych. Oznacza to, że nawet jeśli serwery dostawcy zostaną zhakowane — a takie incydenty się zdarzają — atakujący otrzymuje jedynie zaszyfrowane dane, bez możliwości ich rozszyfrowania bez Twojego hasła głównego.

Bitwarden — open source w rozsądnej cenie

Bitwarden wyróżnia się na tle konkurencji otwartym kodem źródłowym. Każdy może przejrzeć kod aplikacji i serwerów, a niezależne firmy regularnie przeprowadzają audyty bezpieczeństwa — ostatni duży audyt zewnętrzny (2022 rok) nie wykazał krytycznych podatności. To transparentność, której ani 1Password, ani LastPass nie oferują w takim stopniu.

Plan darmowy jest naprawdę użyteczny: nieograniczona liczba haseł, synchronizacja na nieograniczonej liczbie urządzeń, aplikacje na Windows, macOS, Linux, Android i iOS, wtyczki do wszystkich głównych przeglądarek. Większość użytkowników indywidualnych nie potrzebuje niczego więcej.

Co zyskujemy w wersji premium Bitwarden

Subskrypcja premium kosztuje około 10 dolarów rocznie — to najniższa cena w tej kategorii. Za tę kwotę otrzymujemy:

• Kody 2FA (TOTP) generowane bezpośrednio w aplikacji, co pozwala zrezygnować z osobnej aplikacji do uwierzytelniania
• Raporty o słabych, powtarzających się i prawdopodobnie skompromitowanych hasłach
• Szyfrowane załączniki do wpisów (do 1 GB)
• Awaryjny dostęp dla zaufanej osoby — rodziny lub partnera
• Wsparcie dla kluczy sprzętowych Yubikey i FIDO2

Bitwarden umożliwia też samodzielny hosting serwera na własnej infrastrukturze. Dla firm i użytkowników technicznych, którzy nie chcą powierzać danych zewnętrznemu dostawcy, to argument nie do przecenienia. Czas wdrożenia na własnym serwerze VPS to około 30-60 minut przy użyciu oficjalnego obrazu Docker.

1Password — premium z rozbudowaną funkcją podróży

1Password jest płatny od pierwszego dnia — nie ma tu darmowego planu, tylko 14-dniowy okres próbny. Cena subskrypcji indywidualnej wynosi około 36 dolarów rocznie, a plan rodzinny (do 5 osób) około 60 dolarów. Wyraźnie więcej niż Bitwarden, ale interfejs i ekosystem aplikacji stoją na bardzo wysokim poziomie.

Aplikacje na każdą platformę są dopracowane i spójne wizualnie. Integracja z macOS i iOS jest szczególnie płynna — 1Password działa z Face ID, Touch ID i funkcją autouzupełniania na poziomie systemowym, bez żadnej dodatkowej konfiguracji. Na Androidzie i Windows też jest dobrze, choć różnica wobec Bitwarden jest mniejsza.

Travel Mode — funkcja dla podróżujących

Jedną z oryginalnych funkcji 1Password jest tryb podróży. Przed przekroczeniem granicy można ukryć wybrane skarbce na urządzeniu tak, żeby nie były widoczne ani dostępne — nawet jeśli ktoś zmusi nas do odblokowania telefonu. Po powrocie do kraju bezpieczne skarbce przywracamy jednym kliknięciem z poziomu panelu web.

To funkcja niszowa, ale bardzo przemyślana. W dobie rosnących kontroli granicznych, szczególnie podczas podróży do krajów o mniej liberalnym podejściu do prywatności cyfrowej, tego rodzaju zabezpieczenie może mieć realne znaczenie.

1Password obsługuje też Passkeys — klucze dostępu bez hasła, które są nowym standardem uwierzytelniania promowanym przez Apple, Google i Microsoft. Obsługa Passkeys w Bitwarden jest dostępna od 2023 roku, ale w 1Password działa nieco płynniej i jest lepiej zintegrowana z systemowym menedżerem poświadczeń.

LastPass — ostrzeżenia po poważnym naruszeniu bezpieczeństwa

LastPass przez lata był najczęściej polecanym menadżerem haseł dla początkujących. Łatwy w obsłudze, dostępny w rozsądnym modelu freemium, rozpoznawalny. Sytuacja zmieniła się diametralnie po serii incydentów bezpieczeństwa w 2022 roku.

W sierpniu i grudniu 2022 roku LastPass potwierdził, że atakujący uzyskali dostęp do środowiska deweloperskiego, a następnie do zaszyfrowanych kopii zapasowych skarbców użytkowników. Dane skradzione to: zaszyfrowane hasła (chronione hasłem głównym), niezaszyfrowane adresy URL stron, metadane kont i inne informacje pomocnicze. Firma przyznała, że słabo skonfigurowane iteracje PBKDF2 — u niektórych starszych kont było to jedynie 5000 iteracji zamiast rekomendowanych 310 000 — mogły znacząco ułatwić ataki słownikowe na słabsze hasła główne.

Reakcja LastPass na incydent była szeroko krytykowana za opóźnienie w komunikacji i minimalizowanie powagi sytuacji. Wielu ekspertów bezpieczeństwa zaleca migrację do innego narzędzia.

Czy LastPass ma jeszcze sens w 2024 roku

Plan darmowy LastPass mocno ograniczono w 2021 roku — synchronizacja działa teraz tylko na jednym typie urządzeń: albo tylko na komputerach, albo tylko na telefonach. Plan premium kosztuje około 36 dolarów rocznie, czyli tyle co 1Password, ale bez jego zalet.

LastPass wciąż ma kilka mocnych stron: bardzo intuicyjny onboarding dla osób, które nigdy nie korzystały z menadżera haseł, oraz centrum udostępniania haseł z dokładnymi uprawnieniami. Jednak biorąc pod uwagę historię bezpieczeństwa i ograniczony darmowy plan, trudno go dziś rekomendować jako pierwszy wybór, gdy alternatywy są wyraźnie lepsze w stosunku do ceny.

Zestawienie: Bitwarden, 1Password i LastPass

Trzy narzędzia różnią się na tyle, że wybór zależy od konkretnych potrzeb. Poniższa tabela zbiera najważniejsze różnice:

Dla zdecydowanej większości użytkowników indywidualnych najlepszym wyborem jest Bitwarden — darmowy plan pokrywa wszystkie podstawowe potrzeby, a jeśli zależy nam na dodatkowych funkcjach, cena premium jest kilkukrotnie niższa niż u konkurencji. Osoby głęboko zakorzenione w ekosystemie Apple, często przekraczające granice w podróżach służbowych lub potrzebujące rozwiązania dla małego zespołu bez działu IT, mogą zdecydować się na 1Password — dopłata jest uzasadniona konkretnymi funkcjami, a nie tylko nazwą marki. LastPass trudno polecać w 2024 roku na tle dostępnych alternatyw, chyba że ktoś aktywnie korzysta z niego od lat, nie zmienił hasła głównego po incydencie z 2022 roku — w tym przypadku migracja jest wręcz obowiązkowa.

Bez względu na wybór narzędzia, menadżer haseł to zabezpieczenie, które realnie zmniejsza ryzyko przejęcia konta. Ustaw silne, unikalne hasło główne (minimum 16 znaków, najlepiej fraza złożona z losowych słów), włącz drugi czynnik uwierzytelniania dla samego menadżera i zacznij migrować hasła — nie musisz robić tego jednego dnia, wystarczy stopniowo, przy każdym kolejnym logowaniu.

Redakcja

Za Foto5 stoi redakcja, która dostarcza konkretne porady i inspiracje z różnych obszarów życia – od nowoczesnych technologii po dom, ogród, zdrowie i finanse. Nasze artykuły pomagają podejmować lepsze decyzje na co dzień.