A digitális fiókok robbanásszerű elszaporodásának korában a "jelszavak megjegyzése" egyetemes problémává vált — vagy egyszerű jelszavakat használunk ismételten, biztonsági réseket hagyva magunk után, vagy gyakran elfelejtjük a bonyolult jelszavakat. A jelszókezelők az "egy mesterjelszó mindenre" modelljükkel nagy népszerűségre tettek szert, ugyanakkor sokakban felmerül a kérdés: az összes digitális vagyon "kulcsainak" átadása biztonsági garancia, vagy éppen egy kockázatos csapda? A válasz nem fekete-fehér. Egy jelszókezelő biztonsága a technikai architektúra, a termékválasztás és a használati szokások kombinációjától függ. Az alábbiakban négy szempontból bontjuk ki a kérdést: az alapvető logika, a lehetséges kockázatok, az összehasonlítás a hagyományos módszerekkel, valamint a biztonságos használat módja.

Röviden

A jelszókezelők zéró tudás architektúrát és AES-256 titkosítást használnak: a szolgáltató nem fér hozzá a jelszavaihoz nyílt szövegként.
A fő kockázatok a mesterjelszó kiszivárgása, a felhasználókat célzó adathalász támadások, valamint a termék saját sebezhetőségei (például a 2022-es LastPass-eset).
A legtöbb felhasználó számára egy megbízható jelszókezelő sokkal biztonságosabb, mint a gyenge jelszavak ismételt használata vagy azok nyílt szövegben történő tárolása.
Kapcsolja be a hardveres kulcsos MFA-t, használjon egyedi, erős mesterjelszót, és a helyreállítási kulcsokat offline tárolja.

Rövid válasz

A jelszókezelők biztonságosak, ha zéró tudás architektúrára és AES-256 titkosításra épülnek, de nem kockázatmentesek. A biztonság három tényezőtől függ: a termék technikai megvalósításától (a Bitwarden és az 1Password jó eredményekkel rendelkezik), a felhasználó mesterjelszavának erősségétől, valamint az adathalászat elleni védelemtől. A 2022-es LastPass-incidens megmutatta, hogy még a titkosított tárolók is szivárogtathatnak metaadatokat. A felhasználók túlnyomó többsége számára azonban a gyenge jelszavak ismételt használatának vagy a bonyolult jelszavak elfelejtésének kockázata messze meghaladja egy megfelelő védelemmel ellátott, megbízható jelszókezelő használatának kockázatát.

Gyors generáláshoz használja a Jelszógenerátort. Ha mélyebben szeretné megérteni a témát, olvassa el ezeket: A Jelszóentrópia Magyarázata, Jelszókezelő vs Böngésző, és Biztonságos Az Online Generátorok Használata?.

I. Először értsük meg: a jelszókezelők alapvető biztonsági logikája

A vezető jelszókezelők biztonsága lényegében a kettős garancián alapul: "zéró tudás architektúra + magas szintű titkosítás". Az alapelv az, hogy még maga a szolgáltató sem fér hozzá a jelszavaihoz nyílt szövegként, ami alapvetően eltér a hagyományos jelszótárolási módszerektől.

Elsőként a helyi titkosítás + zéró tudás szinkronizáció említendő: amikor jelszót ment, minden adat titkosításra kerül az eszközén (mobiltelefon/számítógép) az AES-256 segítségével, amely egy iparági szabványnak számító, széles körben auditált titkosítási algoritmus. A titkosításhoz szükséges kulcsot a mesterjelszavából vezetik le olyan kulcsszármaztató függvényekkel, mint a PBKDF2 vagy az Argon2, és ez sosem kerül feltöltésre a szolgáltató szervereire. Ami ezután szinkronizálódik a felhőbe, az csak a titkosított "rejtjelezett szöveg". Még ha a szolgáltatót támadás is éri, a támadók akkor is csak olyan adatokhoz jutnak, amelyeket kulcs nélkül nem lehet visszafejteni. A Bitwardenhez és a Proton Passhoz hasonló nyílt forráskódú termékek ezzel az architektúrával biztosítják, hogy a szerveroldal ne férhessen hozzá a felhasználói jelszavakhoz.

Másodszor ott van a biztonságos automatikus kitöltési mechanizmus: a jelszókezelők automatikus kitöltési funkciója nem egyszerű másolás-beillesztés, hanem böngészőbővítményeken keresztül pontosan egyezteti a webhely URL-jét, így a kitöltés csak akkor indul el, ha egy mentett, jogszerű webhelyet látogat meg. Ez a megoldás segít védekezni az adathalász oldalak ellen, megakadályozva, hogy a jelszavak véletlenül hamis oldalakra kerüljenek beírásra. Ezzel egyidejűleg a jelszó a kitöltési folyamat során csak ideiglenesen, az eszköz memóriájában kerül visszafejtésre, nyílt szöveges nyomokat nem hagyva, ami tovább csökkenti a kiszivárgás kockázatát.

Emellett a jó minőségű jelszókezelők erős jelszógenerálást és biztonsági auditálást is kínálnak: automatikusan létrehoznak nagy- és kisbetűket, számokat és speciális szimbólumokat tartalmazó véletlenszerű jelszavakat, hogy már a forrásnál elkerüljék a jelszó-újrahasználatot vagy az elégtelen erősséget; egyes termékek azt is figyelik, hogy a mentett jelszavak felbukkantak-e adatszivárgási eseményekben, és időben emlékeztetik a felhasználókat a megváltoztatásukra.

II. Nem elhanyagolható kockázatok: hol van a jelszókezelők gyenge pontja?

A jelszókezelők nem teljesen biztonságosak. Kockázataik elsősorban az "egyetlen meghibásodási pontra" és a felhasználói oldali sebezhetőségekre koncentrálódnak, nem magára a technikai architektúrára.

A mesterjelszó kiszivárgásának "minden vagy semmi" kockázata: ez a legközpontibb kockázati pont. Mivel minden jelszó visszafejtése a mesterjelszótól függ, amint a mesterjelszót feltörik, kiszivárogtatják, vagy rosszindulatú szoftver ellopja, a támadó közvetlenül átveheti az irányítást a teljes jelszótároló felett, ami az összes kapcsolódó fiók lavinaszerű bukásához vezet. A kockázat különösen jelentősen megnő, ha a felhasználók a könnyebb megjegyezhetőség kedvéért egyszerű mesterjelszót állítanak be, vagy a mesterjelszót könnyen hozzáférhető helyeken, például telefonos jegyzeteken vagy papír noteszekben rögzítik.
A célzott adathalász támadások fenyegetése: az elmúlt években a támadók kifejezetten a jelszókezelők felhasználóit célzó adathalász csapdákat kezdtek kidolgozni. Olyan népszerű termékek hivatalos e-mailjeit hamisítják, mint a LastPass és a Bitwarden, "szokatlan bejelentkezést" vagy "sürgős tárolóalaphelyzet-visszaállítási igényt" állítva, hogy rávegyék a felhasználókat hamis linkek megnyitására, és mesterjelszavuk, helyreállítási kulcsuk vagy MFA-kódjaik megadására. Ezek a hamis oldalak nemcsak a hivatalos felhasználói felületet másolják le, hanem SSL-tanúsítványokat is betöltenek a jogszerűség látszatának megteremtésére, így még a bizonyos fokú biztonságtudatossággal rendelkező felhasználók is beleeshetnek a csapdába.
Termékbiztonsági sebezhetőségek és korábbi kockázatok: néhány jelszókezelőt biztonsági incidens ért. A LastPass például 2022-ben szerverhibák miatt olyan incidenst szenvedett el, amelynek során hozzáfértek a felhasználók titkosított tárolóadataihoz. Bár maguk a titkosított jelszavak nem kerültek feltörésre, titkosítatlan metaadatok (például fióknevek és webhely-URL-ek) szivárogtak ki. A Keeper böngészőbővítményében olyan sebezhetőségeket találtak, amelyek jelszólopáshoz vezethettek. Az ilyen incidensek emlékeztetnek arra, hogy a megvalósítás minősége eltérő lehet, még ha a mögöttes architektúra szilárd is.
A helyreállítási mechanizmusok lehetséges veszélyei: annak megelőzésére, hogy a felhasználók elfelejtsék mesterjelszavukat, a legtöbb termék helyreállítási kulcsokat vagy vészhelyzeti hozzáférési funkciókat kínál. Ha azonban a helyreállítási kulcsot ugyanazon az eszközön tárolják, mint a mesterjelszót, vagy azt más megszerzi, akkor az új biztonsági résré válik — a támadónak csak a mesterjelszóra (vagy egy módra, hogy azt a helyreállításon keresztül megkerülje) és a helyreállítási kulcsra van szüksége a védelmi intézkedések megkerüléséhez.

III. Összehasonlítva: biztonságosabbak-e a jelszókezelők a hagyományos módszereknél?

Az emberek túlnyomó többsége számára egy megbízható jelszókezelő használata sokkal biztonságosabb, mint a jelszavak kézi kezelése, egyszerűen azért, mert a kézi jelszókezelés sebezhetőségei végzetesebbek és nehezebben elkerülhetők. A Bitwarden 2024-es Globális Jelszóbiztonsági Jelentése szerint a felhasználók 85%-a több webhelyen is újra felhasználja jelszavait, és az adatszivárgási esetek nagyjából fele feltört, gyenge vagy újra felhasznált jelszavakhoz köthető. A kézzel megjegyzett jelszavak jellemzően vagy gyengék (123456, abc123), vagy sok platformon újra felhasználtak — amint egy platform kiszivárog, az adott jelszóhoz kötött összes fiók veszélybe kerül.

A jelszókezelők a gyökerénél kezelik ezeket a problémákat: egyedi, erős jelszavakat generálnak az újrahasználat elkerülésére, titkosítva tárolják őket a nyílt szöveges kiszivárgás elkerülésére, és auditálják a mentett jelszavakat, hogy megjelöljék a kockázatosakat. A fent leírt egyetlen meghibásodási pont kockázata valós, de a IV. részben leírt védelmi intézkedésekkel kezelhető, és ez a maradék kockázat még mindig jóval kisebb, mint az újra felhasznált, memorizált jelszavak által teremtett passzív, halmozódó kitettség.

IV. Legfontosabb következtetések: hogyan használjon biztonságosan egy jelszókezelőt

Egy jelszókezelő biztonsága végső soron a megfelelő termék kiválasztásán és a helyes használaton múlik. Az alábbiak betartása maximalizálja a biztonságát:

A megfelelő termék kiválasztása előfeltétel: részesítse előnyben a jó hírű, kiforrott technológiájú és egyértelmű biztonsági múlttal rendelkező elterjedt termékeket — például a szilárd auditálási előéletű nyílt forráskódú megoldásokat, mint a Bitwarden és a KeePassXC; az 1Password-öt és a NordPass-t, amelyek rendszeresen átesnek független biztonsági auditokon; vagy az Apple Passwords-öt és a Google Password Managert, amelyek a nagy techcégek meglévő biztonsági infrastruktúrájára támaszkodnak. Kerülje a niche, auditálatlan termékeket, amelyeknél gyakrabban hiányzik a független biztonsági felülvizsgálat.
Állítson be egy nagy biztonságú mesterjelszót, és rendszeresen változtassa meg: a mesterjelszónak legalább 12 karakter hosszúnak kell lennie, nagy- és kisbetűket, számokat és szimbólumokat vegyítve, és nem szabad megegyeznie semmilyen más fiók jelszavával. Ha 6-12 havonta megváltoztatja, az tovább csökkenti a kiszivárgás kockázatát.
Kapcsolja be a kétfaktoros hitelesítést (MFA): a jelszókezelőben kapcsolja be az MFA-t hardveres biztonsági kulcs (például YubiKey) vagy hitelesítő alkalmazás (például Google Authenticator) segítségével, ne pedig SMS-en keresztül, amelyet könnyebb elfogni. Így egy támadó akkor sem tud bejelentkezni pusztán a mesterjelszóval, ha az kompromittálódik.
Tárolja megfelelően a helyreállítási kulcsot: írja le kézzel a helyreállítási kulcsot, és tárolja fizikailag biztonságos helyen (például széfben); ne tárolja a telefonján, számítógépén vagy felhőalapú jegyzetekben, és ne tartsa együtt a mesterjelszóval. Soha ne ossza meg a helyreállítási kulcsot senkivel.
Legyen éber az adathalászattal szemben, és alakítson ki jó szokásokat: egy jelszókezelő-szolgáltató soha nem fog proaktívan e-mailben mesterjelszót vagy helyreállítási kulcsot kérni — az ilyen üzeneteket törölje, és ne kattintson egyetlen bennük lévő linkre sem. Kerülje az automatikus kitöltés használatát nyilvános vagy megosztott eszközökön. Tartsa naprakészen a jelszókezelő alkalmazást és az eszköz operációs rendszerét, hogy időben javítsa a sebezhetőségeket. Ha egy eszköz elveszik vagy ellopják, azonnal zárolja vagy vonja vissza távolról a jelszókezelő munkamenetét.

Legfontosabb tanulságok

Válasszon auditált, megbízható terméket (Bitwarden, 1Password, KeePassXC, NordPass, Apple Passwords, Google Password Manager) egy auditálatlan niche eszköz helyett.
Használjon legalább 12 karakteres mesterjelszót, amely nagy- és kisbetűket, számokat és szimbólumokat vegyít — legyen egyedi az összes többi jelszavához képest.
Kapcsolja be az MFA-t hardveres kulccsal vagy hitelesítő alkalmazással, SMS helyett.
Tárolja a helyreállítási kulcsot offline, fizikailag, a mesterjelszótól elkülönítve.
Tekintsen adathalászatnak minden olyan e-mailt, amely a mesterjelszavát vagy helyreállítási kulcsát kéri; a szolgáltatók soha nem kérik ezeket.

Összegzés

A jelszókezelő nem egy teljesen biztonságos univerzális eszköz, de továbbra is a jelenleg elérhető legmegbízhatóbb jelszókezelési megközelítés. Alapvető értéke abban rejlik, hogy technikai eszközökkel — zéró tudás titkosítással, egyedileg generált jelszavakkal, adatszivárgás-figyeléssel — ellensúlyozza az olyan emberi szokások által teremtett kockázatokat, mint az újrahasználat és a gyenge, memorizált jelszavak. A maradék kockázat nagy része kezelhető megbízható, auditált termék kiválasztásával és a IV. részben leírt gyakorlatok követésével. Ahelyett, hogy elvontan azt kérdezné, biztonságos-e egy jelszókezelő, összpontosítson a biztonságos használatára: válasszon jogszerű terméket, állítson be erős mesterjelszót, kapcsolja be az MFA-t, és tárolja megfelelően a helyreállítási kulcsot. Az igazi digitális biztonság soha nem egyetlen eszközön nyugszik — hanem a szilárd technikai alapbeállításokra épülő, következetes szokásokból fakad.

Miért bízhat a PassGenerate-ben

A jelszavak a böngészőjében, helyben jönnek létre a Web Crypto API segítségével.
Egyetlen jelszó sem kerül átvitelre szerverekre.
Kriptográfiailag biztonságos pszeudovéletlenszám-generátort (CSPRNG) használ.
A NIST és az OWASP által ajánlott modern biztonsági bevált gyakorlatokat követi.

Hivatkozások

NIST SP 800-63B – Digital Identity Guidelines
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
Bitwarden Global Password Security Report 2024
CISA Password Guidance

Biztonságos a jelszókezelő? Mélyreható biztonsági elemzés 2025