Minden jelszó egy helyen – nem veszélyes ez? A kérdés jogos, a szakhatóságok válasza egyértelmű: a jelszókezelő lényegesen biztonságosabb, mint az alternatívák – a böngészőben tárolt jelszavak, a cetlik, az Excel-táblázat vagy az újrafelhasznált, fejben tartott jelszavak. Ez a cikk elmagyarázza, hogyan működik a védelem technikailag, milyen maradványkockázatok maradnak, és milyen kritériumok tesznek egy jelszókezelőt biztonságossá – magáncélra és vállalati használatra egyaránt.
A rövid válasz
Egy komoly jelszókezelő a hozzáférési adatokat erősen titkosított adatbázisban tárolja, amely csak az Ön mesterjelszavával nyitható meg. Ez oldja meg a tulajdonképpeni problémát: jelszókezelő nélkül az emberek gyenge vagy azonos jelszavakat használnak – és a legtöbb sikeres támadás pontosan ezeken keresztül zajlik. Ezért ajánlja a jelszókezelők használatát kifejezetten a BSI és a brit NCSC is.
A helyes kérdés tehát nem az, hogy egy jelszókezelő elég biztonságos-e – hanem hogy melyik teljesíti a biztonsági kritériumokat.
Hogyan védi a jelszókezelő az Ön adatait
- Ipari szabvány szerinti titkosítás: Az adatbázis AES-256 használatával titkosított – ezt a FIPS 197 szabványosítja, és az NSA a CNSA 2.0 Suite részeként különösen védendő rendszerekhez sorolja. Az új helyi adatbázisok a hitelesített AES-GCM módot használják (Windows CNG-n keresztül), amely felismerhetővé teszi a titkosított adatok manipulációját; a klasszikus AES-CBC mód továbbra is elérhető. Az algoritmus működését a Rijndael/AES cikkünk ismerteti.
- A mesterjelszó mint egyetlen kulcs: A mesterjelszó nem kerül egyszerű szövegként tárolásra; belőle a kulcsot kriptográfiai úton származtatják. A modern irányelvek, mint a NIST SP 800-63B, ehhez többek között memóriaigényes származtatási eljárásokat és saltot követelnek meg.
- Védelem működés közben: Az inaktivitás esetén zároló funkció, a kontrollált vágólap és az automatikus kitöltés csökkenti a támadási felületet a munkahelyen – a leskelődés és az adathalász elgépelések ellen is.
- Átviteli titkosítás: A központi adatbázisokhoz való hozzáférésnél a kapcsolatot TLS 1.3 védi.
- Szivárgások korai felismerése: A tárolt jelszavak a nyilvános Have I Been Pwned adatbázis ellenében ellenőrizhetők – k-anonimitással, anélkül, hogy a jelszavak egyszerű szövegként elhagynák a számítógépet.
Mit mond a BSI, a NIST és az NCSC?
- BSI: Jelszókezelőt ajánl, hogy minden szolgáltatáshoz saját, erős jelszót lehessen használni – és 2025 óta nem ajánlja az indok nélküli, rendszeres jelszócserét. Mindkettő gyakorlatilag feltételez egy jelszókezelőt.
- NIST: Az SP 800-63B megköveteli, hogy a szolgáltatások engedélyezzék a jelszavak beillesztését – kifejezetten azért, hogy jelszókezelőket lehessen használni –, és ajánlja az ellenőrzést a kompromittált jelszavak listái ellenében.
- NCSC (Egyesült Királyság): A jelszókezelőket a szervezetek modern jelszóstratégiáinak központi építőelemeként ajánlja.
A hatósági álláspont tehát egységes: nem a jelszókezelő a kockázat – hanem ez az ajánlott ellenintézkedés.
A maradványkockázatok őszintén
Egyetlen rendszer sem kockázatmentes. Négy pontot érdemes ismernie – és célzottan bebiztosítania:
- A mesterjelszó a központi kulcs: Hosszúnak és egyedinek kell lennie (jelmondat), és sehol máshol nem szabad használni. A hozzáférés emellett 2FA segítségével is bebiztosítható – például TOTP-vel vagy FIDO2-hardvertokennel.
- Kompromittált végpontok: Egy kártevővel fertőzött számítógép minden billentyűleütést rögzíthet – ez a jelszókezelőkre éppúgy igaz, mint minden más alkalmazásra. A végpontvédelem és a naprakész rendszerek továbbra is kötelezőek.
- A szolgáltatói Cloud mint támadási célpont: Sok felhasználó központi Cloud-trezorja rendkívül vonzó célpont. Ez a kockázat architektúrával korlátozható: On-Premises üzemeltetés esetén a titkosított adatbázisok az Ön saját infrastruktúrájában találhatók – nincs olyan központi gyártói trezor, amely minden ügyfél számára egyszerre lenne érdekes.
- Elfelejtett mesterjelszó: Mesterjelszó nélkül az adatok nem állíthatók helyre – ez a valódi titkosítás másik oldala. Vállalatok számára ezt a problémát a központi szerveradatbázisok, a szerepkörök és a biztonsági mentések szervezésileg oldják meg.
Miről ismerhető fel a biztonságos jelszókezelő
A táblázat oldalra görgethető
| Kritérium | Mire érdemes figyelnie |
|---|---|
| Titkosítás | AES-256 az adatbázishoz, TLS 1.3 az átvitelhez – dokumentáltan és ellenőrizhetően |
| A mesterjelszó védelme | Nincs egyszerű szöveges tárolás; kriptográfiai kulcsszármaztatás az aktuális irányelvek szerint |
| Többfaktoros hitelesítés | 2FA a hozzáféréshez – TOTP, még jobb kiegészítésként FIDO2/WebAuthn-hardvertoken |
| Független ellenőrzés | Külső penetrációs tesztek neves auditorok által, közzétett eredménnyel |
| Adattárolás | Választható tárolási hely – helyben, saját szerveren vagy saját Cloud-tenantban, kikényszerített gyártói Cloud helyett |
| Szivárgás-ellenőrzés | Beépített ellenőrzés a tárolt jelszavakhoz kompromittált listák ellenében |
| A gyártó érettsége | Megbízható Security-Updates, dokumentált támogatási időszakok, tanúsított biztonsági folyamatok |
Vállalatok számára olyan követelmények jönnek még hozzá, mint a szerepkörök, a központi házirendek és az auditnaplók – a teljes ellenőrzőlistát a Jelszókezelő vállalatok számára című cikk tartalmazza.
Hogyan teljesíti a Password Depot ezeket a kritériumokat
- Kriptográfia: AES-256 (FIPS 197) adatbázisokhoz, TLS 1.3 Perfect Forward Secrecy használatával kliens-szerver kapcsolatokhoz; a felhasználói jelszavak szerveroldalon Argon2id használatával hash-elődnek.
- Külsőleg ellenőrizve: A SySS GmbH 10 napos penetrációs tesztje során (2025/12) nem találtak kritikus vagy magas súlyosságú sérülékenységeket – a jelentés a Trust Centerben dokumentált.
- Tanúsított biztonsági folyamatok: A gyártó AceBIT információbiztonsági irányítási rendszere ISO/IEC 27001:2022 szerint tanúsított (TÜV NORD). Átláthatósági megjegyzés: a tanúsítás a gyártó ISMS-ére vonatkozik – fejlesztés, értékesítés és támogatás –, nem magára a termékre.
- 2FA és jelszó nélküli eljárások: A TOTP, a FIDO2/WebAuthn és a Windows Hello kiegészítő védelmet ad a hozzáférésnek.
- Adatszuverenitás: Az adatbázisok helyben, a saját Enterprise Serveren vagy a saját Azure-tenantban találhatók – gyártói Cloud nélkül a bizalmi láncban.
- Tervezhető biztonság: Ingyenes Security-Updates dokumentált támogatási időszakkal (19-es verzió: legalább 2030 decemberéig).
- Beépített szivárgás-ellenőrzés: Az Extrák → Biztonsági ellenőrzés → Ellenőrzés a pwned jelszavak között menüpont a meglévő jelszavakat az ismert adatszivárgások ellenében ellenőrzi.
Vállalatoknak: a biztonság központi érvényesítése
Magánhasználatra elegendő egy jól konfigurált kliens. Szervezetekben a központi kikényszerítés a döntő: a Password Depot Enterprise Server szerveroldalon határozza meg a jelszószabályzatokat, Active Directory vagy Entra ID szerepkörein és csoportjain keresztül vezérli a hozzáféréseket, és minden hozzáférést manipulációbiztos auditnaplóba rögzít – ez az auditok és a GDPR szerinti elszámoltathatóság alapja. Így a biztonságos önálló alkalmazás az egész vállalatra kiterjedő, bizonyítható biztonsági szabvánnyá válik.
Összegzés: az a biztonságos, ami teljesíti a kritériumokat – nem az, ami kényelmes
A jelszókezelők a BSI, a NIST és az NCSC egybehangzó értékelése szerint a helyes utat jelentik az egyedi, erős jelszavakhoz. A kiválasztás a döntő: erős, dokumentált kriptográfia, független ellenőrzések, 2FA és egy olyan tárolási hely, amelyet Ön kontrollál. Aki emellett a szolgáltatói Cloudot is kiveszi a bizalmi láncból, az utolsó strukturális maradványkockázatot is csökkenti.
Gyakori kérdések a jelszókezelők biztonságáról
Feltörhetők a jelszókezelők?
A támadások a gyakorlatban a gyenge mesterjelszavak, a kompromittált végpontok vagy a szolgáltatók központi Cloud-trezorjai ellen irányulnak – nem maga az AES-256 titkosítás ellen. Egy hosszú, egyedi mesterjelszó, a 2FA és egy saját maga által meghatározott tárolási helyű megoldás minimalizálja ezeket a támadási felületeket.
Nem kockázatos minden jelszót egy helyen tárolni?
A titkosított gyűjtemény kockázata lényegesen kisebb, mint az alternatíváé: gyenge vagy újrafelhasznált jelszavak több tucat szolgáltatásnál. Pontosan ezért ajánlja a BSI és az NCSC kifejezetten a jelszókezelőket – a fontos az erős mesterjelszó és a 2FA.
Ismeri a gyártó a jelszavaimat?
A Password Depot esetében nem: a mesterjelszó nem kerül egyszerű szövegként tárolásra, az adatbázis AES-256 titkosítással védett, On-Premises üzemeltetés esetén pedig az adatok kizárólag az Ön saját infrastruktúrájában találhatók.
Ugyanolyan biztonságos a böngésző jelszótárolója?
A böngészős tárolók a böngészőprofilhoz kötöttek, nem kínálnak önálló mesterjelszó-koncepciót minden platformon, sem központi házirendeket, sem szerepköröket vagy naplókat a csapatok számára. Magáncélú egyedi fiókokhoz jobb a semminél – vállalatok számára alkalmatlan.
Mi történik, ha elfelejtem a mesterjelszavamat?
Mesterjelszó nélkül a titkosított adatok nem állíthatók helyre – ez a hátsó ajtó nélküli, valódi titkosítás következménye. Vállalati használatban ezt a kockázatot a központi szerveradatbázisok, a szerepkörök és az automatizált biztonsági mentések szervezésileg tompítják.
Nem biztonságosak a Cloud-jelszókezelők?
A komoly Cloud-szolgáltatók szintén erősen titkosítanak. Strukturálisan azonban a központi trezorjuk rendkívül vonzó támadási célpont marad, a tárolási hely és a rendelkezésre állás pedig a szolgáltatónál van. Akinek ezt ki kell zárnia – például megfelelőségi okokból –, az a jelszókezelést On-Premises vagy a saját Cloud-tenantban üzemelteti.
Biztonság, amelyet Ön is ellenőrizhet
AES-256, SySS által ellenőrizve, ISO 27001 szerint tanúsított gyártó – és a tárolási hely az Ön kontrollja alatt marad. Ismerje meg a Password Depot Enterprise Servert.
Az Enterprise Server megismerése