Přeskočit na obsah
patří do skupinyApertiaDraivix

01Platforma a nástroje · modul

Trezor hesel

Šifrovaný firemní trezor hesel se sdílením složek, expirací a záznamem přístupů

Základ k dispozici, část se dokončujeDomluvit konzultaci
  • Přístupový údaj
  • Složka trezoru
  • Sdílení složky
  • Pravidlo trezoru
  • Záznam přístupu
  • Klíč uživatele
  • Servisní identita
13
schopností
7
druhů záznamů
3
automatizací
2
integrací a AI nástrojů

02Co modul umí

Méně rutiny. Víc hodnoty.

Trezor hesel je šifrované úložiště přístupových údajů pro týmy: hesla, poznámky, TOTP klíče a vlastní pole se šifrují v prohlížeči a server ukládá jen zašifrovanou podobu. Složky sdílíte kolegům s volitelnou expirací a kontrolní lhůtou a odhalení nebo zkopírování hesla se zapisuje do záznamu přístupů. Vaše firma tak nahradí sdílené tabulky s hesly.

  • Citlivé údaje šifruje prohlížečHesla, poznámky, TOTP klíče pro jednorázové kódy a vlastní pole se šifrují přímo v prohlížeči klíčem složky. Na server se ukládají jen v zašifrované podobě.
  • Na serveru jen šifrovaná dataServer ukládá jen šifrovaný text a zabalené klíče. Výjimkou jsou název, URL a uživatelské jméno, které zůstávají nešifrované kvůli vyhledávání.
  • Heslo najdete podle názvuPřístupové údaje vyhledáte podle názvu, URL a uživatelského jména. Tato pole zůstávají nešifrovaná, takže vyhledávání funguje i bez odhalení hesla.
  • Klíče chrání vaše frázeKaždý uživatel má vlastní pár klíčů a soukromý klíč chrání přístupová fráze s odvozením Argon2. Zapomenutou frázi nelze obnovit, správce může klíče jen vyměnit.
  • Opuštěný trezor se zamknePo nastavené době nečinnosti, ve výchozím stavu 480 minut, se trezor v prohlížeči sám zamkne. Odložený počítač nenechá hesla otevřená.
  • Složku nasdílíte i týmuSložku nasdílíte jednotlivým kolegům i přes tým a sdílení platí okamžitě. Její klíč se zabalí veřejným klíčem příjemce, takže hesla nepřeposíláte ručně.
  • Dočasný přístup skončí sámU sdílení nastavíte datum vypršení, po kterém přístup automaticky končí. Dočasný člen týmu tak nezůstane v trezoru déle, než má.
  • Vlastník rozhoduje, kdo zůstaneU sdílení nastavíte kontrolní lhůtu, ve které ho vlastník složky schválí, nebo zruší. Po jejím uplynutí se přístup pozastaví a schválení ho už neobnoví.
  • Jasná pravidla, i zákazyPravidla trezoru určují oprávnění pro zvolený rozsah a umí i výslovný zákaz. Přístup k citlivým údajům můžete někomu výslovně odepřít.
  • Víte, kdo heslo vidělOdhalení a zkopírování hesla se zapisují do záznamu přístupů s uživatelem, IP adresou a prohlížečem. Zpětně dohledáte, kdo se k heslu dostal.
  • Hesla přímo v prohlížečiRozšíření prohlížeče se k trezoru připojí přes OAuth s oprávněním pro čtení nebo zápis. K přístupovým údajům se dostanete přímo při práci na webu.
  • Hesla i pro automatizaciServisní identity mají pro automatizaci vlastní pár klíčů. Složku sdílenou se servisní identitou přečte server, ostatní složky se dešifrují jen v prohlížeči.
  • GitLab bez tokenu na serveruPomocník pro GitLab použije token uložený v trezoru: prohlížeč ho dešifruje a pošle s každým požadavkem. Server ho neukládá a volání zapíše do záznamu přístupů.

Co se ještě dokončuje

  • Záznam přístupů nezahrnuje založení, úpravu a smazání přístupového údaje ani načtení klíče složky.
  • Schválení sdílení až po uplynutí kontrolní lhůty přístup neobnoví; vlastník musí složku nasdílet znovu.
  • Správa pravidel trezoru zatím není omezena jen na správce trezoru.

03Jak to funguje

Jak to funguje krok za krokem.

  1. Šifrování v prohlížeči

    Hesla, poznámky, TOTP klíče a vlastní pole se šifrují v prohlížeči klíčem složky. Server ukládá jen šifrovaný text a zabalené klíče. Název, URL a uživatelské jméno jsou nešifrované, aby šlo přístupové údaje vyhledat.

    Číst podrobněji

    Každý uživatel má vlastní pár klíčů. Soukromý klíč je chráněný klíčem odvozeným z jeho přístupové fráze (Argon2). Po nastavené době nečinnosti, ve výchozím stavu 480 minut, se trezor v prohlížeči zamkne. Zapomenutou frázi nelze obnovit: správce může klíče uživatele jen vyměnit a údaje, které měl uživatel jen přes svůj starý klíč, musí někdo znovu nasdílet.

  2. Sdílení složek

    Složku nasdílíte kolegovi tak, že se její klíč zabalí jeho veřejným klíčem; sdílet lze i přes tým. Sdílení platí okamžitě. Můžete nastavit datum vypršení, po kterém přístup končí, a kontrolní lhůtu, po jejímž uplynutí se přístup pozastaví, dokud ho vlastník složky neschválí nebo nezruší.

    Číst podrobněji

    Pravidla trezoru určují oprávnění pro zvolený rozsah, včetně výslovného zákazu.

  3. Záznam přístupů

    Do záznamu přístupů se zapisuje odhalení a zkopírování hesla, sdílení a zrušení sdílení složky, kontroly sdílení, automatické odebrání po vypršení a volání pomocníka pro GitLab. U každého zápisu je uživatel, IP adresa a prohlížeč.

  4. Rozšíření prohlížeče, servisní identity a GitLab

    Rozšíření prohlížeče se k trezoru připojí přes OAuth s oprávněním pro čtení nebo zápis. Pro automatizaci slouží servisní identity s vlastním párem klíčů; složku sdílenou se servisní identitou dokáže přečíst server, ostatní složky se dešifrují jen v prohlížeči.

    Číst podrobněji

    Pomocník pro GitLab použije uložený token pro práci s repozitářem, issues, merge requesty a pipelines. Prohlížeč token dešifruje a pošle ho s každým požadavkem; server ho neukládá a volání zapíše do záznamu přístupů. AI asistent do trezoru přístup nemá.

04Co běží samo

Automatizace, které šetří čas.

  1. Prošlé sdílení zmizí samo

    Každých deset minut systém odebere sdílení, kterým vypršelo datum. Úloha běží poté, co ji založí správce, a odebrání se zapíše do záznamu přístupů.

  2. Prošlá lhůta přístup pozastaví

    Po uplynutí kontrolní lhůty sdílení se přístup pozastaví. Nikdo tak nemá přístup dál jen proto, že se na kontrolu zapomnělo.

  3. Trezor se po nečinnosti zamkne

    Když v prohlížeči po nastavenou dobu nepracujete, trezor se sám zamkne. Hesla nezůstanou dostupná na počítači, od kterého jste odešli.

Napojení ven

  • Práce s GitLabem přes trezorPomocník pracuje přes GitLab API s uloženým tokenem: s repozitářem, issues, merge requesty a pipelines. Každé volání se zapíše do záznamu přístupů.
  • Prohlížeč připojený přes OAuthRozšíření prohlížeče se k trezoru připojí přes OAuth, standard pro udělování přístupu aplikacím. Spojení má oprávnění pro čtení nebo zápis, takže víte, co smí.

05Časté otázky

Vidí správce systému moje hesla?

Ne. Hesla se šifrují v prohlížeči a server ukládá jen šifrovaný text. Výjimkou jsou složky výslovně sdílené se servisní identitou pro automatizaci.

Co když zapomenu přístupovou frázi?

Frázi obnovit nelze. Správce vám vymění klíče a založíte nový trezor; údaje, které jste měli jen vy, vám musí kolega znovu nasdílet.

Můžu sdílet heslo jen na omezenou dobu?

Ano. Sdílení složky má volitelné datum vypršení, po kterém přístup končí.

Má AI asistent přístup k trezoru?

Ne. Trezor záměrně nenabízí žádné AI nástroje a workflow do něj také nemají přístup.

Ukládá trezor TOTP kódy pro dvoufázové ověření?

Ano. K přístupovému údaji uložíte TOTP klíč, který se šifruje stejně jako heslo.

06Souvisí s tím

Moduly, které dávají smysl společně.

Všechny moduly oblasti Platforma a nástroje

Začneme spolu

Popište nám, jak funguje vaše firma.

My vám ukážeme, jak by mohl vypadat systém, který část této práce převezme.

Domluvit konzultaci