Менеджер паролей: как выбрать и зачем он нужен

Вы получаете письмо: сервис, которым вы не пользовались пару лет, был взломан, и пароли всех пользователей оказались в открытом доступе на теневых форумах. Первая мысль — «у меня там был мусорный аккаунт, не страшно». Вторая мысль приходит секундой позже: а не тот ли это пароль, что стоит на почте, в приложении банка и на криптобирже, где лежат Ethereum и USDT? Именно от такого сценария защищает менеджер паролей — и разбираться, как его выбрать, разумнее заранее, а не в панике после письма об утечке.

Кратко

• Менеджер паролей генерирует и хранит уникальный сложный пароль для каждого сервиса, а не просто «записывает» то, что вы придумали сами.
• Надёжные решения используют шифрование с нулевым знанием: даже взлом сервера компании не даёт доступа к вашим паролям без мастер-пароля.
• Встроенный в браузер менеджер бесплатен, но привязан к одному браузеру; отдельное приложение работает на всех устройствах и добавляет функции безопасности.
• Главная точка риска смещается на сам мастер-пароль и устройство, с которого вы входите, — а не на архитектуру сервиса.
• Перенос стоит начинать с почты, банковских приложений и криптобиржи — аккаунтов, взлом которых обходится дороже всего.

Схема: устройство расшифровывает данные локально с помощью мастер-пароля, поэтому сервер компании хранит только зашифрованный набор символов и не может его прочитать.

Что такое менеджер паролей и как он работает

Многие представляют менеджер паролей как зашифрованный блокнот, куда вручную вписывают логины. На деле его основная работа — генерировать длинный случайный пароль под каждый отдельный сервис и подставлять его автоматически, так что для почты, биржи и стримингового сервиса пароли всегда разные, даже если вы сами их никогда не видели и не запоминали.

Хранилище открывается одним мастер-паролем, а данные синхронизируются между телефоном, ноутбуком и браузером. Часть приложений дополнительно проверяет по открытым базам, не засветился ли какой-то из ваших паролей в уже известных утечках, и предупреждает об этом раньше, чем вы узнаете об инциденте из новостей.

Зачем нужен менеджер паролей, если я и так помню свои пароли?

Затем, что человеческая память физически не способна держать в голове несколько десятков по-настоящему разных сложных паролей, поэтому один и тот же набор символов (или его вариации) кочует между сервисами. Именно на этом строится большинство массовых взломов: базу одного сервиса взламывают не напрямую ради него самого, а как источник пар «логин — пароль», которые затем автоматически проверяют на почте, в банках и на биржах.

Такая атака называется credential stuffing — подстановка утёкших пар логин-пароль на других сайтах. Менеджер паролей убирает саму возможность такой атаки, потому что пароли между сервисами никогда не повторяются.

Что будет, если взломают сам менеджер паролей?

При архитектуре шифрования с нулевым знанием взлом сервера компании не даёт злоумышленнику ваши пароли, потому что расшифровка происходит только локально, на вашем устройстве, с помощью мастер-пароля, которого у компании никогда не было. Даже полная утечка базы данных провайдера оборачивается набором бесполезных зашифрованных строк.

Слабое место при этом не исчезает, а переносится в одну точку — сам мастер-пароль и устройство для входа. Поэтому его стоит защищать так же серьёзно, как вход в банк, и обязательно включать двухфакторную аутентификацию (2FA) там, где менеджер паролей её предлагает.

Отдельная тема — как вас могут обмануть и заставить ввести мастер-пароль самостоятельно: разбор того, как распознать фишинговые атаки и защититься от них, стоит прочитать отдельно — менеджер паролей бессилен, если мастер-пароль вы сами введёте на поддельном сайте.

Встроенный менеджер браузера или отдельное приложение — что выбрать

Браузеры вроде Chrome или Safari давно умеют сохранять и генерировать пароли бесплатно и без установки чего-либо ещё. Отдельные приложения, такие как Bitwarden или 1Password, работают одинаково во всех браузерах и на всех устройствах сразу, добавляют безопасный обмен паролями с семьёй или командой и предупреждают о повторно используемых комбинациях.

Выбор чаще всего упирается в то, живёте ли вы в одной экосистеме или переключаетесь между разными браузерами и операционными системами в течение дня — во втором случае отдельное приложение почти всегда удобнее.

Как выбрать менеджер паролей: на что смотреть

Смотреть в первую очередь стоит на три вещи: шифрование по принципу нулевого знания, поддержку всех ваших устройств и встроенную двухфакторную аутентификацию для входа в само хранилище. Дальше — по списку практических критериев:

• прозрачное шифрование, желательно с независимыми аудитами безопасности
• синхронизация между телефоном, ноутбуком и всеми используемыми браузерами
• поддержка двухфакторной аутентификации для входа в само хранилище
• безопасный обмен отдельным паролем с близкими без пересылки в мессенджере
• проверка, не встречался ли пароль в базах известных утечек

Полезный ориентир при выборе длины и формы мастер-пароля — рекомендации NIST (Национального института стандартов и технологий США, публикация SP 800-63B): там советуют делать ставку на длину и запоминаемую фразу, а не на короткий пароль с обязательными спецсимволами и принудительной сменой раз в месяц, которая на практике только заставляет людей использовать более простые и предсказуемые варианты.

Менеджер паролей и криптобиржа: почему тут ставки выше

У банковского счёта в России есть система страхования вкладов и регулятор в лице Банка России, который системно напоминает о рисках повторного использования паролей и фишинга в своих материалах по цифровой гигиене для частных клиентов. У аккаунта на криптобирже, где хранится Ethereum или USDT, такой сетки безопасности нет: перевод, совершённый с чужого доступа, как правило необратим.

Поэтому для входа на биржу пароль должен быть уникальным и сгенерированным менеджером паролей, а не вариацией пароля от почты. Там, где биржа предлагает аппаратный ключ или отдельное приложение-аутентификатор вместо кода в СМС, стоит выбрать именно этот вариант — СМС можно перехватить через подмену сим-карты, а физический ключ или отдельное приложение — нет.

Если вы также ведёте личный watchlist с акциями и криптовалютами на long-short.ru, доступ к аккаунту, где он хранится, стоит защищать так же тщательно, как биржевой логин — уникальным паролем из менеджера и двухфакторной аутентификацией.

Главные ошибки при использовании менеджера паролей

• ставить простой или уже использованный где-то мастер-пароль
• хранить резервную копию мастер-пароля в облачной заметке или письме самому себе
• игнорировать предупреждения о повторно используемых паролях в отчёте безопасности
• не включать двухфакторную аутентификацию для входа в хранилище
• вводить мастер-пароль на чужом устройстве или по ссылке из письма — так работают фишинговые атаки

1. 1Выберите один менеджер паролей и придумайте длинную запоминаемую фразу как мастер-пароль
2. 2Включите двухфакторную аутентификацию для входа в само хранилище
3. 3Перенесите почту, банковские приложения и криптобиржу первыми
4. 4Замените повторяющиеся пароли на сгенерированные по одному сервису за раз
5. 5Настройте резервный доступ через встроенный механизм восстановления, а не через заметку с паролем

Можно ли обойтись встроенным менеджером паролей в браузере?

Да, для базовой защиты от повторного использования паролей встроенного менеджера обычно достаточно. Отдельное приложение имеет смысл, если вы пользуетесь разными браузерами или операционными системами, хотите делиться паролями с семьёй безопасно или искать себя в базах утечек автоматически.

Что будет с паролями, если я потеряю телефон?

Ничего не потеряется, если хранилище синхронизировано с облаком провайдера менеджера паролей: данные остаются зашифрованными на сервере и становятся доступны заново после входа на новом устройстве с тем же мастер-паролем. Именно поэтому резервный способ восстановления доступа стоит настроить заранее, а не в момент, когда телефон уже потерян.

Безопасно ли хранить в менеджере паролей доступ к криптобирже?

Да, при условии, что сам менеджер использует шифрование с нулевым знанием и вы включили двухфакторную аутентификацию — это безопаснее, чем короткий пароль, который легко запомнить и который поэтому легко подобрать или переиспользовать. Хранить пароль от биржи стоит там же, где и остальные, а не отдельно «в голове», иначе он рискует оказаться простым.

Что делать дальше

Выберите один менеджер паролей и переносите в него сервисы постепенно, начиная с почты, банковских приложений и криптобиржи. Придумайте мастер-пароль в виде длинной фразы, которую легко вспомнить, но невозможно подобрать, и включите двухфакторную аутентификацию для входа в хранилище.

Если часто работаете из кафе или аэропорта, дополнительно почитайте, как VPN защищает данные в открытых сетях. А прежде чем считать долгосрочную доходность в калькуляторе сложного процента, убедитесь, что доступ к брокерскому аккаунту и почте, с которых вы туда заходите, защищён уникальными паролями, а не тем, что легко подобрать.

Материал носит информационный характер и не является индивидуальной инвестиционной рекомендацией.

Больше материалов о том, как устроены современные технологии, — в разделе «Технологии» на long-short.ru.