Увійдіть до своєї електронної пошти. Увійдіть до свого банківського облікового запису. Увійдіть до Facebook. Увійдіть до Amazon. Увійдіть у свою хмару з фотографіями. Чи можете ви порахувати, скільки програм регулярно вимагають пароль? Подумайте також про локальний обліковий запис вашого комп’ютера. Потім додайте спільні ресурси мережі на роботі або особисті записи в школі. Список росте дуже швидко.
Як ви відстежуєте ці дані?
Більшість людей пробує кілька хитрощів. Деякі працюють. Деякі небезпечні. Ось що ви, мабуть, пробували, і чому вам, швидше за все, слід відмовитися від цього.
Перестаньте використовувати ці методи
Запам’ятати все. Це працює, якщо ви входите в систему щодня. Це не працює, якщо ви відвідуєте сайт раз на місяць. Забули свій пароль? Ви заблоковано. Крім того, файли cookie браузера часто запам’ятовують вашу сесію на кілька днів. Вам може не потрібно вводити пароль вручну щодня, але ви все одно повинні знати його, якщо термін дії cookie закінчиться.
Використовувати той самий пароль. Це просто. Це дуже безпечно. Якщо хакер зламає ваше ім’я користувача та пароль для одного облікового запису, він отримає доступ до вашого банку, електронної пошти та соціальних мереж. До того ж. Один ключ відчиняє всі двері. Не робіть цього.
Записати на папері. Ідеально лише в тому випадку, якщо ви сховаєте папір так, щоб ніхто не міг його знайти. Якщо хтось знайде список, ви опинитеся у вразливому положенні. Якщо ви втратите клаптики паперу, ви втратите доступ. І оновлювати список щоразу при зміні пароля? Це завдання, яке ви, ймовірно, пропускатимете.
Зберегти в текстовому файлі на пристрої. Краще паперу. Менше шансів, що він загубиться у ящику. Але якщо жорсткий диск вийде з ладу, файл зникне. Більш важливим є те, що якщо ваш комп’ютер буде зламаний, файл опиниться в небезпеці. Хакери люблять текстові файли. Можна зашифрувати файл для додаткової безпеки. Це робить цей спосіб схожим на наступний варіант.
Використовувати програмне забезпечення для керування паролями. Це утиліта, яка зберігає та витягує всі ваші паролі. Це може бути окрема програма на комп’ютері або функція, вбудована в інший інструмент. Він обмежує шляхи хакерів до ваших даних. Додає функції для організації та отримання інформації. Це стандарт із поважної причини.
У цій статті ми розбираємо типи програмного забезпечення для керування паролями. Ми розглядаємо переваги та ризики. Ми вивчаємо конкретні програми на ринку і з’ясовуємо, які з них надійні, а які працюють нестабільно. Але спершу давайте подивимося, як розвивалася ця проблема.
Історія проблеми управління паролями
Ранні домашні комп’ютери були простими. Один комп’ютер. Один користувач. Нема інтернету. Одного пароля було достатньо. Деякі люди приклеювали пароль на наклейці до монітора. Ніхто не знаходив його, якщо тільки не проникав до хати.
Потім з’явилися мережі. Несподівано вам знадобилися паролі для кожної системи в мережі. Стикер більше не розміщувався на моніторі. Записувати їх стало ризиковано. Вам потрібне було найкраще рішення.
Розробники програмного забезпечення створили перші інструменти управління паролями. Мета була простою. Керувати списком облікових записів з іменами користувачів та паролями. Захистити цей перелік від хакерів. Захист повинен був працювати як на локальному комп’ютері, так і через мережеві з’єднання. З розвитком функцій ці інструменти почали вирішувати складніші завдання безпеки.
Проблема вибухнула з появою Всесвітнього павутиння у 1990-х роках. Кожен веб-сайт мав свою систему користувачів. Деякі сайти додавали обмеження, щоб запобігти програмному вгадуванню паролів. Інші сайти встановлювали суворі правила. Важлива довжина. Важливою є структура. Правила різняться залежно від сайту.
Один сайт вимагає спеціальних символів, таких як знаки оклику або зірочки. Інший сайт повністю їх відкидає. Ви не можете використовувати той самий пароль скрізь, якщо правила суперечать один одному. Вам потрібні унікальні паролі для кожної платформи.
Мобільні обчислення посилили ситуацію. Ноутбуки дозволяють виходити в інтернет з будь-якого місця. Але вони також збільшують ризик втрати даних через пошкодження чи крадіжку. Додайте до цього смартфони та планшети. Тепер ви керуєте паролями на кількох пристроях. Не лише на одному чи двох.
Сучасні рішення враховують проблеми веб- та мобільних технологій. Вони інтегруються із веб-браузерами. Вони автоматично заповнюють форми входу, коли ви відвідуєте вказані сайти. Проблема не зменшується. Хмарні обчислення замінюють локальні утиліти. Веб-програми ростуть. Ви навіть можете знайти керування паролями у вигляді веб-застосунку.
Типи та переваги програмного забезпечення для керування паролями
Ми окреслили проблеми. Тепер подивимося на базові функції. Різні типи програмного забезпечення пропонують різні переваги. Деякі фокусуються на безпеці. Інші – на зручності. Розуміння типів допомагає вибрати правильний інструмент.
Програмне забезпечення для керування паролями – це не тільки економія часу. Це створення бар’єру між вашими конфіденційними даними та потенційними зловмисниками.
Далі ми розглянемо конкретні програми. Ми з’ясуємо, які з них відповідають як функціональним вимогам, так і стандартам безпеки. Які з них заслуговують на вашу довіру? Які з них просто маркетинговий шум? Відповідь залежить від ваших потреб. І вашої толерантності до ризику.
Розробники не дійшли єдиної думки щодо єдиного стандарту для менеджерів паролів. Дискусія зосереджена на тому, де зберігаються дані, наскільки вони суворо захищені і які додаткові інструменти включаються до пакета для збереження або вилучення облікових даних. До 2011 року сформувалося чотири різні типи. Кожен із них має свої компроміси між зручністю та ризиками.
Правильний інструмент залежить від моделі загроз. Якщо ви ніколи не залишаєте будинок, достатньо розширення для браузера. Якщо ви подорожуєте зі своїм ноутбуком, апаратне шифрування може коштувати клопоту.
Менеджери, інтегровані в браузер
Операційні системи, браузери та комплекти засобів безпеки часто постачаються із вбудованими сховищами паролів. Chrome, Firefox і Internet Explorer мали свої власні реалізації. Norton 360 включав функції керування ідентифікацією до свого загального набору засобів безпеки. Ці інструменти зручні. Вони працюють одразу після встановлення. Для їх використання не потрібне додаткове програмне забезпечення.
Однак вони є найменш безпечним варіантом для середовищ із високим рівнем ризику. Ви довіряєте рівню безпеки браузера захист своїх найглибших секретів. Якщо цей браузер буде скомпрометовано, ваші паролі будуть скомпрометовані разом із ним. Використовуйте цей варіант лише в тому випадку, якщо ви довіряєте екосистемі настільки, що вам не потрібний додатковий рівень захисту.
Автономні настільні програми
Це була первісна модель. Жодної хмари. Жодної інтеграції з браузером. Просто додаток на вашому комп’ютері. KeePass та Aurora є яскравими прикладами того часу. Aurora пропонувала надійне шифрування, можливості заповнення форм, генератор паролів і можливість експорту даних у файли, що читаються.
Ці програми відмінно підходять, якщо ви використовуєте один пристрій. Вони не передають ваші дані іншим користувачам на тому ж пристрої, якщо це абсолютно не потрібно. Вони зберігають все локально. Нестача? Відсутність синхронізації. Якщо ви зміните комп’ютер, ви залишитеся віч-на-віч із цією проблемою. Вам доведеться переміщувати файл бази даних вручну. Це жорстко, але безпечно та ізольовано.
Апаратна безпека
Деякі менеджери використовують фізичні компоненти, вбудовані у пристрій. Наприклад, ноутбуки Lenovo серії T оснащувалися чіпсетом Embedded Security Subsystem на материнській платі. Це не просто програмне сховище. Це виділене апаратне забезпечення.
У поєднанні з інструментами керування паролями Lenovo дані шифруються та зберігаються у цьому чіпсеті. Для доступу потрібен ключ доступу, відбиток пальця з вбудованого зчитувача або обидва фактори одночасно. Оскільки облікові дані не знаходяться на жорсткому диску, можна налаштувати BIOS так, щоб вимагати цей ключ доступу або біометричні дані для завантаження машини.
Цей підхід спрямовано конкретну загрозу: фізичну крадіжку чи злом. Якщо ви працюєте в загальних просторах, часто подорожуєте або турбуєтеся про те, що хтось вкраде ваш ноутбук і витягне диск, апаратне шифрування створює непереборний бар’єр. Це менш поширене рішення, ніж хмарні, але його значно складніше обійти віддалено.
Веб-орієнтовані менеджери паролів
Хмарна модель змінила правила гри. Веб-програми, такі як RoboForm і PasswordSafe, дозволяли отримувати доступ з будь-якого пристрою, підключеного до інтернету. Ви входили в систему за допомогою одного майстер-пароля та отримували доступ до всього іншого.
RoboForm і PasswordSafe повторювали багато функцій автономних додатків, таких як Aurora, але додавали кроссплатформенну доступність. Браузери на настільних комп’ютерах і мобільних пристроях могли звертатися до того самого сховища. Це вибір за промовчанням, якщо ви використовуєте кілька операційних систем. Ви хочете, щоб ваші паролі були скрізь і миттєво. Компроміс? Ви довіряєте свої дані сторонньому серверу. Якщо цей сервер буде зламаний, все ваше цифрове життя опиниться під загрозою.
Ризики використання програмного забезпечення для керування паролями
Єдина точка відмови
Ви не стали б носити банківські виписки, ключі від дому та кредитні картки в незахищеному рюкзаку. То навіщо поміщати всі цифрові облікові дані в одну програму, не ставлячи запитань? Менеджери паролів зручні, безперечно. Але вони зосереджують ризик. Якщо хакер отримає цей єдиний майстер-ключ, він матиме доступ до всього.
Уявіть ваш менеджер паролів як ваш фізичний дім. У ньому зберігаються усі ваші цінності. Один ключ відчиняє вхідні двері. Якщо цей ключ вкрадено, зловмисник забирає не лише ваш телевізор. Він забирає вашу особу, ваші гроші, ваші секрети. Саме собою програмне забезпечення не так важливо, як те, як ви замикаєте двері.
Зміцнення оборони
Ви не можете усунути ризик. Ви можете лише керувати ним. Ставтеся до свого майстер-паролю як до кодів запуску ядерної зброї.
- Фізична безпека має значення. Не залишайте ноутбук на столі у кав’ярні, поки йдете за кавою. Використовуйте замок Кенсінгтона, якщо у громадському місці. Крадіжка – найпоширеніший спосіб, яким облікові дані залишають ваше володіння.
- Заблокуйте свої облікові записи. Слабкий пароль пристрою – це лазівка. Вимагайте входу до системи під час завантаження. Вимагайте входу в систему під час пробудження. Змінюйте цей пароль регулярно.
- Блокування екрана – це не обговорюється. Відходьте від комп’ютера? Блокуйте екран. Завжди.
- Ніякого обміну. Ніколи не повідомляйте свій майстер-пароль службі технічної підтримки, сім’ї чи друзям. Ніколи.
- Межмережевые екрани — ваша перша лінія оборони. Тримайте їх активними. Блокуйте небажаний доступ до мережі.
- Складність перемагає. Виберіть майстер-пароль, на підбір якого у хакерів підуть місяці. Чи не ваш день народження. Чи не «password123».
- Ротація ключа. Змінюйте майстер-пароль кожні два-три місяці. І робіть його відмінним від пароля входу до ОС. Якщо вони однакові, ви створили єдину точку відмови двічі.
- Біометрія допомагає. Якщо ви забуваєте паролі, використовуйте відбиток пальця або сканування обличчя. Це знімає навантаження на згадку. Але пам’ятайте: біометричні дані, як і раніше, прив’язані до цього базового ключа шифрування.
Замикайте двері. Втратили ключ? Ви замкнені ззовні. Зробіть замок надто складним для злому? Злодії підуть. Але що якщо вони принесуть кувалду? Чи монтування? Замок – не єдина вразливість. Сам будинок може бути погано збудований.
Конкретні загрози на кшталт менеджера
Загальні поради вкривають основи. Але конкретні інструменти мають свої специфічні слабкості. Ігноруйте їх на свій страх та ризик.
Локальне зберігання та шкідливе ПЗ
Програмне забезпечення, яке зберігає паролі на жорсткому диску, стикається з однією головною загрозою: шкідливим програмним забезпеченням. Не магія. Це код. Шкідливе програмне забезпечення сканує файлову систему на наявність відомих місць зберігання паролів. Знаходить їх. Експортує їх.
Ви зупиняєте це за допомогою надійного, оновленого антивірусного програмного забезпечення. Крапка. Це ваш щит проти коду, що полює за вашими секретами.
Менеджери на основі браузера
Менеджери паролів у браузерах ризиковані. Вони зручні. Вони також часто погано захищені.
Візьміть Firefox. Він шифрує паролі. Потім він записує закодований рядок у звичайний текстовий файл поруч із URL-адресою. Кожен, хто має доступ до цього файлу, може його прочитати. Фізична безпека, паролі користувачів і блокування екрана захищають цей файл. Але якщо на вашому комп’ютері запущено зловмисне програмне забезпечення, воно читає цей текстовий файл. Легко.
Вбудована безпека системи
Деякі браузери стараються більше. Internet Explorer у Windows використовує реєстр Windows. Він використовує шифрування Triple DES. Для перегляду паролів потрібен доступ адміністратора до реєстру.
Якщо ви заблокували свій обліковий запис Windows і заблокували зловмисне програмне забезпечення, паролі IE є відносно безпечними. Але покладіться на цей замок. Якщо ваш обліковий запис адміністратора зламано, шифрування нічого не означає.
Диски з апаратним шифруванням
Вбудовані мікросхеми безпеки та апаратне шифрування здаються ідеальним рішенням. Але це неправда. Вони посилюють один конкретний ризик: забути пароль.
Ці системи часто вимагають пароль під час завантаження. Встановіть його. Забудьте про це. Ви не зможете запустити комп’ютер. Сучасні машини працюють тижнями без перезавантаження. Ви можете забути цей пароль, навіть не перезавантажуючи систему.
Ще гірше, якщо ви перемістите жорсткий диск на інший комп’ютер, пароль для завантаження може не працювати. Але апаратно зашифровані дані? Вони залишаться заблокованими. Якщо виробник не надає ключ відновлення, ви перетворюєте свої дані на цеглину. Перш ніж увімкнути апаратне шифрування, перевірте кроки відновлення. Не думайте, що ви запам’ятаєте. Припустимо, ні.
Ми на фінішній прямій, і остання категорія вимагає іншого роду обережності. Веб-додатки. Ці хмарні менеджери паролів перекладають тягар безпеки з вашого локального комп’ютера на сторонній сервер. Тут діє та сама динаміка, що й у звичайних хмарних обчисленнях: ви довіряєте корпорації своє цифрове життя.
Справа тут не лише у втраченому ноутбуці. Справа в масштабах.
Коли ви зберігаєте облікові дані у веб-програмі, ви створюєте приманку. Хакерам не завжди вигідно атакувати окремих користувачів. Це неефективно. Їм потрібна головна база даних. Їм потрібне те саме сховище, де зберігаються тисячі ключів. Якщо компанія, яка розробляє програмне забезпечення, зазнає краху або її інфраструктуру буде зламано, наслідки будуть масштабними. Це те саме середовище високого ризику, в якому працюють банки та державні установи. Питання не в тому, чи вони стануть ціллю, а в тому, коли.
Отже, як захистити себе, коли ризик вбудований у вашу бізнес-модель?
Вибір правильного постачальника веб-додатків
Ви не можете повністю усунути ризик. Ви можете лише контролювати це. Єдиний спосіб мінімізувати вплив — бути безжальним у процесі відбору.
Не натискайте на перший банер, який побачите. Копай глибше.
- Дослідіть компанію. Кому належить програмне забезпечення? Чи є у них історія витоку даних? Наскільки вони прозорі щодо своєї безпеки?
- Читайте огляди експертів. Незалежні перевірки безпеки важливіші за маркетингову копію. Шукайте компанії, які фактично тестували протоколи шифрування та автентифікації, а не просто писали огляд на основі дизайну інтерфейсу користувача.
Чинник зручності реальний. Веб-програми миттєво синхронізуються між пристроями. Ви можете отримати доступ до своїх паролів з будь-якого браузера будь-де. Але ви повинні зважити цю легкість проти потенційного катастрофічного витоку даних. Іноді цей компроміс виправдано. Іноді – ні.
Часті питання
Який надійний приклад програмного забезпечення для керування паролями?
LastPass – відомий приклад. Він існує досить довго, щоб мати публічну історію, і добру, і погану. Оцінюючи варіанти, шукайте подібні усталені імена, які ставлять безпеку вище за привабливі функції.
Погляд у майбутнє
На цьому завершується глибоке занурення у тему управління паролями. Ландшафт швидко змінюється. З’являються нові погрози. З’являються нові рішення. Будьте напоготові. Поновлюйте свої інструменти. І пам’ятайте, що жодне програмне забезпечення не є по-справжньому “встановив і забув”. Ви все ще є першою лінією оборони.
