چگونه مدیر رمز عبور انتخاب کنیم و درست از آن استفاده کنیم

وقتی یک وب‌سایت دچار نشت اطلاعات می‌شود، جفت‌های ایمیل و رمز عبور سرقت‌شده به‌ندرت نزد مهاجم اول می‌مانند. آن‌ها معامله می‌شوند و به ابزارهای خودکاری داده می‌شوند که همان ترکیب را روی ارائه‌دهنده‌های ایمیل، فروشگاه‌ها، شبکه‌های اجتماعی و پلتفرم‌های بازی امتحان می‌کنند. این روش که «پر کردن اعتبارنامه» (credential stuffing) نام دارد فقط وقتی جواب می‌دهد که مردم رمز عبور را تکرار کنند و یکی از رایج‌ترین راه‌های تصاحب حساب‌های عادی است.

رمزهای عبور یکتا این زنجیره را می‌شکنند. اگر هر حساب رمز عبور طولانی و تصادفی خودش را داشته باشد، نشت در یک سرویس در همان سرویس می‌ماند. نکته این است که هیچ‌کس نمی‌تواند ده‌ها رشته تصادفی را به یاد بسپارد و دقیقاً همین کاری است که مدیر رمز عبور برای انجامش ساخته شده است.

مدیر رمز عبور اطلاعات ورود شما را در گاوصندوقی رمزگذاری‌شده نگه می‌دارد که با یک رمز عبور اصلی و در دستگاه‌های مورد اعتماد اغلب با اثر انگشت یا چهره باز می‌شود. هنگام ثبت‌نام یا تغییر رمز عبور، رمزهای طولانی و تصادفی می‌سازد و هنگام ورود آن‌ها را برایتان پر می‌کند.

پر شدن خودکار یک ویژگی بی‌سروصدای ضدفیشینگ هم هست. مدیر، اطلاعات ذخیره‌شده را با نشانی دقیق وب‌سایت تطبیق می‌دهد؛ پس معمولاً رمز بانک شما را روی دامنه‌ای شبیه دامنه اصلی پیشنهاد نمی‌کند. اگر مدیر رمز عبورتان ناگهان صفحه ورودی را که زیاد استفاده می‌کنید نشناخت، مکث کنید و پیش از تایپ دستی چیزی، نشانی را بررسی کنید.

بیشتر مدیرها فقط رمز عبور نگه نمی‌دارند. امکانات اضافه رایج شامل یادداشت‌های امن برای کدهای پشتیبان و جزئیات بازیابی، ذخیره گذرکلیدها (passkey)، هشدار وقتی رمز عبور ذخیره‌شده در یک نشت شناخته‌شده ظاهر می‌شود، هشدار درباره رمزهای ضعیف یا تکراری و اشتراک‌گذاری ایمن با اعضای خانواده یا یک تیم است.

رمزگذاری اول از همه است. به‌دنبال رمزگذاری سرتاسری بگردید که گاهی طراحی «دانش صفر» (zero-knowledge) نامیده می‌شود، یعنی گاوصندوق شما روی خود دستگاه رمزگذاری می‌شود و ارائه‌دهنده نمی‌تواند آن را بخواند. مستندات امنیتی منتشرشده و ممیزی‌های مستقل نشانه‌های خوبی‌اند که شرکت این موضوع را جدی می‌گیرد.

بعد ببینید مدیر در همه جاهایی که شما هستید کار می‌کند: در مرورگرهایی که استفاده می‌کنید، روی گوشی و رایانه، و با همگام‌سازی قابل‌اعتماد میان آن‌ها. خود گاوصندوق باید از احراز هویت دومرحله‌ای پشتیبانی کند، ترجیحاً با برنامه احراز هویت یا کلید امنیتی، تا رمز عبور اصلی سرقت‌شده به‌تنهایی برای بازکردنش کافی نباشد.

در نهایت پیش از پیوستن، به راه خروج هم فکر کنید. مدیر خوب اجازه می‌دهد داده‌هایتان را با قالب استاندارد خروجی بگیرید تا هرگز اسیر آن نشوید. بخوانید اگر رمز عبور اصلی را فراموش کنید چه می‌شود: بعضی سرویس‌ها کیت بازیابی یا مخاطب مورد اعتماد ارائه می‌کنند، در حالی که طراحی‌های سخت‌گیرانه دانش صفر ممکن است اصلاً بازیابی نداشته باشند و همین نگهداری ایمن یک برگه اضطراری را ضروری می‌کند.

مرورگرها و سیستم‌عامل‌ها اکنون مدیر رمز عبور کارآمد دارند. Google Password Manager در Chrome و Android تعبیه شده، دستگاه‌های Apple مدیر رمز عبوری دارند که از طریق iCloud Keychain همگام می‌شود و Microsoft Edge رمزها را در حساب Microsoft شما ذخیره می‌کند. این‌ها هزینه اضافه ندارند، از قبل روی دستگاه شما هستند و به‌طور خودکار درون همان اکوسیستم همگام می‌شوند.

محدودیتشان همان اکوسیستم است. اگر iPhone را با رایانه Windows ترکیب می‌کنید یا بین چند مرورگر جابه‌جا می‌شوید، ممکن است مدیر داخلی همه‌جا به‌راحتی همراه شما نباشد. مدیرهای مستقل، از جمله آن‌هایی که ارائه‌دهنده‌های حریم‌خصوصی‌محور مثل Proton عرضه می‌کنند، روی پلتفرم‌ها و مرورگرهای مختلف کار می‌کنند و معمولاً اشتراک‌گذاری غنی‌تر، یادداشت امن و سازمان‌دهی انعطاف‌پذیرتری اضافه می‌کنند.

هر دو انتخاب بسیار بهتر از تکرار رمز عبورند. همان را بردارید که واقعاً هر روز استفاده می‌کنید و از پخش کردن اطلاعات ورود بین چند مدیر پرهیز کنید، چون پیگیری اینکه کدام نسخه به‌روز است را دشوار می‌کند.

رمز عبور اصلی تنها رمزی است که باید به خاطر بسپارید؛ پس آن را طولانی و به‌یادماندنی بسازید، نه کوتاه و پیچیده. عبارت عبور از چند کلمه نامرتبط راحت‌تر تایپ می‌شود و حدسش بسیار سخت‌تر از رشته کوتاهی از نمادهاست. هرگز آن را جای دیگری استفاده نکنید.

بی‌درنگ احراز هویت دومرحله‌ای را برای مدیر روشن کنید و کدهای پشتیبان یا کیت اضطراری‌اش را آفلاین نگه دارید؛ مثلاً روی کاغذ در جای امنی در خانه. اگر مدیر شما روش بازیابی ارائه می‌کند، همین حالا آن را راه بیندازید، نه بعد از اینکه بیرون ماندید.

سپس چند تنظیم را اصلاح کنید: گاوصندوق را بعد از مدتی کوتاه بی‌فعالیتی قفل کنید، بعد از راه‌اندازی مجدد رمز عبور اصلی یا زیست‌سنجی بخواهید و برنامه‌ها و افزونه‌های مرورگر را به‌روز نگه دارید تا اصلاحیه‌های امنیتی را دریافت کنید.

بیشتر مدیرها می‌توانند رمزهای ذخیره‌شده در مرورگر یا خروجی گرفته‌شده از مدیر دیگر را، معمولاً به‌صورت فایل CSV، وارد کنند. آن فایل متن ساده و رمزگذاری‌نشده است؛ پس خروجی بگیرید، بی‌درنگ وارد کنید و بعد حذفش کنید، از جمله نسخه داخل پوشه دانلودها و سطل بازیافت.

پس از انتقال، اگر به مدیر مستقل رفته‌اید ذخیره رمز عبور خود مرورگر را خاموش کنید تا اطلاعات ورود تازه در دو جا نماند. بعد گزارش امنیتی مدیر را باز کنید و اصلاح رمزهای تکراری و ضعیف را شروع کنید. از حساب‌های ایمیل شروع کنید، چون می‌توانند همه چیز دیگر را بازنشانی کنند، و سپس به حساب‌های مالی، کاری و اجتماعی برسید.

لازم نیست همه‌چیز را در یک شب عوض کنید. هر رمز باقی‌مانده را دفعه بعد که به آن سایت وارد شدید به‌روز کنید و ظرف چند هفته بیشتر گاوصندوق شما از رمزهای یکتا و تولیدشده تشکیل می‌شود.

اطلاعات ورودی که در ایمیل، سند مشترک یا صفحه سفارش به دستتان می‌رسد جایش در مدیر رمز عبور است، نه در اسکرین‌شات یا یادداشت ساده. مورد جدیدی با نشانی وب‌سایت، نام کاربری و رمز عبور بسازید و ایمیل بازیابی، کدهای پشتیبان و هر جزئیات راه‌اندازی دیگر را در بخش یادداشت همان مورد اضافه کنید.

اگر حسابی را در rStock خریده‌اید، محتوای تحویل‌شده به‌صورت گزارش تحویل مرتبط با سفارش در صفحه سفارش شما نمایش داده می‌شود. آن را در مدیرتان کپی کنید، بعد رمز عبور را به رمز تازه‌ساخته‌ای تغییر دهید، گزینه‌های بازیابی خودتان را تنظیم کنید و احراز هویت دومرحله‌ای را روشن کنید. انجام سریع این کار به شما امکان می‌دهد در حالی که هنوز می‌توانید در مهلت محدود پس از تحویل اختلاف باز کنید، مطمئن شوید همه‌چیز کار می‌کند. همیشه چنین حساب‌هایی را مطابق شرایط استفاده برند به کار ببرید. rStock با هیچ برندی که در این مقاله نام برده شده وابستگی ندارد.

وقتی حساب ایمن شد، نسخه‌های اضافه‌ای را که در یادداشت‌ها، گفت‌وگوها یا فایل‌های متنی چسبانده‌اید پاک کنید. مدیر شما باید تنها جایی باشد که رمز عبور فعلی در آن است؛ این کار به‌روز کردنش را آسان و پیدا کردنش را برای دیگران سخت می‌کند.