Как выбрать менеджер паролей и правильно им пользоваться

Когда сайт взламывают, украденные связки из адреса почты и пароля редко остаются у того, кто их украл. Ими торгуют и загружают их в автоматические инструменты, которые пробуют ту же комбинацию на почтовых сервисах, в интернет-магазинах, соцсетях и игровых платформах. Этот приём называют подстановкой учётных данных, или credential stuffing. Он срабатывает только тогда, когда люди используют один и тот же пароль в разных местах, и это один из самых распространённых способов угона обычных аккаунтов.

Уникальные пароли разрывают эту цепочку. Если у каждого аккаунта свой длинный случайный пароль, утечка в одном сервисе там и остаётся. Загвоздка в том, что никто не способен запомнить десятки случайных строк, и именно для этого создан менеджер паролей.

Менеджер паролей хранит ваши логины в зашифрованном хранилище, которое открывается одним мастер-паролем, а на доверенных устройствах часто ещё и отпечатком пальца или лицом. Он генерирует длинные случайные пароли, когда вы регистрируетесь или меняете пароль, и сам подставляет их при входе.

Автозаполнение ещё и незаметно защищает от фишинга. Менеджер сопоставляет сохранённые логины с точным адресом сайта, поэтому не предложит пароль от банка на домене-двойнике. Если менеджер вдруг не узнаёт страницу входа, которой вы часто пользуетесь, остановитесь и проверьте адрес, прежде чем вводить что-то вручную.

Большинство менеджеров умеют не только хранить пароли. Среди типичных дополнений — защищённые заметки для резервных кодов и данных для восстановления, хранение ключей доступа, оповещения о том, что сохранённый пароль обнаружен в известной утечке, предупреждения о слабых и повторяющихся паролях и безопасный обмен доступами с семьёй или командой.

Первым делом — шифрование. Ищите сквозное шифрование, которое иногда называют архитектурой с нулевым разглашением, или zero-knowledge: хранилище шифруется на вашем собственном устройстве, и провайдер не может его прочитать. Опубликованная документация по безопасности и независимые аудиты — хорошие признаки того, что компания относится к этому серьёзно.

Затем убедитесь, что менеджер работает везде, где работаете вы: в ваших браузерах, на телефоне и компьютере, с надёжной синхронизацией между ними. Само хранилище должно поддерживать двухфакторную аутентификацию, в идеале через приложение-аутентификатор или ключ безопасности, чтобы одного украденного мастер-пароля было недостаточно для его открытия.

И наконец, ещё до регистрации подумайте о том, как вы будете уходить. Хороший менеджер позволяет экспортировать данные в стандартном формате, так что вы никогда не окажетесь заложником сервиса. Узнайте, что будет, если вы забудете мастер-пароль: одни сервисы предлагают набор для восстановления или доверенный контакт, а в строгих системах с нулевым разглашением восстановления может не быть вовсе. В таком случае без распечатки с данными для экстренного доступа, спрятанной в надёжном месте, не обойтись.

В браузеры и операционные системы сегодня встроены вполне функциональные менеджеры паролей. Менеджер паролей Google встроен в Chrome и Android, на устройствах Apple есть менеджер паролей с синхронизацией через Связку ключей iCloud, а Microsoft Edge сохраняет пароли в аккаунт Microsoft. За них не нужно платить отдельно, они уже есть на устройстве и автоматически синхронизируются внутри своей экосистемы.

Их ограничение — та же экосистема. Если у вас iPhone и компьютер на Windows или вы переключаетесь между несколькими браузерами, встроенный менеджер может следовать за вами не везде одинаково удобно. Отдельные менеджеры, в том числе от провайдеров, которые делают упор на приватность, таких как Proton, работают на разных платформах и в разных браузерах и обычно предлагают более гибкий обмен доступами, защищённые заметки и более удобную организацию записей.

Любой из вариантов намного лучше, чем один и тот же пароль на разных сайтах. Выберите тот, которым действительно будете пользоваться каждый день, и не распределяйте логины по нескольким менеджерам: так легко запутаться, какая копия актуальна.

Мастер-пароль — единственный пароль, который нужно помнить, поэтому делайте его длинным и запоминающимся, а не коротким и замысловатым. Парольная фраза из нескольких не связанных между собой слов проще в наборе и гораздо труднее для подбора, чем короткий набор символов. Никогда не используйте её где-либо ещё.

Сразу включите двухфакторную аутентификацию для менеджера и храните его резервные коды или набор для экстренного доступа офлайн, например на бумаге в надёжном месте дома. Если менеджер предлагает способ восстановления, настройте его сейчас, а не после того, как доступ окажется заблокирован.

Затем проверьте несколько настроек: пусть хранилище блокируется после короткого бездействия, а после перезагрузки запрашивает мастер-пароль или биометрию. Вовремя обновляйте приложения и расширения браузера, чтобы получать исправления безопасности.

Большинство менеджеров умеют импортировать пароли, сохранённые в браузере или экспортированные из другого менеджера, обычно в виде CSV-файла. Такой файл — обычный незашифрованный текст, поэтому экспортируйте его, сразу импортируйте, а потом удалите, включая копию в папке загрузок и в корзине.

После импорта отключите сохранение паролей в самом браузере, если перешли на отдельный менеджер, чтобы новые логины не оказывались в двух местах. Затем откройте отчёт о безопасности в менеджере и начните исправлять повторяющиеся и слабые пароли. Первыми займитесь почтовыми аккаунтами, ведь через них можно сбросить всё остальное, а затем переходите к финансовым и рабочим аккаунтам и к соцсетям.

Не нужно менять всё за один вечер. Обновляйте каждый оставшийся пароль, когда в следующий раз заходите на соответствующий сайт, и через несколько недель большая часть хранилища будет состоять из уникальных сгенерированных паролей.

Данным для входа, которые пришли вам в письме, в общем документе или на странице заказа, место в менеджере паролей, а не на скриншотах или в обычных заметках. Создайте новую запись с адресом сайта, логином и паролем, а резервную почту, резервные коды и прочие данные для настройки добавьте в поле заметок этой записи.

Если вы купили аккаунт на rStock, полученные данные появляются на странице заказа в виде записи о доставке, привязанной к заказу. Скопируйте их в менеджер, затем смените пароль на новый сгенерированный, укажите свои способы восстановления и включите двухфакторную аутентификацию. Если сделать это сразу, вы заодно убедитесь, что всё работает, пока не истёк ограниченный срок после доставки, в течение которого можно открыть спор. Всегда используйте такие аккаунты в соответствии с условиями использования бренда.

Когда аккаунт защищён, удалите лишние копии, которые вы вставляли в заметки, чаты или текстовые файлы. Менеджер должен быть единственным местом, где хранится актуальный пароль: так его легко обновить и трудно найти посторонним.