Як обрати менеджер паролів і користуватися ним правильно

Коли сайт зламують, викрадені пари електронної пошти й пароля рідко залишаються в початкового зловмисника. Ними торгують і завантажують в автоматизовані інструменти, які пробують ту саму комбінацію на поштових сервісах, у магазинах, соцмережах і ігрових платформах. Ця методика, яку називають підстановкою облікових даних (credential stuffing), працює лише тоді, коли люди повторюють паролі, і є одним із найпоширеніших способів перехоплення звичайних акаунтів.

Унікальні паролі розривають цей ланцюг. Якщо кожен акаунт має власний довгий випадковий пароль, витік в одному сервісі залишається в межах цього сервісу. Проблема в тому, що ніхто не запам’ятає десятки випадкових рядків, і саме для цього призначений менеджер паролів.

Менеджер паролів зберігає ваші логіни в зашифрованому сховищі, яке відкривається одним головним паролем, а на довірених пристроях часто ще й відбитком пальця чи обличчям. Він генерує довгі випадкові паролі під час реєстрації чи зміни пароля й підставляє їх, коли ви входите.

Автозаповнення — це ще й захист від фішингу, що діє сам собою. Менеджер зіставляє збережені логіни з точною адресою сайту, тож зазвичай не запропонує пароль від вашого банку на підробному домені. Якщо менеджер раптом не впізнає сторінку входу, якою ви часто користуєтеся, зупиніться й перевірте адресу, перш ніж вводити щось уручну.

Більшість менеджерів уміють більше, ніж зберігати паролі. Поширені додаткові можливості — захищені нотатки для резервних кодів і даних відновлення, зберігання ключів доступу, сповіщення, коли збережений пароль з’являється у відомому витоку, попередження про слабкі чи повторювані паролі та безпечний обмін із родиною чи командою.

Спершу шифрування. Шукайте наскрізне шифрування, яке іноді описують як архітектуру «нульового знання»: це означає, що сховище шифрується на вашому пристрої, а провайдер не може його прочитати. Опублікована документація з безпеки та незалежні аудити — добрі ознаки того, що компанія ставиться до цього серйозно.

Далі перевірте, чи менеджер працює всюди, де працюєте ви: у браузерах, якими користуєтеся, на телефоні й комп’ютері, з надійною синхронізацією між ними. Саме сховище має підтримувати двофакторну автентифікацію, бажано із застосунком-автентифікатором або ключем безпеки, щоб викраденого головного пароля самого по собі було недостатньо для його відкриття.

Нарешті, подумайте про вихід ще до того, як приєднаєтеся. Хороший менеджер дозволяє експортувати ваші дані у стандартному форматі, тож ви ніколи не прив’язані до нього. Прочитайте, що станеться, якщо ви забудете головний пароль: одні сервіси пропонують набір для відновлення чи довірену особу, а суворі архітектури нульового знання можуть узагалі не мати відновлення, і тоді надійно збережений аварійний аркуш стає обов’язковим.

Браузери й операційні системи тепер мають повноцінні менеджери паролів. Google Password Manager вбудований у Chrome та Android, пристрої Apple мають менеджер паролів, що синхронізується через iCloud Keychain, а Microsoft Edge зберігає паролі у вашому акаунті Microsoft. Вони не потребують додаткової плати, уже є на пристрої й автоматично синхронізуються в межах власної екосистеми.

Їхнє обмеження — саме ця екосистема. Якщо ви поєднуєте iPhone із комп’ютером на Windows чи перемикаєтеся між кількома браузерами, вбудований менеджер може бути не надто зручним усюди, де ви працюєте. Окремі менеджери, зокрема від провайдерів, орієнтованих на приватність, як-от Proton, працюють на різних платформах і в різних браузерах і зазвичай додають багатші можливості спільного доступу, захищених нотаток і гнучкішої організації.

Будь-який вибір набагато кращий за повторення паролів. Оберіть той, яким ви справді користуватиметеся щодня, і не розкидайте логіни між кількома менеджерами, бо так легко загубити, яка копія актуальна.

Головний пароль — єдиний пароль, який ви маєте пам’ятати, тож нехай він буде довгим і запам’ятовуваним, а не коротким і складним. Парольну фразу з кількох не пов’язаних слів легше вводити й набагато важче вгадати, ніж короткий набір символів. Не використовуйте цей пароль більше ніде.

Одразу ввімкніть для менеджера двофакторну автентифікацію й зберігайте його резервні коди чи аварійний набір офлайн, наприклад на папері в безпечному місці вдома. Якщо менеджер пропонує спосіб відновлення, налаштуйте його зараз, а не після того, як залишитеся без доступу.

Потім підлаштуйте кілька параметрів: блокуйте сховище після короткого періоду бездіяльності, вимагайте головний пароль чи біометрію після перезавантаження та оновлюйте застосунки й розширення браузера, щоб отримувати виправлення безпеки.

Більшість менеджерів можуть імпортувати паролі, збережені у вашому браузері чи експортовані з іншого менеджера, зазвичай як файл CSV. Цей файл — простий незашифрований текст, тож експортуйте його, одразу імпортуйте, а потім видаліть, разом із копією в теці завантажень і в кошику.

Після імпорту вимкніть власне збереження паролів у браузері, якщо перейшли на окремий менеджер, щоб нові логіни не потрапляли в два місця. Потім відкрийте звіт безпеки менеджера й починайте виправляти повторювані та слабкі паролі. Почніть із поштових акаунтів, адже вони можуть скинути все решту, а далі переходьте до фінансових, робочих і соціальних акаунтів.

Змінювати все за один вечір не потрібно. Оновлюйте кожен пароль, що залишився, наступного разу, коли входитимете на той сайт, і за кілька тижнів більшість вашого сховища складатиметься з унікальних згенерованих паролів.

Дані для входу, що надійшли вам у листі, спільному документі чи на сторінці замовлення, мають бути у вашому менеджері, а не в скріншотах чи простих нотатках. Створіть новий запис з адресою сайту, іменем користувача й паролем і додайте резервну пошту, резервні коди та інші дані налаштування в поле нотаток запису.

Якщо ви купили акаунт на rStock, доставлений вміст з’являється на сторінці вашого замовлення як запис про доставку, пов’язаний із замовленням. Скопіюйте його в менеджер, потім змініть пароль на щойно згенерований, задайте власні варіанти відновлення й увімкніть двофакторну автентифікацію. Зробивши це без зволікань, ви також зможете переконатися, що все працює, поки ще можна відкрити спір протягом обмеженого часу після доставки. Завжди користуйтеся такими акаунтами відповідно до умов використання бренду. rStock не пов’язаний із жодним брендом, названим у цій статті.

Коли акаунт захищено, видаліть усі зайві копії, які ви вставляли в нотатки, чати чи текстові файли. Менеджер має бути єдиним місцем, де зберігається актуальний пароль, — так його легко оновлювати й важко знайти стороннім.