30 августа, 2024
Сегодня практически каждый сайт и сервис требует от вас регистрации для доступа к тем или иным функциям. Количество паролей, которые нужно было бы держать в уме для безопасного доступа к ним, уже давно исчисляется на сотни, если не на тысячи. По мере увеличения количества наших цифровых следов должно бы вырасти и наше стремление обезопасить себя, но часто пользователи пренебрегают даже такой простой, но критически важной вещью, как хорошие пароли и их безопасное хранение. Кому-то не хочется выдумывать каждый раз новое сложное сочетание букв и символов, кто-то боится забыть или потерять мастер-пароль, а кто-то вообще уверен, что взламывать его аккаунты незачем.
Парольные менеджеры — это одна из важных вещей, обеспечивающих вашу безопасность и комфорт в интернете. Эти специальные цифровые «ключницы» с разным функционалом уже становятся мейнстримом – даже Юрий Дудь рекламирует парольный менеджер в последнем интервью с Ильей Яшиным. Парольные сервисы снимают с вас нагрузку по хранению, запоминанию и придумыванию сложных паролей, помогают поддерживать старые аккаунты на должном уровне безопасности, информируют о появлении ваших аккаунтов в слитых базах данных для того, чтобы вы предприняли меры по охране своих данных. В этой подборке мы «отрабатываем возражения» про то, зачем парольными менеджерами пользоваться – и даем наш топ-7 сервисов, которыми рекомендуем пользоваться, если вы еще не выбрали свой менеджер паролей, или ищите новый.
В качестве предисловия мы приведём несколько частых вопросов, которые могут у вас возникнуть, если вы всё время используете повторяющиеся пароли, никогда не пользовались парольными менеджерами и их использование кажется сложным. После них вы найдёте нашу подборку парольных менеджеров, которыми пользуется редакция и её друзья. Эта подборка – не исчерпывающий гайд, мы не описываем все аспекты работы каждого представленного менеджера, и не приводим сравнительную таблицу того, что есть в одном, и чего нет в другом. Мы показываем, каким сервисам мы доверяем, и почему – чтобы у вас появилось общее представление о том, какими они бывают, и на что стоит обратить внимание. В этой подборке нет российских сервисов – не потому, что они плохие или среди них нет качественных предложений, но только потому, что российским цифровым компаниям приходится сегодня соответствовать законам и требованиям правоохранительных органов.
Парольные менеджеры: ваш ключ к безопасности в интернете
С начала 2024 года Россия возглавила рейтинг стран по количеству слитых баз данных в даркнете, и этот «тревожный звоночек» мы слышим как призыв к действию. По данным Verizon за 2023 год, более 80% взломов связаны с использованием слабых или украденных паролей. Финансовые потери от кибератак, использующих украденные учетные данные, исчисляются миллиардами долларов. Цифровое мошенничестве, которое включает в себя, например, кражу личных аккаунтов в соцсетях – проблема, напрямую связанная с безопасностью, в том числе с паролями. В этом контексте парольные менеджеры становятся незаменимым инструментом для защиты цифровой жизни.
Зачем нужны парольные менеджеры
Парольные менеджеры решают несколько ключевых проблем:
- Генерация сложных и уникальных паролей для каждого сервиса
- Безопасное хранение всех паролей в одном месте
- Автоматическое заполнение форм входа на сайтах и в приложениях
- Анализ существующих паролей на предмет их надежности
- Уведомления о потенциальных утечках данных
- У некоторых сервисов есть дополнительные функции: например, генерация email-alias (бесконечных емейл-адресов, которые маскируют ваш настоящий адрес)
Часто задаваемые вопросы
Зачем мне вообще менеджер паролей? У меня нечего красть!
Возможно, вам прилетало сообщение от вашего друга с просьбой занять денег, а спустя пару часов вы видели пост в ленте с сообщением, что его взломали. Сообщения о таких способах мошенничества стали в последние годы рутинными, каждый слышал истории о том, как чья-то бабушка отправила все свои сбережения, когда мошенник от имени внука написал ей просьбу прислать деньги для чего-то срочного. От ИИ-имитации вашего голоса бабушку, конечно, мало что защитит (кроме информированности — рассказывайте вашим бабушкам о кибер-преступлениях!), но от части таких случаев точно защищают надёжные пароли.
Кроме обмана пожилых родственников, взлом ваших аккаунтов чреват утечкой информации, которой вы не хотели бы делиться со всем миром: «нюдсами», чувствительной перепиской, информацией, которая, будучи в доступе правоохранительных служб, может сделать вашу жизнь небезопасной. Из худших сценариев — представьте, что у вашего банковского приложения и у какого-то из сервисов, откуда утекли пароли, одинаковый пароль. Даже если у вас нет сбережений, сегодня мошенники могут с помощью определенных махинаций взять на вас кредит — это, конечно, крайний случай, и одним парольным менеджером от такого не защититься, нужна еще двухфакторная аутентификация и прочие меры. Но это горький ответ на то, что у вас может быть «нечего красть» — скорее всего, мошенники все равно что-то найдут что-то полезное им. Лучше вовсе не предоставлять им такого шанса.
Через взлом вашего аккаунта в соцсетях, на сайтах и в цифровых рабочих пространствах злоумышленники получают доступ не только к вашим данным, но и к кругу людей, с которыми вы общаетесь. Устанавливая надежный пароль и защиту на аккаунт, вы защищаете не только себя, но и всю социальную группу, к которой относитесь.
Я же могу использовать свой браузер как менеджер паролей?
Да, популярные браузеры предлагают функцию сохранения паролей, и большинство пользователей используют именно их — это бесплатное и удобное решение. Но у специализированные парольные менеджеры обеспечивают более высокий уровень безопасности. Вот по каким признакам мы понимаем, что парольные менеджеры лучше браузерных хранилищ:
- Кроссплатформенность, то есть доступ к паролям с любого устройства. Это значит, что вы можете хранить в парольном менеджере ключи не только от сайтов в браузере, но и от приложений на телефоне и программ на компьютере. Как следствие, это делает ваши пароли сильнее — потому что у вас просто не бывает необходимости набирать пароли вручную, а значит, они могут быть сложными, не создавая вам неудобств
- Не все браузеры будут присылать вам уведомление про свежие утечки с их анализом вовремя. Менеджер паролей пришлет уведомление, которое сложно проигнорировать
- В браузерных хранителях паролей чаще всего нет генератора случайных паролей — функции, которая в разы увеличивает качество (а, значит, и устойчивость к взлому) ваших паролей в отличие от выдуманных из головы парольных комбинаций
- У некоторых парольных менеджеров более продвинутое шифрование, чем у функции в браузере
- Независимость от конкретного браузера: если вы захотите поменять браузер по тем или иным причинам, вы легко это сделаете
Если вы пользуетесь экосистемой от Apple, то в вашем распоряжении есть и «связка ключей», которую они предлагают. В отличие от браузера, она интегрирована во все ваши устройства, однако это все еще не лучший выбор хранителя паролей. В последние несколько лет не было зарегистрировано больших проблем в уязвимости, но такие случаи бывали раньше.
Точно ли мои пароли никто не увидит в этом менеджере?
Безусловно, напрямую ваши пароли никто не видит, даже если компания хранит их на своих серверах, там они находятся в зашифрованном виде. Однако некоторые парольные менеджеры не сохраняют на серверах ваши пароли вовсе, а всё хранится у вас локально с доступом только по вашему паролю или ключу доступа. Обратная сторона протоколов с нулевым знанием — ваши данные хранятся только у вас, а значит, компания не создает бэкапа ваших паролей у себя. Иногда это значит, что вы не сможете получить доступ к ним, если вы потеряете мастер-пароль и ключевую фразу: но это —дополнительный слой безопасности от взлома всей вашей цифровой коммуникации разом, а значит, это не баг, а фича.
Как вообще работает менеджер паролей?
Менеджер паролей — это сервис, в котором вы сохраняете все свои пароли. Обычно он предлагает:
- Хранение всех ваших логинов и паролей, иногда — дополнительной информации
- Генерацию сложных паролей при регистрации на новых сайтах и автоматическое их сохранение
- Автоматическое заполнение форм входа на любых сайтах и приложениях
- Синхронизацию паролей между устройствами
- Некоторые менеджеры также поддерживают двухфакторную аутентификацию по одноразовому коду
Забегая вперёд, скажем, что на наш взгляд, лучше хранить коды двухфакторной аутентификации в другом месте, отдельно от паролей. Самый простой и популярный вариант, Google Authenticator, прекрасно справится со своей задачей. Разделение первого и второго фактора увеличивает ваш уровень защиты.
Обзор популярных парольных менеджеров
NordPass
NordPass — часть экосистемы Nord, известной своими решениями в области кибербезопасности. Вы наверняка видели либо сам сервис, либо рекламу их VРN. Их парольный менеджер прошел два независимых аудита безопасности в 2022 и 2023 годах. У NordPass отличная репутация в плане безопасности, хороший интерфейс и множество функций. Он является одним из сервисов, которые входят в «безопасную экосистему» от одной компании, вместе с VРN у них есть менее известные сервисы NordStellar (менеджмент цифровых угроз) и NordLocker (хранилище файлов). Среди особенностей: email-alias, то есть маскировка вашего почтового ящика, сканер утечек ваших данных в реальном времени, который показывает, где и как могли засветиться ваши пароли или почты.
Цена: Есть бесплатная версия, премиум от $1.49/мес
Платформы: Windows, macOS, Linux, iOS, Android, браузерные расширения
Особенности: Сканер утечек данных, маскировка email-адресов, возможность безопасно поделиться паролями или другой защищенной информацией
ProtonPass
Экосистема, которую в последние несколько лет строит компания Proton, ранее известная только своим безопасным почтовым сервисом, в последние несколько лет разрослась до серьезных размеров: у Proton есть не только почта, но еще менеджер паролей, ProtonDrive – хранилище данных, PrоtоnVРN – очень хороший сервис, которым, кстати, удобно пользоваться для доступа к Госуслугам, если вы живете не в России. Кроме этих приложений, Proton предлагает свой безопасный календарь и, с недавних пор, даже криптовалютный кошелек. Главная причина пользоваться Proton Pass – это качество экосистемы безопасности, которую строит компания. У самого по себе менеджера паролей есть как плюсы – например, очень удобно реализованные email-alias (маскировочные сгенерированные емейлы, чтобы не светить ваш адрес), или возможность поделиться паролем от стриминга с близкими – так, чтобы не присылать его в открытом виде; так и минусы, главный из которых – отсутствие десктопного приложения: на данный момент ProtonPass на десктопе работает только как расширение в браузере или веб-версия (впрочем, этого хватает).
Proton Pass — мой любимый парольный менеджер, пришедший в моей цифровой экосистеме на замену почившему Remembear. Для меня важнее всего в парольном менеджере две вещи: бесшовное использование на всех платформах и девайсах, и сильное шифрование. Но еще мне важно, как выглядит моя цифровая среда — и дизайн у Proton на высоте ☺️ Я много лет пользуюсь всеми продуктами Proton, вижу как они выросли за последние годы и как планируют расти дальше, и пользуюсь всей их экосистемой, включая пароли, с большим удовольствием. А еще я очень ценю то, как Proton обошлись с российскими клиентами: они не уходили из страны сами, но когда оказались уже сами заблокированы Роскомнадзором, всем пользователям из России, которые не смогли больше оплачивать сервис, они сделали бесплатный доступ, сказав: заплатите, когда сможете.
Важное замечание: если вы находитесь в России, Proton Pass скорее всего вам не подойдет. Proton заблокированы в России, а значит, все их сервисы, включая парольный менеджер, не открываются в стране. Вы можете обойти блокировку, но вряд ли вам будет удобно хранить в этом менеджере пароль от Госуслуг.
Цена: Скорее всего вам хватит бесплатной версии, в которой есть всё нужное. Но есть и премиум от $4.99/мес; подписка на всю экосистему – 12,99 eur/мес.
Платформы: Windows, Linux, iOS, Android, браузерные расширения
Особенности: Отличный генератор случайных паролей, псевдонимы для почты, мониторинг безопасности паролей, возможность безопасно поделиться паролями с близкими (например, паролем от онлайн-кинотеатра)
Synology С2 Password
Synology — парольный менеджер, использующий проприетарный код. Это значит, что он скрыт от сторонних наблюдателей, и мы до конца не можем быть уверены, какие дырки в безопасности и бэкдоры в нём есть, потому что его не проверяют активисты и хакеры, которые специально занимаются поисками уязвимостей. Однако среди важных фактов, добавляющих очки репутации Synology — это их работа по обеспечению системами министерства здравоохранения США, которые еще никогда не взламывали. Внутренние проверки от этого самого министерства здравоохранения США прибавляют уверенности в безопасности сервиса.
Я пользуюсь Synology C2 Password уже год. Раньше использовал LastPass, но я слышал об утечках и решил сменить сервис. Synology — один из мировых лидеров в области систем хранения данных, они работают с американской системой здравоохранения, что предполагает соответствие требованиям протокола HIPAA, банками, отдельными сетями и так далее. Кроме того, их хранилищами данных приятно пользоваться, и они тоже весьма безопасные. Да, исходный код этого менеджера паролей закрытый, но я решил, что доверяю специалистам этой компании. Доподлинно известно, что твои пароли хранятся только на том кластере серверов, где лежит учётка. Сама Synology не сможет их расшифровать — только ты сможешь. По крайней мере, так они говорят; впрочем, надо признать, что шифрование описано у Proton Pass куда лучше. Зато Synology C2 Password поддерживает авторизацию по физическому ключу Yubikey! В общем, штука небестолковая, а насколько лучше остальных — покажут время и хакерские атаки)
Цена: Бесплатная версия, премиум от $5.94/мес
Платформы: Windows, macOS, Linux, iOS, Android, браузерные расширения
Особенности: Безопасный обмен файлами и паролями, решения для бизнеса (объединенные хранилища паролей для сотрудников)
RoboForm
RoboForm использует протокол с нулевым уровнем знаний, обеспечивая высокий уровень безопасности. Мастер-пароль, который вы устанавливаете на аккаунт, шифрует все внутренние данные. Этот процесс шифрования происходит исключительно на вашем устройстве, а не на серверах RoboForm. В результате сервис не имеет доступа к мастер-паролю или зашифрованным данным, что обеспечивает высокий уровень конфиденциальности и безопасности (впрочем, все же и в других сервисах компания не имеет доступа к вашим данным, так что это не существенное отличие). RoboForm поддерживает все существующие платформы и имеет расширения для большинства самых популярных браузеров. Из интересных дополнительных функций – в RoboForm подумали о цифровом наследии и создали функцию экстренного доступа для доверенных контактов. В 2023 году сервис успешно прошел независимый аудит безопасности.
Цена: Бесплатная версия, платные планы от $1.99/мес
Платформы: Windows, macOS, iOS, Android, браузерные расширения
Особенности: Заполнение сложных веб-форм, работа в приложениях Windows, аудит безопасности паролей, экстренный доступ для доверенных контактов
Bitwarden
Bitwarden – один из старейших менеджеров паролей: первое приложение под iOS и Android они выпустили в 2016 году. Это открытый проект, в котором его сообщество регулярно проверяет безопасность. В бесплатной версии Bitwarden есть все самые популярные функции, но нет, например, сообщений о взломах безопасности и утечках с крупных сайтов в интернете внутри приложения, как у других менеджеров; зато за 10 долларов в год сервис предоставляет прикрепление файлов к вашим парольным записям и экстренный доступ для доверенных контактов. Bitwarden можно, в отличие от других менеджеров, развернуть локально на вашем устройстве: некоторые особенно тревожные пользователи считают, что это – самый безопасный способ хранения паролей; на Хабре есть инструкция, как это сделать.
Цена: Бесплатная версия, премиум от $10/год
Платформы: Windows, macOS, Linux, iOS, Android, браузерные расширения
Особенности: Открытый исходный код, возможность самостоятельного хостинга
1Password
1Password — один из наиболее популярных менеджеров паролей. Как многие в этой подборке, он надёжно защищён, а единственный случай подозрительной активности на серверах копании не затронул данные пользователей. Дружелюбный интерфейс и кросс-платформенность – также достоинства этого сервиса. Мы знаем крупнейшие русскоязычные медиа, использующие этот сервис для хранения корпоративных паролей – и наладить систему разграничения доступов в нем не очень сложно, а безопасность корпоративных аккаунтов в вашей даже небольшой компании вырастет от его использования в разы. Интересная особенность этого парольного менеджера, которой нет у других сервисов — это режим путешествия.
Я пользуюсь 1Password очень давно. Ещё в далёкие времена, когда я мог просто шерстить магазин приложений на телефоне, чтобы найти что-то новое и интересное для себя, я наткнулся на этот менеджер паролей и вдохновился идеей, что можно больше не писать один и тот же пароль в каждой соцсети и на каждом сайте. Меня очень впечатлил в те годы генератор сложных паролей. Очень приятно пользоваться сервисом, с которым ты так давно, который с каждым годом улучшается и совершенствуется, и в безопасности которого по-прежнему не возникает сомнений.
Внутри менеджера вы можете создавать разные хранилища данных, содержащие пароли, заметки, данные банковских карт и прочую информацию, которую при каком-то случае вам бы хотелось спрятать. В момент путешествия и пересечения границ вы можете включить режим путешествия, и тогда копия определённых данных и хранилищ на вашем телефоне исчезнет, оставшись только в облаке 1Password. Доступ к этому облаку осуществляется по дополнительному отдельно сгенерированному ключу.
К сожалению, если вы живете в России, 1Password вам не подойдет: сервис ушел из России в 2022 году, и на данный момент его нельзя установить и оплатить из России ☹️
Цена: От $2.99/мес, нет бесплатной версии (но есть триал на 2 недели)
Платформы: Windows, macOS, Linux, iOS, Android, браузерные расширения
Особенности: Режим путешествия, семейный доступ к паролям
KeePass
Один из наиболее выделяющихся и любопытных парольных менеджеров в этой подборке, KeePass – это опенсорсный менеджер с акцентом на безопасность. Он поддерживает двухфакторную аутентификацию через физические носители – в этом его ключевое преимущество над большинством других сервисов. Из-за открытости кода, у него есть большое количество приложений под разные платформы, написанные разными людьми: если решение «из коробки» других сервисов вам не подходит из-за каких-то нестандартных платформ, которыми вы пользуетесь, присмотритесь к KeePass. Несмотря на найденную в прошлом году уязвимость, этот сервис всё равно можно считать хорошим. В опенсорсном проекте не только быстро находятся уязвимости, они также могут быстро и хорошо устраняться сообществом. Но еще KeePass хорош тем, что он поддерживает двухфакторную аутентификация в самом безопасном смысле — через физический носитель на флешке (YubiKey или через файлик, который вы закачиваете на флешку).
В какой-то момент я захотел попробовать, какие парольные менеджеры еще бывают, после того как узнал об утечках в LastPass (именно из-за этих утечек этого менеджера нет в этой подборке, несмотря на его популярность, — прим. ред.), которым активно пользовался. К тому же мне понравилась возможность использовать свой юбикей, а еще я большой фанат вещей, сделанных энтузиастами, а не компаниями.
Среди недостатков: не очень дружелюбный и современный интерфейс для человека, который только знакомится с миром цифровой безопасности в 2024 году. Но если вы хотите обезопасить себя с помощью физического второго фактора, KeePass наверняка вам подойдет.
Цена: Бесплатно
Платформы: Windows (официально), неофициальные порты для других ОС
Особенности: Открытый исходный код, поддержка YubiKey
С чего начать?
Если вы еще не использовали никакой парольный менеджер, если у вас везде стоит одинаковый пароль с небольшими изменениями, или вы всегда использовали только встроенные хранилища паролей вроде Keychain («Связка ключей») в iOS или парольный менеджер в браузере Chrome, но после прочтения нашего текста задумались о том, чтобы завести менеджер паролей – ура, значит, у нас получилось выполнить нашу информационную работу!
Может показаться, что какая-то малозаметная программа – это не то, на что хочется тратить деньги (и с ограничениями платежей с российских карт это может быть совсем непросто) и время на переезд со всеми вашими данными. Но если на всех ваших устройствах будет стоять безопасная и удобная именно вам программа, она обеспечит вам защиту от взлома и свободу от необходимости потом разбираться с последствиями – писать всем друзьям в соцсетях о том, что вас взломали, или, еще хуже, разбираться с финансовыми последствиями мошенничества. Мы очень рекомендуем вложить время и силы в подбор программы и настройку ее под себя (а несколько сервисов в нашей подборке – бесплатные, так что вы даже не потратите денег на подписку).
Выберите один из сервисов, которые мы предложили, или какой-то другой (всегда смотрите на новости об утечках!), установите его и в зависимости от того, где у вас сейчас хранятся пароли, в браузере, в голове или в тетрадочке, экспортируйте базу ваших паролей и по инструкции, которую вам наверняка даст ваш новый сервис, перенесите эту базу. Если этого не сделать, а начать собирать все пароли с нуля «ради чистоты новых паролей», процесс может стать таким мучительным, что вы забросите его на середине и никогда не добьетесь результата. В теории, все пароли после экспорта и переноса из одного сервиса в другой хорошо бы заменить: после скачивания в открытом виде (незашифрованным файлом) они перестали быть безопасными. Но не стремитесь сделать это сразу: просто помните, что стоит начать менять все пароли по очереди, когда вы заходите на сайты. И, может быть, поставьте напоминание на через месяц в ваш календарь?
Использование парольного менеджера значительно увеличит вашу безопасность. Хотя между представленными сервисами есть различия, главное – начать использовать хотя бы один из них, и помнить о регулярном обновлении паролей и о разных паролях для разных сайтов и сервисов (лучше всего –все случайно сгенерированных и длинных).
Пожалуйста, не отказывайтесь от этой идеи, даже если вам покажется что-то поначалу слишком сложным. Естественно, вы сможете во всем разобраться – а если что-то будет непонятно или захочется обсудить, вступайте в наше сообщество СОЮЗ. Союзники всегда готовы поддержать друг друга, и морально, и хорошим советом.
Да, к сожалению часть сервисов из нашей подборки в стране недоступны по причине невозможности оплаты российской картой, но всё же не все: в России работают KeePass и Bitwarden, оба полноценные парольные менеджеры с бесплатной версией. Если же вы безнадежно влюблены в сервис, который не можете оплатить – найдите в нашем СОЮЗе бадди, помощника, который сможет сделать это для вас через зарубежную карту! Мы в сообществе помогаем друг другу, в том числе и таким образом.
Если вы хотите поделиться вашим опытом использования парольных менеджеров, задать вопрос, предложить дополнить этот материал – шлите нам записку в нашу черную коробочку на сервисе Typeform, это анонимно.
Благодарим Леонида из компании eQualitie за хорошие советы в процессе подготовки материала!
P.S.
В этом тексте мы используем в качестве иллюстраций фотографии Джуэлл Мази́к, клерка Библиотеки Конгрессса в Вашингтоне, сделанные фотографом Джоном Коллиером в 1942 году, во время войны, по заказу государственного «Управления военной информацией». Эта серия фотографий изображала сотрудников управления, относящихся к группе, которая сегодня на английском языке обозначается как BIPOC (Black, Indigenous, people of color). Используемые как инструмент внутренней пропаганды, эти фотографии изображали людей разного расового происхождения на госслужбе США, и должны были иллюстрировать всеобщую мобилизацию во время войны. Джуэлл Мази́к была сфотографирована на работе в Библиотеке Конгересса и дома, с семьей – но фотограф не снял Мазик как активистку и борца за равные права для афроамериканцев и BIPOC в США. Она была журналисткой газеты Baltimore Afro-American, организатором протестных акций против автобусной компании, которая запрещала найм темнокожих водителей автобусов. Позже она была тьютором и теневым советником мужчин-руководителей движений за права афроамериканцев во многих странах, в том числе Малькольма Х в США. Подробности про историю Мази́к можно прочитать в этом тексте на английском языке.
Мы нашли эти фотографии случайно – они подошли к простой метафоре «каталога паролей». Но история Джуэлл Мази́к напоминает (в первую очередь авторам текста) о том, за обычными фотографиями, которые вы видите в том числе и на Сверхновой, размещенными как «абстрактные иллюстрации», кроются большие и очень конкретные истории.
