Немало заметок и обсуждений посвящены непростому вопросу безопасного хранения паролей, тема интересная и, похоже, актуальной будет ещё долго. Существуют различные программные решения для хранения паролей, о них довольно часто пишут на Хабре (например и ), однако многим из них, как нам кажется, в той или иной степени свойственны следующие недостатки:
- закрытый код снижает доверие и вероятность оперативного устранения уязвимостей
- для автозаполнения нужно ставить дополнительный софт
- после ввода мастер-пароля вся база открыта и доступна, в том числе для вредоносного ПО, что особенно актуально на недоверенных устройствах
- использование мобильных приложений для хранения паролей все равно подразумевает ручной ввод с клавиатуры, например когда требуется залогиниться на стационарном ПК
- автозаполнение невозможно в некоторых случаях (в bios, консоли)
Для начала мы, конечно же, прочитали весь интернет, чтобы понять, кому еще приходила в голову идея хранить и вводить пароли аппаратно, и как она была реализована. Найденные варианты можно условно разделить на следующие категории:
- шифрованные накопители, по сути - просто флешки с паролем (например, такая). Можно безопасно хранить документы, но об автоматическом вводе паролей речь не идет
- устройства с биометрической идентификацией (пример). Биометрическая идентификация выглядит привлекательно, однако она менее универсальна, чем символьный пароль (например, если надо удаленно предоставить кому-то доступ к устройству, передача отпечатка пальца станет настоящей проблемой), к тому же дополнительные датчики увеличивают стоимость изделия. В случае компроментации сложно быстро сменить отпечатки
- программные менеджеры паролей с аппаратным ключом-токеном, который дает доступ в базу (например) обладают теми же недостатками, что и программные менеджеры без ключа-токена
- устройства для ввода 1-4 паролей и их генерации (пример , ). Наиболее близкие решения. Из недостатков следует отметить ограниченное количество хранимых паролей а также управление исключительно кнопками на устройстве, что далеко не всегда удобно.
Идея
Не так давно для корпоративных задач хранения паролей вместо бумажек, браузеров и биологической памяти мы стали использовать KeePass . Вполне довольные удобством и универсальностью этого продукта, мы решили приспособить его для задач аппаратного хранения паролей, портировав на микроконтроллер.Однако, осталось огромное количество вопросов. Каким образом выбирать нужную запись в базе на устройстве? Как показать пользователю, какая запись выбрана? Стоит ли размещать на корпусе устройства кнопки? Экран? Как вообще оно должно подключаться к компьютеру? К планшету? К телефону?
От экрана отказались сразу. Если уж у пользователя возникла необходимость вводить пароль - скорее всего, экран у него уже есть. Что касается способов подключения, то мы решили не рассматривать беспроводные интерфейсы, ввиду потенциальной их уязвимости для перехвата.
Для управления мы будем использовать стандартную клавиатуру, а для непосредственного ввода сохраненных паролей в формы - эмулировать клавиатурные команды. “Перехват” управления будет происходить при вводе специальной комбинации клавиш. По умолчанию мы выбрали сочетание Ctrl + Shift + ~ , потому что оно удобно для нажатия и практически нигде не используется. Проект получил название “Pastilda” (от password, tilda), у нас оно ассоциируется с чем-то вкусным и сладким, а также помогает не забыть главное сочетание клавиш для работы с устройством.
Находясь в пассивном режиме Пастильда транслирует все сообщения от клавиатуры к ПК без изменений, ожидая нажатия специальной комбинации. После ввода комбинации устройство входит в активный режим. Если в этот момент курсор находится в поле для ввода текста - это может быть поле “Логин”, или любое другое текстовое поле - в нем появляется одно-строчное текстовое меню.
Для работы с базой KeePass, хранящейся в памяти Пастильды, пользователь вводит мастер-пароль, а затем при помощи навигационных клавиш выбирает название интересующего его аккаунта и нажимает ввод. Пастильда вводит нужные логин и пароль в соответствующие поля. При этом расшифровка базы происходит на устройстве, и целевая система не получает доступа к мастер-паролю и ко всей базе. Выход из активного режима происходит либо автоматически, после ввода пароля, либо после повторного нажатия комбинации “Shift + Ctrl + ~”. Да, кстати, комбинации можно придумать свои.
Реализация 0.1
Как всегда много чего хочется реализовать, а начать решили с малого. Ревизия 0.1 предназначена для проверки идей, удобства использования и всяческого баловства. В текущей версии запланирован следующий минимум функций:- составное USB устройство (HID+Mass Storage)
- USB host
- работа с одной базой KeePass
- однострочное меню
- FAT16.
Схема
Тут всё просто - контроллер Stm32f405, два разъема и флешка на SPI. Так же немного защиты, разъем SWD и, конечно же, RGB светодиод. Выбор компонентов не вызвал затруднений - STM мы просто любим, похоже, единственный, кто реализовал два аппаратных USB в микроконтроллере, а память взяли какая была.
Плата
Все компоненты в обычных корпусах, чтобы плата была дешевая и быстрая в производстве. Размер 40х17 мм, 4 слоя. Текущая версия платы выглядит вот так:
Софт
На данный момент реализовано:- USB host, для того чтобы распознавать подключенную к устройству клавиатуру и прокидывать сообщения от нее дальше в ПК
- составное USB устройство (msd + hid): в режиме Pastilda устройство должно уметь быть клавиатурой, кроме того, быть всегда доступным как внешний диск, для удобного добавления и удаления паролей (Попутно @anaLazareva решила проблему с usb_msc libopencm3.
- FAT для чтения данных, записанных во флеш память, чтобы мы могли ходить по директориям и брать нужный пароль
- KeePass расшифровка, работа с записями
- меню.
Что дальше?
Дальше - больше. Хочется реализовать работу с любыми устройствами, понимающими внешнюю клавиатуру. Мы уже протестировали работу нашего прототипа с Android-смартфоном через USB OTG, всё работает прекрасно. Для удобства навигации по меню при использовании Пастильды с мобильными устройствами сделаем отдельный USB-модуль с колесом-кнопкой.
Ещё одна идея - маленькая гибко-жесткая печатная плата, которая заправляется прямо в разъем USB, оказываясь между контактами host и device. Жесткий кусочек платы с компонентами наклеивается на корпус штекера device. Таким образом устройство будет довольно сложно обнаружить. Впрочем, зачем бы нам это? Просто идея.
Встроенную память Пастильды можно использовать для хранения данных (если скорость не особо важна), и тут возможны варианты: просто USB накопитель, который виден всегда, когда устройство подключено, либо шифрованный накопитель. Базы KeePass, файлы ключей и т.п. предполагается хранить на этом пространстве.
Open all
Код выложен на github , вместе с железом. Лицензия GNU GPL. Естественно, можно пилить что-то свое на основе этого проекта, нам в голову пришли такие идеи:- эмуляция kbd+mouse для гейм-читинга
- потоковое аппаратное шифрование USB-флеш.
Главная цель этой статьи - услышать ваше мнение, не стесняйтесь в комментариях!
UPD 27.06.2017:
- Репозиторий проекта Пастильда переехал сюда . Недавно был опубликован релиз 1.0.
К ороткий пароль, состоящий из одних только цифр, знаменательная дата, собственное имя или имя кого-то из близких, череда удобно расположенных на клавиатуре символов типа «qwerty» или «йцукен» — залог того, что когда-то такой пароль, скорее всего, будет взломан, а аккаунт, которому тот служил, безвозвратно утерян. Использование на нескольких сайтах, в мессенджерах, прочих программных аккаунтах одного и того же пароля, сколь бы сложным тот ни был, также может когда-то обернуться потерей одного из аккаунтов, а то и всех, где этот пароль использовался.
Как правильно создавать и хранить данные авторизации, чтобы это было и безопасно, и удобно?
Многие пользователи до сих пор по привычке ещё пользуются старым проверенным способом хранения логинов, паролей и прочих идентификаторов в файле «.txt». На сайтах в Интернете практически для любого шага нужна авторизация, и работа с легковесным текстовым файлом на первый взгляд может показаться вполне приемлемым решением. Текстовый файл в блокноте всегда может быть открыт, всегда под рукой, и это никак не скажется на производительности системы в целом. Однако хранение логинов и паролей в файле «.txt» — далеко не самый удобный способ упорядочивания своих данных. Как минимум блокнот или любой другой текстовый редактор менеджерам паролей проигрывает в том, что не умеет придумывать пароли.
Менеджер паролей – это специальный тип программ, предназначенных для хранения конфиденциальных данных пользователей (почитайте про лучшие ). В довесок к удобному формату отображения данных авторизации эти программы решают за человека такой немаловажный вопрос, как придумывание сложных и надёжных паролей. Каждый стоящий менеджер паролей обустроен генератором паролей — функцией, которая в случайном порядке формирует набор нелогичных символов большей или меньшей степени сложности, зависящей от заданных пользователем параметров. Чем сидеть и ломать себе голову, какой бы пароль придумать, да так, чтобы он и не меньше 10-ти символов был, и в нём имелись как цифры, так буквы, а буквы ещё и в верхнем регистре, куда проще поручить это дело программному процессу, который выдаст результат мгновенно.
Безопасный пароль – это сложный пароль. Его, в принципе, и можно было бы со временем запомнить, но, если таких паролей много, всё это в голове хранить не удастся. А вот единожды наладить работу со своими данными авторизации, а затем поддерживать всё это в актуальном состоянии – вполне посильная задача.
Ниже рассмотрим тройку функциональных менеджеров паролей для Windows — достойных решений на рынке софта, служащих для организации и упорядочивания конфиденциальных данных пользователей.
Sticky Password
Небольшая, но продуманная программа для любителей стиля мобильных приложений. Её использование предусматривает создание интернет-аккаунта, который обеспечивает синхронизацию данных с мобильными приложениями для платформ Android и iOS.
Данные, хранящиеся в Sticky Password, защищаются так называемым мастер-паролем — единым паролем доступа к программе, который нужно вводить каждый раз не только при запуске программы, но и для разблокировки после бездействия компьютера какое-то время.
Поведение мастер-пароля настраивается – его можно отключить вовсе или сменить время автоблокировки Sticky Password.
Помимо данных авторизации, программа позволяет создавать, упорядочивать и хранить закладки интернет-сайтов, контакты людей в формате визитки, а также для фиксации важных сведений. Sticky Password изначально структурирована разделами для хранения данных авторизации интернет-аккаунтов и учётных записей приложений. Внутри этих разделов имеются группы – подразделы, где логины и пароли можно хранить каталогизировано, в соответствии со спецификой интернет-аккаунтов и приложений.
Чтобы избавить пользователя от хлопот каждый раз придумывать витиеватый пароль, программа обустроена генератором паролей.
При инсталляции в систему программа Sticky Password предлагает импорт данных с других источников – файла собственной базы данных, других программных менеджеров паролей или поддерживаемых браузеров.
Для переноса программы на переустановленную систему или другой компьютер можно воспользоваться экспортом настроек, который позволяет сохранить данные как в файлах баз данных, так и в универсальных форматах «.hml», «.html», «.txt». В качестве альтернативы, например, если со Sticky Password необходимо поработать временно на стороннем компьютере, можно создать на флешке портативную версию программы.
Sticky Password интегрируется в систему и активно «сотрудничает» с ней. Всегда активная в системном трее программа запоминает введённые логины и пароли, а также умеет их автоматически подставлять в поля форм браузера и Windows-приложений.
Sticky Password – защищённая программа, её база паролей зашифрована во избежание перехвата данных шпионским вредоносным ПО.
Sticky Password доступна в бесплатной Free-версии с основным функционалом, а также в платной Premium-версии с дополнительными возможностями.
Скачать Sticky Password: скачать
KeePass Password Safe
К россплатформенный, функциональный, легковесный, полностью бесплатный и безопасный менеджер паролей. На официальном сайте, помимо обычной версии, устанавливающейся в систему, доступна портативная версия. Программа может автоматически вводить данные авторизации в браузерах и Windows-приложениях. Более тесная интеграция KeePass Password Safe с браузерами и дополнительный функционал возможны при установке расширений.
Скачать KeePass Password Safe: скачать
Приступая к работе с KeePass Password Safe, пользователь должен сам создать базу данных программы и указать её место расположения.
KeePass Password Safe умеет проводить импорт баз данных из других менеджеров паролей и универсальных файлов хранения баз данных.
При желании сменить менеджер паролей KeePass Password Safe не будет этому препятствовать, в программе предусмотрен экспорт баз данных в популярные форматы.
Вход в программу при необходимости можно защитить не только основным паролем (мастер-паролем), но также ключевым файлом или учётной записью Windows.
В настройках KeePass Password Safe можно настроить автоблокировку программы при бездействии компьютера и время автоочистки буфера обмена.
Ячейки с логинами и паролями для удобства сортируются по тематическим группам. Вместе с данными авторизации в KeePass Password Safe можно хранить обычные закладки избранных сайтов, в том числе и импортировав их из файла «.html».
В программу встроен генератор паролей с возможностью задания гибких параметров.
KeePass Password Safe – мультиязычная программа, она изначально устанавливается на английском языке, но русскоязычный или любой другой пакет можно скачать с официального сайта и распаковать в папку с программой.
Efficient Password Manager
В серию программ Efficient входит функциональный персональный органайзер, а также его модули в отдельных программах. Потому менеджер паролей Efficient Password Manager можем использовать как отдельной программой, так и в комплексном программном пакете Efficient PIM, где в довесок ещё получим планировщик, адресную книгу, ежедневник, заметки и прочие полезные утилиты.
Efficient Password Manager не интегрируется с системой и не подставляет в браузер данные авторизации автоматически. Efficient Password Manager — это больше удобный интерфейс с гибкими настройками для упорядочивания больших объёмов данных, нежели манёвренная утилита для оперативной вставки логинов или паролей.
Efficient Password Manager внутри поделён на разделы для хранения паролей, серийных номеров ПО, учётных записей и FTP-аккаунтов. В отдельной вкладке программы можно хранить закладки избранных сайтов. Имеется возможность смены расцветки интерфейса программы.
Как и два предыдущих менеджеров паролей, Efficient Password Manager — защищённая программа. Помимо алгоритмов шифрования данных, пользователям предлагается (по желанию) придумать единый мастер-пароль – пароль, защищающий вход в саму программу и доступ к её содержимому. Традиционно, как и в прочих менеджерах паролей, в Efficient Password Manager имеется генератор паролей.
Программа предусматривает не только импорт и экспорт данных, но также их резервное копирование и восстановление.
Использовать основной функционал Efficient Password Manager можно бесплатно. За отдельную плату предоставляются дополнительные возможности в Pro-версии программы. У Efficient Password Manager, помимо обычной, есть также портативная версия.
Скачать Efficient Password Manager: скачать
Если вы читаете эту статью, то, скорее всего, пользуетесь всеми благами цивилизации: компьютером, мобильными устройствами и интернетом, посещаете множество сайтов, зарегистрированы в куче сервисов и, как следствие, используете намного больше паролей, чем можете запомнить.
Если вы читаете эту статью, то, скорее всего, пользуетесь всеми благами цивилизации: компьютером, мобильными устройствами и интернетом, посещаете множество сайтов, зарегистрированы в куче сервисов и, как следствие, используете намного больше паролей, чем можете запомнить.
Кроме того, с точки зрения безопасности пароли должны быть длинными и состоящими вперемешку из цифр и символов в различных регистрах. Ах, да, еще ведь желательно менять пароли раз в 3-6 месяцев. Догадались к чему я клоню?
Все верно. Пора начать использовать менеджер паролей (если вы еще этого не сделали). Для тех, кто уже пользуется подобным софтом, также будет не лишним ознакомиться с этим обзором. Ниже представлены менеджеры паролей для пользователей с любым уровнем требований и толщиной кошелька (есть и бесплатные, но менее удобные варианты).
Плюс к этому, лидеры рынка предлагают удобные решения для бизнеса. Если сотрудники вашей компании для хранения паролей (которые, как правило, легко подобрать) все еще используют свою память, то, возможно, вы также сможете выбрать подходящий вариант.
Dashlane
Наилучший менеджер паролей, представленный на рынке. Программа позволяет изменить сразу несколько паролей в один клик и поддерживает двухфакторную аутентификацию. Кроме того, есть возможность использования общих паролей внутри одной команды.
«Dashlane появился на рынке недавно, но за свой дружелюбный интерфейс уже завоевал симпатии представителей малых и средних бизнесов», - рассказывает Дэниел Хамфриз (Daniel Humphries), исследователь компании Software Advice.
«Я предпочитаю KeepPass, поскольку этот менеджер паролей бесплатен, с открытым исходным кодом, интегрирован с Windows User Account Control и не является плагином к браузеру», - говорит Джейсон Фоссен (Jason Fossen), инструктор подразделения SANS Institute (город Вифезда, штат Мэриленд). «С точки зрения безопасно не совсем хорошо, когда наиболее важная информация – пароли и номера кредитных кар – хранится в браузере, который легко может стать жертвой вредоносной программы».
Джэйсон говорит, что KeePass – отдельное приложение и не является плагином браузера.
«KeePass поддерживает скрипты для PowerShell, что позволяет создавать решения под специальные нужды», - добавляет Джейсон.
KeePass – бесплатная альтернатива для «аскетов», не особо придирчивых к удобству и функциональности, но желающих серьезно повысить свою защищенность.
1Password
Еще один менеджер паролей, позволяющий использовать совместные учетные записи, - 1Password .
«Я настоятельно рекомендую менеджер паролей с защищенным хранилищем», - говорит Стив Хултквист (Steve Hultquist), главный евангелист компании RedSeal (город Саннивейл, штат Калифорния). «Подобные приложения позволяют вам автоматически генерировать полностью уникальные пароли для каждого сайта и автоматически заполнять формы во время работы на стационарных компьютерах, мобильных устройствах и в других приложениях».
Как Dashlane и LastPass, 1Password поддерживает большинство браузеров, автоматически заполняет формы и имеет версии как для iOS, так и для Android платформ.
Особенность Blur в том, что, помимо генерации длинного уникального пароля, этот менеджер создает одноразовый адрес для маскировки вашей реальной электронной почты.
Как и в других платных менеджерах, в Blur предусмотрена бесплатная версия. Расширенная версия (за счет которой компания получает доходы) стоимостью 40$ позволяет генерировать одноразовые номера кредитных карт с расходными лимитами, защищающими пользователя от скрытых комиссий и кражи информации. Кроме того, можно замаскировать номера телефонов.
«Всем пользователям интернета следует завести менеджер паролей», - говорит Роб Шейвелл (Rob Shavell), глава компании Abine. «Менеджеры паролей становятся все более удобными, экономят время, но в то же время хорошо защищают конфиденциальную информацию. Вне зависимости от размера вашего бизнеса, следует обратить внимание на эти приложения».
Помимо своего собственного детища (Blur), Шейвелл также рекомендует LastPass, 1Password, Dashlane и PasswordBox (см. ниже).
PasswordBox
PasswordBox недавно был приобретен компанией Intel. На данный момент полная версия бесплатна для всех пользователей.
Кроме того, в будущем планируется реализация функции «True Key», которая заменит мастер-пароль на биометрическую идентификацию (например, по лицу).
Большинство менеджеров паролей используют мастер-пароль, то есть пароль для разблокировки доступа ко всему хранилищу. Основная идея заключается в том, что намного проще запомнить один очень длинный пароль, чем десятки и сотни паролей для каждого сайта.
Однако мастер-пароль также не совсем удобен, особенно если менеджер блокируется из-за неактивности компьютера или мобильного устройства (хотя, с точки зрения безопасно, блокировка желательна).
«Всесторонняя поддержка крайне важна», - говорит Андре Бойсен (Andre Boysen), главный специалист по идентификации в компании SecureKey Technologies (город Норт-Йорк, провинция Онтарио). «Доступ к хранилищу паролей всегда будет одной из первостепенных целей злоумышленников».
Утверждается, что PasswordBox наиболее надежный менеджер паролей. На данный момент количество загрузок превышает 14 миллионов. Для сравнения: утверждается, что LastPass используют около 6 миллионов пользователей.
Кроме того, в PasswordBox есть функция назначения достоверного пользователя, который сможет получить доступ к хранилищу, если с вами что-нибудь случится. Также можно совместно использовать учетные записи среди сотрудников или членов семьи.
RoboForm
RoboForm – самый старый среди менеджеров паролей, упомянутых в этом обзоре. Первая версия RoboForm была выпущена в конце 1999 года.
У RoboForm есть одна уникальная функция, позволяющая пользователю одновременно авторизоваться на нескольких сайтах. Очень удобно, если вы ежедневно пользуетесь несколькими сервисами. Также есть портативная версия RoboForm2Go, которую можно установить на флешку.
Как и другие менеджеры паролей, RoboForm поддерживает все основные браузеры и устройства. Можно выбрать облачный сервис для синхронизации на всех устройствах или хранить данные локально. Однако в последнем случае вы не сможете получить доступ к хранилищу с других компьютеров и мобильных устройств.
В корпоративной версии RoboForm можно настраивать групповые политики, интеграцию с Active Directory, восстановление мастер-пароля и совместное использование учетных записей. Поддерживается автоматическое создание аккаунтов для групп пользователей и учетных записей, ограниченных по времени.
StickyPassword
В StickyPassword есть уникальная функция для синхронизации при помощи Wi-Fi сети (если вы по каким-то причинам не хотите использовать облачный сервис).
Поддерживается работа с USB-устройств, биометрия и автоматическое заполнение форм. StickyPassword адаптирован для всех наиболее популярных платформ, браузеров и устройств.
Стоимость полной версии с поддержкой синхронизации через Wi-Fi всего лишь 20$ в год (самый дешевый вариант среди всех остальных менеджеров из этого обзора).
В компании утверждают, что StickyPassword используют 2 миллиона пользователей. Кроме того, на основе StickyPassword была разработана технология VIPRE Password Vault (компанией ThreatTrack Security) и менеджер паролей Kaspersky Password Manager.
К сожалению, в StickyPassword не предусмотрена корпоративная версия, что делает этот менеджер паролей не особо пригодным для бизнеса.
«Если компания собирается использовать менеджер паролей, следует убедиться в том, что приложение поддерживает уровень дистанционной управляемости, соответствующий нуждам бизнеса», - говорит Рэнди Абрамс (Randy Abrams), директор NSS Labs (город Остин, штат Техас).
Как хранить пароли к бессчетному количеству сервисов и не сойти с ума?
Как только вы доказали своей маме, что использовать при регистрации на различных сайтах один и тот же пароль не секьюрно, возникает вопрос, а где же хранить все логины-пароли? И тут на помощь приходят менеджеры паролей. Это специальные программы для безопастного хранений паролей и кодов доступа. Предлагаем рассмотреть рейтинг менеджеров паролей, их недостатки и достоинства.
LastPass
LastPass можно использовать для хранения номеров кредитных карточек, банковских счетов, паролей. Дополнительно возможен доступ к информации лиц, имеющих на это разрешение. Реализована возможность контроля паролей сотрудников организаций или членов одной семьи. Поддерживается программная и аппаратная многофакторная аутентификация. Удобное управление базой паролей через web-интерфейс на сайте LastPass. Шифрование идет по алгоритму AES-256.
Программа обеспечивает простой и удобный кросс-платформенный доступ к паролям из любого браузера. Приложение работает действительно везде: Windows, Linux, Mac, разработана мобильная версия под Андроид, iOS, Windows Phone, Blackberry.
Плюсы
- Проверка безопасности при поиске наиболее надежных паролей
- Поиск незащищенных объектов на ПК
- Автоматическая синхронизация
Минусы
- Частично русифицированный интерфейс
- Мобильные приложения реализованы только на платной основе
- В целом программа бесплатная, но за дополнительные функции нужно платить
Стоимость
- бесплатная версия на одном устройстве
- от 2$ за пользователя в месяц позволяет синхронизировать работу со всеми гаджетами
Kaspersky Password Manager
Менеджер паролей, способный хранить множество личной и цифровой информации. Кроме паролей, сохраняет паспортные данные, информацию о счетах и банковских картах. Поддерживает различные платформы: Windows, Mac OS, Android и iOS, все данные синхронизируются.
Предназначен для индивидуального использования. Импортирует все пароли, ранее сохраненные в браузерах. В программе реализована удобная поисковая система.
Плюсы
- Автоматическая проверка надежности паролей
- Генератор паролей
- Автозаполнение и автовход
Минусы
- Нет корпоративных предложений
- Нет импорта из других менеджеров паролей
- Отсутствует двухфакторная аутентификация
Стоимость
- бесплатный тестовый режим на одном устройстве с возможность хранения до 15 паролей
- от 14,99$ в год, количество устройств не ограничено
Dashlane Password Manager
Один из лидеров менеджеров паролей мониторит и изменяет пароли в один клик. После установки программа находит слабые места в безопасности, время от времени предлагает менять пароли для лучшей сохранности данных. При обнаружении взломанных сайтов предупреждает пользователя о необходимости сменить пароль. Сама процедура смены пароля укладывается в пару кликов. Программа хранит номера кредитных карт, банковских счетов и даже чеки о покупке из интернет-магазинов, детализирует расходы.
Программа имеет функцию экстренной связи. Проводит двухфакторную проверку подлинности. Позволяет изменять пароли на 160 наиболее популярных ресурсах сети (Facebook, Twitter, Amazon, Lindekln и др.). Есть возможность открыть доступ к паролю другому пользователю.
Плюсы
- Удобство смены паролей
- Уведомление об угрозе безопасности
Минусы
- Невозможность использования программы для продукции компании Apple
- Отсутствие русского языка в интерфейсе
- Автозамена некоторых вводимых символов в паролях
Стоимость
- бесплатный тариф для одного устройства (включает 30 дней премиум тарифа)
- от 3,33$ в месяц для одного пользователя для всех девайсов
1Password
Удобный менеджер для работы с паролями. Поддерживается различными оболочками: iOS, Mac, Windows, Android. Система поддерживается всеми основными браузерами. Осуществляется автоматическое заполнение формы. Синхронизируется через wifi, icloud или даже dropbox. Система мониторит попытки взлома, отслеживает и сообщает о необходимости обновления пароля.
Можно провести разделение паролей по категориям. Реализована возможность расшарить папку с паролями для третьего лица, не беспокоясь, что посторонний пользователь увидит все остальные пароли. Программа имеет мобильную версию. Шифрование ведется по алгоритму AES-256. Пароли хранятся не в облачном пространстве, а на носителе. Очистка буфера обмена проводится через определенные промежутки времени.
Плюсы
- Простота и удобство интерфейса
- Отсутствие облачного хранилища
- Генератор сложных паролей
- Кроссплатформенность
Минусы
- Высокая стоимость
- Отсутствие русскоязычного интерфейса
Стоимость
- 30 дней бесплатного пользования, а дальше - оплата
- от 2,99$ в месяц за одного пользователя
RoboForm
Один из старейших менеджеров паролей. Отличается от остальных тем, что дает возможность пользователям входить в систему сразу на несколько сайтов одновременно. Поддерживается всеми браузерами.
Хранение данных возможно в облачном пространстве или локально на одном ПК. Во втором случае пропадает возможность доступа к менеджеру паролей с мобильных устройств или других компьютеров. База зашифрована по стандарту AES-256. При использовании облачной технологии возможна синхронизация с другими устройствами. Каждая запись имеет дополнительную защиту. Необходим мастер-пароль для получения всех данных. Портативную версию программы можно хранить на флешке.
Плюсы
- Генератор паролей
- Наличие бэкапов
- Заполнение длинных форм в один клик
Минусы
- Нет бесплатной версии
- Наличие множества мелких багов
Стоимость
- бесплатный тариф
- от 895 руб в месяц за одного пользователя
- есть скидки при оплате на несколько месяцев
- есть семейный и бизнес тарифы
KeePass
Один из первых бесплатных менеджеров паролей. Имеет открытый исходный код. Совместим практически со всеми браузерами и операционными системами. Отлично подойдет для индивидуального использования. Шифрование по алгоритму AES-256. Используется для хранения и генерации паролей. Имеет ряд готовых плагинов: для шифрования, синхронизации, генерация легко запоминающихся паролей.
Используется многоходовое преобразование ключа. Это надежный ресурс для хранения паролей. Синхронизируется с помощью Dropbox. Все записи копируются, распределяются по категориям, возможен поиск по записям.
Плюсы
- Надежность
- Автоматический ввод данных
- Кнопка блокировки
Минусы
- Устаревший и сложный интерфейс
- Отсутствие многофункциональности
Стоимость
KeePass - бесплатная программа
Выбирая лучший менеджер паролей, можно ориентироваться на мнение других людей, а можно попробовать все самостоятельно. Каждый сам решает этот вопрос. Главное — не забывать о защите информации и личных данных. Список других менеджеров паролей вы можете найти .
С тем, что количество паролей, которые надо запомнить, точно больше, чем места для них в голове, столкнулись, наверное, все активные пользователи Сети. И одно дело — пароли от сервисов и сайтов, которые вы используете каждый день, — эти как-то сами откладываются. А другое — от какого-нибудь форума, на который вы попадаете раз в пару месяцев, а то и реже. Это же вообще нереально держать в памяти!
Что делать? Можно, конечно, назначать везде один пароль — но это грозит большими проблемами с безопасностью: кто-то получил в свои руки базу какого-нибудь сервиса, где вы зарегистрированы, — и можно прощаться со всей цифровой жизнью: уведут все, начиная с почты и заканчивая учетной записью в Steam.
Хорошо, этот вариант отметаем. Тогда аккуратно записывать все пароли в текстовом редакторе и хранить в одном файле, но тут та же проблема: а если файл потеряется? Ну и его надо либо хранить в облачном сервисе, чтобы все пароли были под рукой, либо вручную синхронизировать. А ещё этот файл также случайно может попасть в руки не очень порядочным людям — а дальше вы знаете. В общем, это тоже небезопасно.
Так что же, все заучивать и помнить безумное количество паролей наизусть? Тоже не получится! Обычно пользователь запоминает только те пароли, которыми пользуется постоянно. Остальные быстро выпадают из памяти, особенно если они достаточно безопасные — со сменой регистров, цифрами и символами. В общем, для того, чтобы облегчить жизнь пользователю, существует специальный тип программ — менеджеры паролей. Основная задача такого приложения — собрать, зашифровать и надёжно хранить информацию обо всех ваших учётных записях, сделав её недоступной для злоумышленников и доступной для вас. В рамках этой статьи мы рассмотрим пять наиболее известных менеджеров паролей, которые существенно облегчают жизнь миллионам пользователей во всём мире.
⇡ LastPass
Одним из наиболее известных менеджеров паролей считается LastPass — детище американской компании LastPass Corporate. Среди удобств программы обычно отмечают её простой интерфейс, мультиплатформенность, надёжное шифрование паролей, которое происходит на вашем устройстве, и только потом данные уже в зашифрованном виде передаются на серверы компании.
Приложение работает как на Windows, так и на Linux, Mac, а также на мобильных устройствах и планшетах под iOS и Android, на смартфонах под управлением Windows Phone, BlackBerry и даже FireFox Mobile. Кроме «домашней» версии, существует и корпоративная, имеющая функцию интеграции с локальным контроллером домена и настройки политик доступа. Также она хранит данные обо всех учётных записях сотрудников в корпоративных интернет-службах. Например, с помощью LastPass возможно настроить доступ работников организации к Office 365, Google Apps for Work и прочим бизнес-сервисам в Интернете, которые использует компания.
Для начала работы с LastPass необходимо загрузить специальную программу и зарегистрироваться в системе. Скачав инсталляционный файл, запустите его, после чего откроется окно установки. Выберите опцию «Дополнительные параметры», чтобы установить настройки программы — в частности, можно задать каталог размещения приложения, указать, для каких браузеров будут установлены расширения LastPass, а также задать дополнительные параметры конфиденциальности.
После установки приложение предлагает войти в существующую учётную запись или создать новую. При регистрации в сервисе необходимо указать свой действующий адрес электронной почты и задать мастер-пароль. Согласно заявлениям разработчиков, мастер-пароль нужно очень хорошо запомнить и вводить очень внимательно . Если вы его забудете, то в лучшем случае получите фразу-напоминание. Сам пароль администрации администрация сервиса прочитать не может, о чём нас и предупреждают. Требования к мастер-паролю следующие: минимум восемь символов, также рекомендуется использовать сочетание больших и маленьких букв и цифр.
После регистрации программа найдёт пароли в хранилищах браузеров и предложит их импортировать. Просмотрите список и нажмите кнопку «Импорт», если хотите импортировать данные учётных записей. Опционально от этого можно отказаться, нажав кнопку «Нет, спасибо». Следует отметить, что при импорте пароли удаляются из хранилища браузера, и теперь авторизация в сервисах будет проходить через службы LastPass.
Теперь запускаем браузер, которым вы обычно пользуетесь, и устанавливаем дополнение. Затем проходим авторизацию — для этого щёлкните мышью на значке программы, а в открывшемся окне введите адрес электронной почты, на который вы зарегистрировались, и тот самый мастер-пароль — единственный пароль, который вам теперь потребуется помнить.
В разделе «Хранилище» находятся все данные о ваших учётных записях, для удобства рассортированные по папкам-категориям. При щелчке по папке откроется список паролей, содержащихся в ней. Каждый пароль можно посмотреть, выбрав соответствующую опцию рядом.
В окне изменения данных об учётной записи можно сменить пароль, папку размещения учётной записи, добавить заметки, а также настроить дополнительные параметры — например, можно включить автоматический вход при авторизации на сайте.
Ещё одна интересная возможность приложения, на которую хотелось бы обратить внимание, кроется в разделе «Профили заполнения форм».
Профиль: вводим личную информацию
Здесь вы можете создать и заполнить профиль пользователя, указав информацию о себе — фамилию, имя, отчество, домашний адрес, номер мобильного телефона, сведения о кредитной карте и многое другое. Теперь при регистрации на сайтах вам не нужно будет вводить все это по многу раз: достаточно лишь выбрать соответствующий профиль — и все данные заполнятся автоматически.
Автоматическое заполнение при регистрации на mail.ru
При создании пароля можно воспользоваться генератором, который предложит сложную для взлома и подбора комбинацию букв, чисел и символов — что-то типа sZoxpYi1DZY9, как показано на рисунке ниже. С помощью настроек можно установить длину пароля и то, какие символы вы хотите в нём использовать.
В премиум-версии, как упоминалось выше, есть поддержка синхронизации паролей с мобильными устройствами. После установки приложения необходимо войти в LastPass под вашим аккаунтом, после чего на ваше мобильное устройство загрузится информация обо всех ваших учётных записях, сохранённых в системе.
Также имеется возможность просмотреть информацию о каждой учётной записи, отредактировать её или перейти на сайт, для которого этот аккаунт создан, и авторизоваться.
В целом LastPass производит очень хорошее впечатление — это удобная и функциональная программа, которая имеет множество полезных возможностей. К небольшим минусам разве что можно отнести отсутствие в бесплатной версии возможности синхронизации учётных записей с планшетами и мобильными устройствами — но надо же разработчику как-то монетизировать свой сервис.
⇡ Sticky Password
Следующая программа, о которой хотелось бы рассказать, — Sticky Password от чешской компании Lamantine Software. Приложение доступно на нескольких платформах и также умеет синхронизировать ваши аккаунты с разных устройств. Согласно заявлениям разработчиков, Sticky Password умеет хранить все ваши пароли в зашифрованном хранилище, а также автоматически заполнять формы и номера кредитных карт для быстрого использования. Защищается ваша информация традиционным мастер-паролем, который и нужно запомнить. Как и в случае с LastPass, создатели системы сообщают, что не знают наш мастер-пароль, поэтому его нужно хорошенько заучить и не забывать. Из более интересных фич в программе имеется поддержка шифрования стандарта AES-256, биометрическая аутентификация и возможность синхронизации паролей ваших устройств через Wi-Fi. Также авторы обещают корректную работу приложения в четырёх наиболее популярных операционных системах и шестнадцати браузерах, включая Google Chrome, Mozilla Firefox, Safari и Internet Explorer.
Sticky Password распространяется по подписке. При первой установке программы вам предложат создать учётную запись, после чего вы получите 30 пробных дней премиума. Через месяц учётная запись Sticky Password автоматически становится бесплатной. Традиционно премиум-пользователи имеют ряд преимуществ перед обычными. Например, только платным пользователям доступна возможность синхронизации (как через Wi-Fi, так и через облачные службы компании), а также сохранение резервных копий хранилища паролей в облаке. Это удобно, если, например, вы переустанавливали операционную систему или приобрели новое устройство — все равно сможете быстро восстановить все пароли в системе. Цена премиум-аккаунта на одного пользователя составляет 1 190 рублей за один год, за бессрочную премиум-лицензию придется раскошелиться на 5 990 рублей
Установка Sticky Password не отличается особой сложностью — нужно лишь загрузить программу с официального сайта и традиционно запустить файл установки. После инсталляции приложение необходимо настроить.
На следующем шаге вам предложат войти в учётную запись или создать новую, для которой потребуются адрес электронной почты и мастер-пароль. В общем, здесь тоже всё стандартно.
В следующем окне подтверждаем мастер-пароль и ставим галочку, что этот самый мастер-пароль нигде не сохранён и его знает только пользователь. Далее программа предложит произвести синхронизацию данных через облачные службы Sticky Password. Если у вас несколько устройств, выбираем вариант с синхронизацией.
Затем нужно выбрать браузеры, в которых вы хотите использовать Sticky Password, после этого программа готова к работе.
После получения паролей из хранилища браузера программа напомнит о 30 днях бесплатной премиум-подписки, ну а затем, нажав кнопку «Старт», вы сможете прочесть небольшую инструкцию по работе с программой и запустить наконец рабочее окно приложения.
В разделе «Учётные записи Интернета» располагается список аккаунтов пользователя, обнаруженных на компьютере. Каждую запись можно редактировать или удалить, также можно добавить новую. Записи предлагается группировать по папкам. Само собой, можно создавать новые папки и копировать в них данные учётных записей.
Раздел «Учётные записи Интернета»
Еще одной примечательной особенностью программы является возможность сохранять пароли не только для сайтов, но и для приложений. Возможно выбрать программу и задать имя пользователя и пароль для входа в неё. Если программа не видна в Sticky Password, необходимо выбрать её через меню обзора.
Как и в LastPass, в приложении имеется возможность добавления персональных данных для заполнения форм — эту часть надо искать в разделе «Визитки». Нажмите кнопку «Добавить визитку» — и в открывшемся окне нужно будет заполнить информацию о себе. В дальнейшем её можно использовать для заполнения профилей при регистрации на различных ресурсах.
Раздел «Визитки»
Добавляем информацию о себе
В браузерах с установленным Sticky Password появляется расширение — с помощью его возможно быстро проходить процесс авторизации на сайтах, учётные записи к которым располагаются в вашем хранилище паролей. Для этого открываем меню опций «Учётные записи Интернета», а потом выбираем нужный сайт. После этого браузер откроет выбранный ресурс и добавит необходимые данные для входа.
⇡ Kaspersky Password Manager
Kaspersky Password Manager — совместный проект компаний «Лаборатория Касперского» и Lamantine Software. Password Manager создан на основе Sticky Password, поэтому программы очень похожи... в общем, во всем. Приложение является условно-бесплатным. Бесплатная версия может хранить только до пятнадцати учётных записей, для хранения большего количества аккаунтов необходимо приобрести платную версию. Здесь стоит заметить, что отдельно программа не продаётся, купить её возможно только в составе Kaspersky Total Security или Kaspersky Small Office Security.
Тем не менее, несмотря на то, что Password Manager входит в состав этих приложений, его также можно загрузить отдельно с сайта «Лаборатории Касперского». Установка программы, в общем, такая же, как у предыдущих: запускаем исполняемый файл и следуем указаниям мастера установки. В отличие от Sticky Password, здесь учётные записи синхронизируются с серверами «Лаборатории Касперского», и для включения синхронизации необходимо указать либо учётную запись My Kaspersky в случае домашнего использования в составе Kaspersky Total Security, либо учётную запись вашей компании на специальном портале «Лаборатории Касперского» для организаций.
В общем и целом по набору функций Password Manager практически полностью повторяет Sticky Password, поэтому мы не будем подробно рассматривать его. После установки программа также добавляет расширения для ваших браузеров. С помощью этих расширений вы можете проходить быструю авторизацию на сайтах, на которых вы зарегистрированы, и добавлять свои данные для быстрой регистрации, чтобы не вводить их каждый раз.
⇡ Dashlane
Еще один менеджер паролей, на который также хотелось бы обратить внимание, — Dashlane. С одной стороны, нельзя сказать, что в нём есть какие-либо уникальные функции, о которых не шла речь в предыдущих разделах обзора. С другой стороны, он вполне удобен и лёгок в освоении. Помимо «домашней» версии, есть и корпоративная, рассчитанная на работу в организации. Традиционно пользователям предлагается два варианта учётной записи — обычная (бесплатная) и премиум. Бесплатная версия имеет ряд ограничений — у пользователя не будет возможности синхронизировать данные учётных записей между устройствами и сделать бекап данных в облачную службу.
Чтобы начать использование программы, зайдите на её официальный сайт и скачайте приложение. Установка Dashlane довольно проста — запускаем исполняемый файл и после инсталляции увидим окно приветствия. Выбираем вариант с созданием учётной записи и вводим необходимые данные.
При создании аккаунта нам, само собой, предложат создать мастер-пароль. Программа напомнит, что знаете его только вы и пароль нужно очень хорошо запомнить. После всех подготовительных действий откроется рабочее окно Dashline.
Хранилище паролей находится в разделе Passwords. Как и в других программах, пароли можно организовывать — создавать папки-категории для последующей сортировки учётных записей. Аккаунты можно добавлять в систему двумя способами: через программу и в браузере, если вы вводите данные записи, которая ещё неизвестна системе.
Нажатие правой кнопкой мыши на значке учётной записи вызывает контекстное меню, с помощью которого возможно произвести действия над ней — изменить пароль, удалить, изменить категорию и дать доступ другому пользователю. В разделе Security Dashboard программа выставляет общий рейтинг защищённости аккаунтов и предлагает изменить пароли для учётных записей, которые, по результатам анализа, слишком просты и могут быть взломаны злоумышленниками.
В разделе Secure Notes добавляются защищённые заметки, которые, как и в аналогичных программах, будут находиться в особом разделе хранилища.
В разделе Payments размещается информация о кредитной карте или банковском счёте, кроме того, здесь возможно посмотреть историю покупок. В разделе Team находятся опции, с помощью которых можно обмениваться данными с другими пользователями, например, с семьей или коллегами. Если вы оставляете на сайтах какие-либо личные данные, следует обратить внимание на раздел IDs, где вводятся данные паспорта, водительских прав и прочих личных документов, чтобы использовать их при необходимости.
Аналогично другим приложениям, Dashlane устанавливает расширения для браузеров, с помощью которых можно авторизоваться на сайтах и добавлять новые учётные записи в систему. Плагин распознаёт, когда вы вводите учётные данные, и предлагает добавить информацию об аккаунте в программу.
К плюсам Dashline можно отнести удобный интерфейс, простоту в использовании и возможность анализа системой ваших паролей и рекомендации их замены наиболее надёжными. Но и минусы тоже есть — нет поддержки русского языка, а наиболее важные функции доступны только в премиуме, в бесплатной версии нет даже возможности синхронизации паролей между устройствами.
⇡ 1 Password
Ну а завершает наш обзор 1Password. Приложение отличается от всех перечисленных продвинутыми алгоритмами шифрования, отсутствием собственного облачного сервиса и лицензированием. 1Password распространяется по условно-бесплатной модели — вариант с подпиской здесь отсутствует. После установки вы можете использовать приложение бесплатно в течение тридцати дней, после чего единожды необходимо приобрести лицензию.
Мы рассмотрим Windows-версию программы в рамках данного обзора. Установщик программы можно скачать с официального сайта. После инсталляции запустится мастер первичной настройки. Выбираем вариант I am new to 1Password, откроется окно сохранения хранилища паролей. Выбираем папку сохранения — к слову, это может быть не только папка на локальном жёстком диске, но и сетевая директория, или, например, папка в сетевом сервисе хранения файлов (например, DropBox, OneDrive и прочие подобные службы). Также в программе есть возможность синхронизации данных через Wi-Fi — удобно, если у вас несколько устройств, между которыми необходимо синхронизировать данные учётных записей. Для синхронизации система генерирует специальный пароль, который нужно ввести на других устройствах.
1Password производит очень хорошее впечатление. К плюсам приложения, несомненно, можно отнести простой и интуитивно понятный интерфейс, надежность шифрования данных, относительно невысокую цену и возможность хранения файла паролей не в облачном сервисе, который навязывается компанией-разработчиком, а в любом хранилище по вашему выбору. Если DropBox, OneDrive и прочие аналогичные службы вызывают сомнение, то данные можно разместить, например, на корпоративном или домашнем сервере в локальной сети, открыв папку с файлом паролей для определённого пользователя (или пользователей). Мастер-пароль следует очень хорошо запомнить — данные хранятся только у вас, а значит, восстановить его будет невозможно. В целом же 1Password можно порекомендовать тем пользователям, у которых не вызывают доверия облачные службы и которые предпочитают не платить за подписку, а приобрести единовременную лицензию.
⇡ Выводы
В таблице приведены сравнительные характеристики менеджеров паролей, рассмотренных в статье. В целом они похожи, но именно приведенные ниже различия в функциональности позволят каждому сделать свой выбор.
