За последний год было украдено 4,2 миллиарда паролей. Эта из ряда вон выходящая цифра должна обеспокоить любого, кто имеет дело с Интернетом. Федеральная торговая комиссия США проанализировала, что происходит с похищенными учетными данными. После того как украденные логины к Facebook, Google, Netflix и онлайн-банкам публикуются на хакерском форуме, в среднем проходит всего девять минут до первой попытки захода на ваш аккаунт. Поскольку двое из трех пользователей используют один и тот же пароль для нескольких служб, украденный ключ открывает сразу множество дверей.

Вышеприведенное число также демонстрирует, что теперь пароли могут быть украдены не только у отдельных пользователей, попавшихся на удочку фишингового сообщения. Хакеры нацелились на крупные сервисы, что сулит им гигантскую прибыль. На прицеле оказались крупные IT-концерны, такие как Yahoo! и Uber.

Генерация надежных паролей

Национальный институт стандартов и технологий США внес коррективы в правила создания безопасных кодов. Несколько нововведений:
Длина: Надежность зависит от длины пароля. Чем он длиннее, тем лучше.
Никакой логики: Бессмысленный набор букв надежнее, чем можно подумать. Но пароль не должен быть цифровой мешаниной.
Уникальность: Используйте пароль только один раз.
Проверка: С помощью онлайн-сервиса Pwned Passwords вы узнаете, если ваши пароли используются кем-то другим или же были опубликованы.
Изменение при необходимости: При краже пользовательских данных с серверов какого-либо сервиса, чьим клиентом вы являетесь, смените пароль.

Еще совсем недавно исследования насчитывали в среднем 20–30 аккаунтов, защищенных паролем, на одного пользователя. Последние данные говорят о гораздо большем количестве. Диспетчер паролей, используемый в корпоративных целях, хранит в среднем 191 пароль для бизнес-клиентов. Но даже те, у кого всего десять аккаунтов, практически не придерживаются основного правила обеспечения защиты: пароль нельзя использовать больше одного раза.

Защита для всех паролей

Именно эту проблему помогают решить десять протестированных нами диспетчеров паролей, выступая в качестве сейфа для безопасных паролей и работая в Android, iOS и Windows. Они хранят все пароли централизованно в одном месте. В этих продуктах для защиты сейфа используется мощное AES-шифрование с практически не взламываемой длиной ключа в 256 бита. Такую базу данных можно разблокировать лишь с помощью правильного мастер-пароля. Таким образом, пользователю не требуется помнить пароль к каждому своему аккаунту, а только мастер-пароль, открывающий сейф со всеми остальными кодами.

При этом продукты, протестированные нами, работают по двум разным принципам: восемь менеджеров, среди которых тройка лидеров LastPass, 1Password и Dashlane, представляют собой онлайн-сервисы. Зашифрованная база данных паролей хранится в вычислительных центрах провайдера сервиса.

Для пользователя это самое удобное решение, поскольку пароли используются не только на стационарном компьютере, но и на смартфонах и планшетах. В таком случае для запуска синхронизации достаточно лишь ввести логин и мас­тер-пароль. Все коды будут у вас под рукой в любое время и в любом месте. Однако такие сервисы требуют от вас доверия к провайдеру и убежденности, что ему действительно недоступен мастер-пароль и нет никакой возможности получить доступ к базе данных иным образом.

Второй принцип работы, выбранный разработчиками такой популярной открытой программы, как KeePass, а также компанией Steganos для своего диспетчера паролей, - это локальное хранение базы данных паролей.

Мы рекомендуем начать с хранилища на ПК и лишь затем подтягивать мобильные устройства. Преимущество обоих локальных решений заключается в сохранении за пользователем полного контроля над сейфом. По этой причине мы удостоили KeePass высшим баллом за категорию «Безопасность». Такой метод менее удобен, поскольку вам придется самим думать о том, как получить пароли со смартфона. Однако KeePass - это единственная программа, способная взаимодействовать с различными приложениями, считывающими данный формат баз данных.

К примеру, на тестировании мы остановили свой выбор на KeePass2Android (Android) и MiniKeePass (iOS). Все другие диспетчеры паролей уже идут в комплекте с подходящими приложениями.

Двойная защита мастер-пароля

Безопасность диспетчера паролей зиждется на мастер-пароле (см. блок справа). Поэтому нам непонятно, почему половина участников нашего тестирования принимает даже такие элементарные коды, как «1234abcd».

Лишь 1Password, Dashlane, а также продукты таких известных разработчиков антивирусов, как F-Secure, Kaspersky и Avira, требуют более сложных мастер-паролей. Не менее важно защитить свой сейф и другими средствами - в этом отношении инструменты от антивирусных экспертов откровенно халтурят.

Выбор мастер-пароля

Использование предложений. Забавная реплика из сериала Net­flix или поговорка вашей бабушки станут отличной основой для вашего пароля. Вы можете также обратиться к своему хобби. Неплохой идеей может стать фраза «I love read Chip magazine».

Использование заглавных и прописных букв. Правильная орфография -
скорее недостаток для пароля. «ILovereadChipMagazine» с позиции безопасности выглядит лучше.

Встраивание специальных символов. Можно добавить и парочку спе­циальных символов: «ILove/readChipMagazine2018$».

Двойная аутентификация. Обязательно задействуйте двухфакторную аутентификацию, чтобы дополнительно защитить доступ к диспетчеру паролей.

Во все хорошие диспетчеры интегрирована , то есть дополнительно к мастер-паролю для доступа в хранилище необходимо ввести второй фактор. В таком случае можно быть спокойным, что даже если мастер-пароль вместе с базой данных попадет в чужие руки, доступ к ней все равно будет закрыт.

Вне зависимости от этого, общая безопасность диспет­черов находится на высоком уровне. Лидеры нашего теста, LastPass, Dashlane и Keeper Security, покоряют отлично реализованными проверками надежности используемых паролей, вычисляют дубликаты и даже предлагают возможность бэкапа. Все продукты не только сохраняют учетные данные, но и создают безопасные пароли - в каждый из них интегрирован собственный генератор.

Однако на практике их технологии отличаются: LastPass, KeePass и Avira Password Manager лучше всех справляются с задачей. Их генераторы невозможно не заметить, а кроме того, они наглядно отображают длину пароля. Не столь удобно мобильное решение от Kaspersky: в мобильных приложениях генератор отсутствует, таким образом, надежные пароли можно создать лишь в настольной версии.

Учетные данные для приложений и веб-сервисов

В плане удобства управления лидируют веб-сервисы, при этом речь идет не только об упрощенной синхронизации. В частности, 1Password, LastPass и Dashlane демонстрируют, как нужно правильно создавать приложения и постоянно внедрять новейшие технологии. К примеру, все три провайдера очень быстро адаптировали свои приложения к сканеру Face ID на iPhone X. Вдобавок ко всему, биометрическая разблокировка гораздо удобнее, чем ввод длинных мастер-паролей.

Все диспетчеры паролей предлагают автозаполнение учетных данных в браузере для входа на сайт. Для программ под Windows и приложений на смартфонах и планшетах этот метод не работает. Здесь проще всего будет скопировать и вставить данные в соответствующие поля. Android, в отличие от iOS, позволяет это сделать легко. Для системы от Apple разработчикам приложений необходимо интегрировать особые функции для работы с диспетчерами паролей. Во всяком случае, для наших лидеров - продуктов LastPass, 1Password и Dashlane - существует длинный список поддерживаемых приложений, которые обходятся без буфера обмена.

У всех решений существует функция поиска для быстрого обнаружения данных. Однако лишь 1Password, KeePass и Steganos позволяют интегрировать несколько баз данных, благодаря которым пользователь может, к примеру, разделить личные и рабочие аккаунты. Очень полезна и функция «Избранное» для отображения часто используемых паролей - отмеченные таким образом данные всегда находятся наверху в списке.

Вход в Windows без пароля

Диспетчеры паролей сохраняют все учетные данные. Ситуация со входом в Windows сложнее, поскольку у вас пока нет доступа к сейфу. Компания Microsoft интегрировала в «десятку» функцию Windows Hello, благодаря которой аутентификация пользователя может осуществляться по сканированию отпечатка пальца, распознаванию лица или радужной оболочки глаза. Такие устройства, как , уже распола­гают техническими средствами, поскольку обычной веб-камеры недостаточно.

Лучше, чем браузерные хранилища

Все участники нашего теста интегрируются в браузеры Chrome и Firefox, а вот с Microsoft Edge могут совладать лишь четыре участника теста: LastPass, 1Password, Keeper Security и True Key. Кстати о браузерах: их встроенные диспетчеры представляют собой лишь хранилище, в котором отсутствуют важные дополнительные функции - например, генератор паролей. Мы советуем обратиться к специальным инструментам, чтобы не потерять покой и сон из-за ужасающих новостей о миллионах украденных учетных данных.

3 июня компания SatoshiLabs анонсировала менеджер паролей TREZOR — приложение для безопасного хранения паролей и управления ими. Оно реализовано как расширение для браузера Chrome и уже доступно всем владельцам аппаратных в рамках программы открытого бета-тестирования.

Менеджер паролей TREZOR способен обеспечить надежную криптографическую защиту независимо от уровня пользователя. Одним нажатием кнопки вы можете зашифровать свой пароль, а менеджер паролей автоматически загрузит его в ваше частное облачное хранилище, откуда вы всегда сможете скачать его в случае надобности. Отсутствие мастер-пароля в TREZOR решает главную проблему безопасности типичных менеджеров паролей — возможность доступа ко всей базе данных с помощью скомпрометированного мастер-пароля. Примеры таких атак, в том числе на хранилища RoboForm и LastPass , много раз описывались в СМИ.

Двухфакторная аутентификация с помощью приложения или по электронной почте обеспечивает дополнительную защиту, но использовать ее неудобно. Биометрическая аутентификация сама по себе может быть опасной: например, получив отпечаток пальца жертвы, злоумышленник может использовать его снова и снова, и изменить его никак не получится. Поэтому кошелек TREZOR сам выполняет функции второго фактора аутентификации, разблокируя пароли без сторонних приложений, мобильного телефона и электронной почты. Вместо того чтобы вводить мастер-пароль для разблокирования всей БД с паролями, пользователю достаточно «разблокировать» кошелек с помощью ПИН-кода, защищенного от клавиатурных шпионов. Кроме того, ПИН-код предотвращает несанкционированный доступ к самому устройству.

Безопасный доступ к облаку

Даже если ваша учетная запись Dropbox будет взломана, злоумышленнику почти наверняка не удастся прочитать сохраненные пароли. TREZOR обеспечивает дополнительный уровень безопасности, шифруя каждый пароль по отдельности с помощью уникального ключа, генерируемого самим устройством. Менеджер паролей TREZOR — это пример того, каким должен быть подход к технологиям защиты облачных хранилищ для индивидуальных пользователей.

Постоянный доступ к паролям

Менеджер паролей TREZOR автоматически синхронизирует каждый пароль с частным хранилищем Dropbox пользователя, благодаря чему получить доступ к паролям можно в любой момент с любого компьютера, подключенного к Интернету. Со временем мы реализуем поддержку и других облачных хранилищ.

Простой механизм восстановления

В TREZOR реализован легкий и безопасный способ создания резервных копий. Во время первоначальной настройки кошелек просит пользователя записать и сохранить в надежном месте фразу из 24 слов. Лист бумаги в сейфе — это все, что нужно для восстановления всех ключей на новом устройстве. В связи с этим хотелось бы напомнить, что TREZOR — это не только устройство для шифрования конфиденциальных данных, но еще и токен для безопасного входа в компьютерные системы с визуальной и физической верификацией.

Запланированные улучшения

После тестирования бета-версии в менеджер будет добавлена функция импорта/экспорта. Возможно, мы также предоставим пользователям приложение для Android — это будет зависеть от их отзывов..

О компании SatoshiLabs

Чешская компания SatoshiLabs — производитель кошельков TREZOR и разработчик ряда других передовых биткойн-проектов, таких как Coinmap и Slush Pool , первый в мире пул для майнинга биткойнов.

Как часто вы задумывались над тем, сколько же всего у вас аккаунтов на различных ресурсах? Сколько имен пользователя и паролей приходится держать в памяти или в специальном файле на рабочем столе, скрытом от посторонних глаз? В среднем пользователь может иметь до 40 аккаунтов. И, в зависимости от рода деятельности, эта цифра вполне способна вырасти на порядок.

Итак топ-12 лучших менеджеров паролей. Первая половина из них отлично подойдет для персонального пользования, а вторая – для вашей рабочей команды.

Менеджеры паролей. Персональное пользование

Splikity
Простой инструмент для работы с паролями. Поддержка: iOS, Chrome, Android, Firefox, Safari. Стоимость: 4.99$ в месяц или 49.99$ в год.

LastPass
Простой и удобный кросс-платформенный доступ к вашим паролям из любого браузера. Поддержка: Web, Mac, iOS, Android, Windows. Стоимость: бесплатно для одного устройства; 12$ в год премиум.

Onesafe
Ваш собственный сейф с паролями. Поддержка: iOS, Mac, Windows, Android. Стоимость: 19.99$ при работе с ПК, 4.99$ для мобильных устройств.

1Password
Удобный менеджер для работы с паролями. Поддержка: iOS, Mac, Windows, Android. Стоимость: 49.99$.

iCloud Keychain
Мультиплатформенное программное обеспечение для пользователей Apple. Поддержка: iOS, Mac. Стоимость: бесплатно.

Менеджеры паролей. Корпоративное использование

CommonKey
Доступный менеджер паролей для командной работы. Поддержка: Web, Chrome. Стоимость: бесплатно для групп до 3-х пользователей; 2$ за одного пользователя в месяц.

Zoho Vault
Удобный менеджер для удаленной работы. Поддержка: Chrome, Firefox. Стоимость: от 1$ в месяц за пользователя.

Meldium
Удобный менеджер паролей. Поддержка: Firefox, Safari, Chrome. Стоимость: от 24$ в месяц за 20 пользователей.

Vaultier
Удобное ПО для it-компаний и более масштабного менеджмента. Поддержка: Web, Ubuntu. Стоимость: 99$ в месяц за облачное хранилище.

SimpleSafe
Одноразовый доступ к паролям по ссылке. Поддержка: размещение веб-приложения на локальных серверах. Стоимость: 90$.

Passwork
Максимальная защита паролей для командной работы с возможностью установки на свой сервер. Поставляется с открытым для аудита кодом. Поддержка: Web, Android, iOS, Chrome, Windows. Стоимость: 1,5$ в месяц за одного пользователя (или 25 рублей в месяц за пользователя для России).

Давайте теперь рассмотрим каждый из менеджеров более скрупулезно.

Топ-6 менеджеров паролей для личного пользования

1Password (поддержка Mac, iOS, Android, Windows)

Сегодня 1Password – один из самых популярных менеджеров паролей. Он работает как в режиме онлайн, так и без подключения к всемирной паутине. Он без проблем может провести синхронизацию через wifi, icloud или даже dropbox, Это значит, что синхронизация ваших данных полностью под вашим контролем.

Само собой, у менеджера есть мобильное приложение. Оно обладает неплохим функционалом, позволяющим без проблем заходить в нужные профили, включать разблокировку «хранилища» через iPhone`s Touch ID и т. д.

1Password позволяет сохранять не только пароли. Вы можете занести в «сейф» адреса доставки, номера телефонов и кредитных карт, водительские права и прочие важные данные.

LastPass (поддержка Web, Mac, iOS, Android, Windows)

Что такое ЛастПасс и с чем его сервируют? Этот менеджер паролей будет работать в любом месте. Вы не ослышались. Он действительно работает повсюду. Есть расширения под все популярные интернет-браузеры, приложение для Windows на ПК, под Linux и Mac. В магазинах мобильных приложений не составит проблемы найти вариант под Андроид, iOS, Windows Phone, Blackberry. Кроме того, при использовании на одном устройстве программа бесплатна, что делает ее весьма привлекательной для простых пользователей.

Премиум-версия программы и вовсе дает возможность синхронизировать ее со столькими устройствами, сколько вам придет на ум. В мобильном приложении можно вставить необходимый пароль в нужное поле привычным методом copy-paste. Владельцы «яблока» могут получить мгновенный доступ в приложение через функцию Touch ID. В общем, разработчики позаботились обо всех.

LastPass прекрасно справится с сохранением номеров кредитных карт, банковских счетов, так что вы сможете иметь доступ к этим данным отовсюду. При необходимости можно создать доступ к той или иной папке с паролями для других пользователей.

Если смотреть более масштабно, LastPass Enterprise дает возможность владельцам бизнеса управлять паролями всей компании через расширение в веб-браузере. То есть, вы можете следить за состоянием паролей любого члена группы и вовремя внести корректировки при необходимости.

Dashlane (Web, Mac, iOS, Android, Windows)

Этот менеджер ратует за свежие данные. После установки Dashlane исследует всю вашу базу на предмет слабых, поврежденных или повторяющихся паролей. После чего вежливо предложит их менять время от времени для поддержания должного уровня безопасности. Если вдруг сайт, которым вы пользуетесь, будет взломан, менеджер тут же предупредит вас об опасности, чтобы вы смогли быстро сменить «замок».

Кстати, смена пароля здесь быстрая и совершенно безболезненная. Вы можете провести процедуру в пару кликов. Dashlane также сделал переход с другого менеджера простым и приятным. Программа просто просканирует ваши приложения и компьютер на наличие паролей, а затем импортирует их в свою базу.

Отличная новость для тех, кто часто делает покупки в интернет-магазинах: менеджер не только сохраняет номера банковских карт и счетов, но и чеки из магазинов, делает детализацию расходов. Последнее может стать хорошим подспорьем для тех, кто привык вести учет семейного бюджета. Всех ведь интересует вопрос, куда девается зарплата так задолго до следующей?

oneSafe (Mac, iOS, Android, Windows)

Секретные видео и фото на мобильном телефоне, снимки ваших банковских карт, страховой полис, да хоть код от шкафчика в тренажерном зале. Все это надежно скроет от посторонних глаз oneSafe. Еще одна интересная функция – Decoy Safe. Это фишка позволяет создать фантом, то есть, поддельные данные для потенциальных воров. И пусть они взламывают несуществующий аккаунт… Удобная система навигации позволяет находить все нужные данные легко и просто.

Программа хороша и тем, что вы можете самостоятельно выбрать способ входа: от swipe и Touch ID до пин-кода или нововведенной технологии «Tri-Pin». Еще один плюс – кросс-платформенная поддержка, так что синхронизация всех задействованных устройств не доставит никаких проблем.

iCloud Keychain (iOS, Mac)

Что касается iCloud Keychain, сегодня он интегрирован во все последние версии iOS и OS X. И защищает все синхронизированные между вашими устройствами данные через iCloud. Вся информация попадает в ведение программы автоматически.

Нельзя назвать этот софт только лишь менеджером паролей. По сути, это полноценный сейф для вашей секретной информации. Туда можно заносить доступы к серверам, настройки wi-fi сети, защищенные образы дисков и т. д. Программа без проблем переходит на новые версии и синхронизируется через iCloud. Доступ к настройкам на iOS менеджер получает через браузер Safari. Он будет автоматически заполнять формы и отображать номера ваших кредитных карт. Все это защищено цифровым четырехзначным пин-кодом вашего iPhone. А от посторонних систему защищает Touch ID. Что касается приложения для рабочего стола, Keychain позволит увидеть все сохраненные пароли и удобно рассортировать их по папкам. Это программное обеспечение разработано исключительно для экосистемы Apple. Но программа работает только с Safari. Разработчики отмечают, что выбор Firefox или Chrome не поддерживается.

Splikity (iOS, Android, Chrome, Firefox, Safari)

Можно установить приложение и на смартфон. После входа данные синхронизируются и станут доступны для работы. Пока вы будете использовать приложение браузера, программа станет автоматически заносить в базу все данные. Если вам нужно отослать другому пользователю логин – нет проблем. Это можно сделать через e-mail, при этом ваш пароль останется скрытым от посторонних глаз.

Топ-6 менеджеров паролей для бизнеса

Конечно, вы можете использовать любой из вышеперечисленных менеджеров, но их функционал существенно ограничен и не ориентирован на бизнес-среду.

Passwork (Web, Android, iOS, Chrome, Windows)

Профессионалы в сфере IT высоко оценивают прозрачные алгоритмы шифрования и возможности ПО, которые дает open source. Есть два способа как вы можете использовать Passwork. Во-первых, вы можете установить коробочную версию на собственный сервер и получить продукт с открытым для аудита исходным кодом, в который при необходимости можно вносить изменения. Во-вторых, можете пользоваться облачной версией. После установки вы получите доступ ко всем многочисленным возможностям менеджера.

Разработчики весьма интересно подошли к распределению прав доступа. К примеру, нового пользователя во временную группу можно добавить, выслав ему на электронную почту зашифрованную ссылку с одноразовым паролем. Администратор легко может проверить, кто к каким паролям имеет доступ, а также легко отследит историю действий с ними.

Все пароли в программе можно рассортировать по группам, а затем и по папкам. Собственно, большой команде очень удобно работать в группе. А в папках будет проще разделить все аккаунты по их функциональному назначению. Кроме того, у этой программы есть расширение для браузера, так что зайти в нужный аккаунт можно быстро и без лишних действий.

Таким образом, вы можете работать с коллегами в группах, приглашать по e-mail или специальной ссылке, предоставлять доступ к единичным паролям и ряд других возможностей заточенных специально для совместной работы.

Нельзя не отметить приятный и минималистичный дизайн Пассворка, который по каким-то причинам чужд большинству менеджеров паролей.

Пассворк предоставляет публичный API, поэтому сторонние разработчики могут запрограммировать свои клиентские приложения или провести более плотную интеграцию со своей инфраструктурой.

Разработчики Пассворка находятся в России, поэтому сервис полностью адаптирован для русского языка (в том числе и стоимость использования: 290 рублей против 18$ в год за пользователя). А коробочная версия адаптирована для российского бизнеса и государственных структур.

Meldium (Firefox, Safari, Chrome)

Meldium – это, в общем-то, сочетание среды запуска веб-приложений и менеджера паролей. Он отлично подходит для работы в группах с общими аккаунтами.

Интерфейс довольно прост. У вас есть главная страница, где отображаются все задействованные аккаунты. Чтобы заполнить форму в той или иной вкладке браузера, достаточно одного клика. Любой член команды может быстро открыть необходимое приложение. С помощью браузерного приложения и профиля Мелдиум, пользователь получит доступ к рассортированным по группам паролям компании. При необходимости администраторы могут привлечь нового пользователя. Для этого достаточно добавить его вручную или отправить приглашение на еmail.

Пригодится эта программа и в том случае, если нужно сделать доступ к личному профилю. Мелдиум дает возможность добавить все персональные профили сотрудников и использовать панель управления для дальнейшего администрирования и мониторинга. Программа также позволяет отслеживать использование паролей по всей компании. При обнаружении слабых или устаревших паролей Мелдиум пометит их как ненадежные и настойчиво предложит обновить. Можно сказать, что программа отыскивает и заделывает дыры в стене безопасности вашей организации.

Zoho Vault (Chrome, Firefox)

Следующее хранилище в нашем списке носит имя Zoho. Это программное обеспечение позволит членам вашей команды легко и безопасно обмениваться важной информацией. Все, что нужно сделать – скачать и установить специализированное расширение для одного из поддерживаемых браузеров. Правда, последних всего два.

Посредством CSV файла можно быстро импортировать все пароли, если вы перешли на Зохо с другого менеджера. В персональных менеджерах инструменты экспорта служат только этой цели.

Инструменты отчетов программы оповестят вас обо всех изменениях, которые происходят в аккаунтах. Будь то операции с доступом или смена пароля, использование того или иного логина и т. д. Бизнес-версия снабжает администраторов весьма широкими возможностями. А удобный и понятный интерфейс позволяет быстро вникнуть в систему работы Zoho Vault.

SimpleSafe (Self-Hosted Web App)

Процесс знакомства с программой начинается с тщательной настройки среды, полей базы данных, где и будут впоследствии храниться пароли. В группы можно рассортировывать пароли одного и того же формата. При настройке SimpleSafe вы вольны поименовать поля баз данных по своему усмотрению. Теперь, когда вашей команде понадобится отследить ту или иную частную информацию, это будет простой задачей.

Панель управления в программе функционирует так же, как и в других подобных ей менеджерах, так что членам команды будет очень комфортно с ее интерфейсом. Правда, собственным браузерным расширением SimpleSafe похвастаться не может. Так что при необходимости ввести пароль придется воспользоваться методом copy/paste. Все дело в том, что ПО устанавливается на локальные сервера.

Vaultier (Web, Ubuntu)

Vaultier можно отнести к еще одному менеджеру паролей для работы в команде, который вы можете установить на собственном сервере. Впрочем, вполне можно работать и с облегченным вариантом ПО – облачной версией этого «сейфа». Кроме того, Vaultier без проблем упаковывается в контейнер Docker с полной установкой.

Vaultier полагается на персональные зашифрованные ключи для защиты паролей, даже когда защищает пароли для всей вашей команды. Пароли рассортировываются в «сейфы» (vaults), затем по «картам» с «секретами». Последние содержат пароли и имена аккаунтов. Такие группы можно использовать и для разграничения уровней доступа. То есть, каждый пользователь может иметь доступ к целому «сейфу» или только к одной «карте» в его пределах. Администраторы при этом могут отменять или назначать уровень доступа любому члену команды.

Это менеджер паролей для рабочего коллектива, делающий упор на безопасность. При этом каждый член команды может спокойно использовать его и для защиты личных аккаунтов.

CommonKey (Web, Chrome)

Отдельные папки для паролей разного назначения позволяют удобно организовать работу в компании, разделив сотрудников на группы. При необходимости всегда можно добавить пользователя в ту или иную группу, а затем аннулировать доступ. Это так же легко, как выслать приглашение на email.

Впрочем, CommonKey вполне можно использовать и как персональный менеджер паролей. Члены команды могут и сами вносить в базу «замки» от своих личных аккаунтов, и давать к ним доступ через тот же самый интерфейс. Но вы можете быть спокойны. Личные и рабочие пароли будут разделены, и важные данные компании не попадут в чужие руки.

Расширение для браузера будет сразу же сохранять пароли, когда вы будете выходить в сеть. При регистрации новых аккаунтов генератор паролей будет тут же включаться в работу, так что новые профили будут надежно защищены в первые же секунды. И вам уже не придется придумывать «код доступа» самому.

Альтернативные приложения для работы с паролями

KeePass
Один из первых бесплатных менеджеров с открытым кодом. Поклонники программы потрудились над совместимостью KeePass с практически всеми ОС и устройствами. Он совершенно бесплатный, но при этом обладает всеми характерными особенностями других менеджеров паролей для персонального использования. Поддержка: Windows, Mac, iOS, Android, Linux.

Стоимость: бесплатно.

Keeper
Может похвастать наличием двухфакторного метода аутентификации. Он распознает присутствие рядом других ваших устройств для идентификации личности, не используя цифровые коды. Поддержка: Mac, Windows, Linux, iOS, Android.

Стоимость: 9/99$ в год на одно устройство.

Roboform
Первым делом РобоФорм изменит стартовую страницу вашего браузера на окошко с быстрым доступом к сайтам, где находятся ваши защищенные пароли. Теперь даже для входа на несколько ресурсов вам достаточно одного клика мыши. Поддержка: iOS, Mac, Windows, Android, Linux.

Стоимость: $19.95/год, плюс $29.95 за приложение для рабочего стола.

Sticky Password
Это менеджер паролей от команды, создавшей антивирусное ПО AVG. Вместе с бесплатной версией вы получаете весьма расширенный функционал, а в платной, вдобавок к первому, техническую поддержку. Менеджер позволяет синхронизироваться через wifi, а также имеет портативную версию. Поддержка: iOS, Mac, Windows, Android.

Стоимость: бесплатно; $19.95/год, или $99 единоразово.

SplashID
Этот менеджер создает резервную копию ваших паролей. Так что в любое время вы можете просмотреть их историю. Вы можете открыть доступ к паролям членам своей команды и при необходимости откатить изменения, если кто-то по случайности изменил пароль. Поддержка: iOS, Chrome, Mac, Windows, Android.

Стоимость: бесплатно для одного устройства; $19.99/год для версии Pro.

mSecure
Вы можете использовать шаблоны для ввода любого типа данных, а затем сохранить их в хранилище программы. Данные можно синхронизировать через iCloud или Dropbox для доступа к ним с любого устройства. Есть и интересный пункт. При многократных попытках входа функция саморазрушения стирает все ваши данные, чтобы они не попали в чужие руки. Так что не забывайте свой мастер-пароль. Поддержка: iOS, Mac, Windows, Android.

Стоимость: $9,99 для мобильного устройства; $19.99 версия для ПК.

Master Password
Здесь пароли не хранятся в зашифрованном «сейфе» и нет никакой синхронизации между устройствами. Программа предлагает другой алгоритм действий. Она объединяет имя пользователя, url ресурса и мастер-пароль, чтобы создать новый пароль для того или иного сайта. Мобильное приложение и программа на вашем ПК остаются связанными до тех пор, пока вы не измените ваш мастер-пароль. Поддержка: iOS, Mac, Windows, Android, Web.

Стоимость: бесплатно.

Положитесь на ваш менеджер паролей

@sam901 , ну так об этом и пишет Артём. Не хотите чтобы у программы вместе с владельцем “сменились правила”, держите свои пароли при себе. Иначе где гарантия, что однажды их не продадут вместе с программой? :)

Хотя, повторюсь, я не силён юридически, но на мой взгляд это обман пользователей, которые платили деньги за программу и на западе их возможно было бы засудить. Хочешь продать бизнес, продавай, а данные пользователей и доступ к ним должны остаться у владельцев. Как минимум должна быть возможность их выгрузить.

А раз “такое происходит повсеместно”, приведите плз хоть пару примеров. :)

@Soloqub , да хотя бы skype. Был p2p сервис. МС выкупили и сменили на традиционную централизованную клиент-сервер архитектуру. И обоих вариантов есть свои плюсы и минусы. Для кого-то плюсы p2p были очень важны и выбора два – соглашаться на смену правил или менять сервис. Никто поддерживать старый протокол не собирается.

Ну и куча примеров, когда сервисы выкупают, закрывают и все. Нет больше данных пользователей, девайся куда хочешь. Picasa, например. И хорошо, если план миграции какой-то предусмотрен.

У меня скорее встречный вопрос, а что не так? Бизнес не обязан делать ничего сверх того, что обязывают законы. А дальше есть EULA, где все отлично прописано, кто кому и что должен. И то что старая версия перестанет работать. И то что в новой версии надо новое EULA подписать, которым даешь согласие на отправку своих данных на сервер и т.д. и т.п. Не согласен – не подписываешь и удаляешь приложение.

Выбор сервиса это всегда компромисс. Поэтому статья и выглядит довольно странно, т.к. однобокая и параноидальная. Есть выбор – есть полностью оффлайн сервисы вроде keepass. Есть облачные с разными правилами работы. lastpass, которым я пользуюсь, облачный, но на ПК хранит оффлайн версию. Даже при отсутствии интернета доступ к паролям остается, на серверах открытых паролей нет, мастер-пароль тоже не хранят у себя и т.д. Вместо паранойи и ограниченного рассмотрения вопроса, лучше бы разобрались с выбором на рынке, а не гребли всех в одну кучу.

@sam901 , вы, видимо, не очень разобрались в данной ситуации. Вкармане и была полностью офлайновой программой, хранившей данные на устройствах пользователей. После выкупа Тиньков “предложил” перенести все данные к нему на сервера (теперь они будут доступны только онлайн), либо забыть о них.

Никакой возможности просто забрать своё не предоставлено. Фактически Тиньков купил не бизнес (он сомнителен), а именно данные пользователей. И тут возникают большие сомнения в законности такой покупки.

Никакого сравнения со Скайп тут быть не может. Думаю, 99% пользователей Скайп даже не заметили миграции на централизованную архитектуру. А те кто заметили, лишились возможности использовать сервис, но не лишились ничего принадлежащего им, в отличие от пользователей Вкармане.

@Soloqub , вот поэтому и стоит читать EULA. Потому что там наверняка есть строчка на согласие на обработку всех данных и еще кучу всего. Но никто же не читает, зато в суд бежать все хотят.

Что до разобраться, я вел речь про смену правил игры и это нормально и происходит повсеместно. Мне не нужно разбираться в деталях конкретной ситуации, которая аналогична по большей части.

Что до миграции скайпа, вы явно не понимаете сути такой миграции. p2p архитектура означает невозможностью владельцем сервиса записывать/прослушивать разговоры. Трафик идет напрямую от устройства к устройству. Смена архитектуры означает полный контроль МС над речевым трафиком, полный доступ к нему со стороны спецслужб, рекламных ботов и т.д. и т.п. Это существенно и не менее серьезно, чем внезапная закачка своих документов в облако.

Ну и не надо передергивать факты. Никто в вашем примере ничего не лишился. В онлайне доступно – доступно. Все.

@sam901 , EULA читать, конечно, нужно, это тоже не истина в последней инстанции. Иначе, пользуясь тем что их никто не читает, туда можно было бы вписать всякое, что скачивая приложение ты передаёшь им в собственность квартиру и пр. Поэтому вопрос не только в EULA, а в принципе в законности такого действия.

И перестаньте сравнивать мягкое с солёным. Скайп никогда не позиционировал свои каналы связи как защищённые. Никто его и не использовал как таковой.
Переход к централизованной архитектуре не более чем внутренняя кухня Микрософт. Пользователи над такими вещами не задумываются, так же как не задумываются по каким роутам ходят пакеты от них до сайта iphones и обратно. Им всё равно.

Что касается Пикасы, этот сервис просто прекратил работу, притом Гугл сильно заблаговременно предупредил об этом. Пользователи не лишились фоток, которые лежали локально и были добавлены в программу, не обнаружили что эти фотки будут закачаны на сервера неизвестного банка и будут доступны только после принятия условий этого банка. Эти случаи вообще нельзя сравнивать.

И передёргиваете факты вы. Доступ к документам доступен только для тех, кто полностью принимает условия Тинькова и отдаёт ему необходимые данные, например номер телефона.

"Windows IT Pro/re", № 7, июль, 2016
Статья с упоминанием eToken от компании "Аладдин Р.Д."

О проблеме паролей написаны тысячи статей. Но пользователи все равно выбирают самые простые. Год тому назад в сеть попали базы паролей Yandex и Mail.ru. Как показал анализ этих данных, наиболее популярными оказались самые простые для угадывания пароли (см. рисунки 1 и 2).

Как видно из приведённых диаграмм, пользователи не слишком затрудняют себя при выборе паролей, что значительно облегчает злоумышленнику взлом учётных записей. При этом все продолжают жаловаться на то, что пароли сложно запоминать.

На помощь пользователям пришли менеджеры паролей. Однако программы-менеджеры паролей подвержены все тому же недостатку. Вероятность взлома менеджера паролей зависит как от устойчивости мастер-пароля (основного пароля, с помощью которого осуществляется доступ к содержимому базы менеджера паролей), так и от наличия ошибок в программной реализации менеджера паролей. Да и от троянца-кейлоггера, с помощью которого можно перехватить пароль в момент его ввода в менеджер паролей, тоже никто не застрахован.

Именно поэтому были изобретены аппаратные менеджеры паролей. Нельзя сказать, что появились они только сегодня. Об использовании eToken от компании "Аладдин Р.Д." я писал ещё, наверное, лет 10 назад. Однако использовать его можно было только после установки соответствующего программного обеспечения, к тому же требовалось физическое подключение к конкретному компьютеру, что значительно ограничивало применение. Да и о подключении к смартфону речь тогда, безусловно, не шла. Прошло немало времени, появились новые устройства, и одно из них мы и рассмотрим в данной статье.

Беспроводной ключ Hideez Key (см. рисунок 3) предназначен для работы как с компьютером под управлением Windows, так и со смартфонами и планшетами под Android. На этот раз речь пойдет о работе под Windows.

Рисунок 3. Hideez Key

Для начала перечислим технические характеристики:

• процессор Nordic NRF52;
• связь Bluetooth 4.0 LE;
• питание: элемент питания CR2032;
• срок работы от одной батареи - до 6 месяцев;
• габариты и вес - 31х31х7,5 мм, 8 г;
• рабочая температура от -10 °C до +40 °C;
• кнопка - одна LED, два цвета: красный и зелёный.

Hideez Key предназначен для совместной работы с устройствами, отвечающими следующим требованиям:

• адаптер Bluetooth версии 4.0 и выше с поддержкой режима Low Energy.
• операционная система:

Microsoft Windows 8.1;

Microsoft Windows 10;

Android 4.3 и выше;

Подключение устройства к компьютеру

Для подключения устройства к компьютеру используется процедура стандартного подключения устройства Bluetooth. Для подключения достаточно включить устройство однократным нажатием кнопки и перейти в меню "Параметры", Bluetooth. При этом ваш компьютер перейдёт в режим обнаружения устройств (см. экран 1).

После подключения устройства вы должны установить необходимое программное обеспечение Hideez Safe. В дальнейшем вам будет предложено создать учётную запись на сайте www.hideez.com (см. экран 2).

Экран 2. Регистрация с учётной записью Hideez

После этого вы сможете настроить менеджер паролей и аутентификацию в Windows.

Аутентификация пользователя

Стандартной схемой аутентификации пользователя на компьютере под управлением Windows является применение пары из имени пользователя и пароля. Вместе с тем можно привязать электронный ключ Hideez Key к пользовательской учётной записи. Ввод пароля в окне блокировки Windows осуществляется автоматически при достижении заданного уровня сигнала. После установки приложение работает постоянно. При этом в окне приложения можно увидеть уровень приёма сигнала для ключа Hideez Key.

Для включения функции блокировки вы можете открыть в настройках закладку Locker (см. экран 3) и установить флажок Use this device to Lock/Unlock the PC, а затем задать минимальный уровень сигнала, по достижении которого компьютер будет заблокирован (по умолчанию 40%).

Экран 3. Настройка Locker

Кроме того, необходимо задать максимальный уровень сигнала, по достижении которого компьютер будет разблокирован (по умолчанию 80%), и указать имя пользователя (Get current name). После этого потребуется ввести пароль к учётной записи, который в свою очередь не будет храниться нигде, кроме Hideez Key. Учтите, что на компьютере данный пароль не хранится!

При уменьшении уровня сигнала ниже указанного компьютер будет заблокирован (что аналогично нажатию комбинации клавиш "Win + L"). При усилении сигнала компьютер будет разблокирован автоматически. Пользователь может разблокировать его и вручную, введя пароль с клавиатуры.

Менеджер паролей

При использовании менеджера паролей устройство Hideez Key позволяет хранить до 1000 паролей длиной до 16 символов. Пароли в этом случае хранятся не на компьютере, а в самом устройстве и вводятся непосредственно в поле ввода. Естественно, вы сможете вводить пароли и вручную. Программа Hideez Safe ведет список приложений, а соответствующие им пароли хранятся в зашифрованном виде в устройстве Hideez Key. Соотнесение строки из списка программ с реальным запущенным приложением выполняется по названию активного окна Windows.

Запись пароля

Для записи пароля откройте программу Hideez Safe, войдите в настройки выбранного устройства и перейдите на закладку менеджера паролей Password manager. Запустите программу или окно браузера, пароль к которому нужно записать. Вернитесь к настройкам паролей. Нажмите кнопку "Добавить пароль" (Add password) и после появления диалогового окна укажите мышкой на окно программы, ожидающей ввода пароля. Название программы будет сохранено. Введите пароль и нажмите кнопку "Записать пароль на устройство". После получения подтверждения пароль будет успешно сохранен (см. экран 4).

Экран 4. Password Manager

Редактирование, удаление и проверка списка паролей выполняются аналогично добавлению с помощью кнопок Edit и Delete. В некоторых случаях список паролей в программе Hideez Safe и в Hideez Key может различаться, например после замены или сброса настроек устройства. Для проверки соответствия списков в программе и в устройстве необходимо нажать кнопку "Проверка списка паролей". После этого можно редактировать или удалить нужные пароли в списке.

Ввод пароля из Hideez Key исключительно прост. Достаточно поместить курсор в поле ввода пароля и дважды нажать кнопку на Hideez Key. Hideez Safe проверит наличие активной программы в списке паролей, считает пароль из устройства и введёт его туда, где установлен курсор.

Использование устройства как приложения для аутентификации в двухфакторной аутентификации также возможно, например в ходе двухэтапной аутентификации Google, когда в ответ на введённый пароль служба Google присылает вам SMS с шестизначным цифровым кодом. Если у вас в руках смартфон от Apple или Google, то вы сможете использовать приложение-генератор таких кодов. Но как быть, если это смартфон с другой операционной системой, например Windows Phone? В таком случае вы сможете использовать Hideez Key, поддерживающий создание одноразовых паролей (One-time password) согласно стандарту RFC 6238. В одном устройстве Hideez Key на сегодня предусмотрена одна учётная запись для генерации пароля типа OTP.

Для использования Hideez Key в качестве такого генератора паролей необходимо создать и записать в устройство ключ (Private OTP-key). Для этого нужно сделать следующее:

1. Зайдите в настройки безопасности своей учётной записи https://accounts.google.com/b/0/SmsAuthConfig (см. экран 5).
2. Включите для своей учётной записи двухфакторную аутентификацию (для корпоративных клиентов это потребует дополнительного разрешения администратора), как показано на экране 6.
3. На ваш смартфон придёт SMS с кодом подтверждения (см. экран 7).
4. Выберите мобильное приложение как основной способ получения кодов (см. экран 8).
5. В окне "Настройка Google Authentificator" получите зашифрованный QR-код, выберите ссылку "Не могу сканировать QR-код" и получите текстовый 32-разрядный код (ваш секретный ключ учётной записи Google), как показано на экране 9.
6. В настройках Hideez Safe выберите закладку OTP, вставьте скопированный код в поле OTP Key и нажмите кнопку "Сохранить ключ на устройстве" (см. экран 10).
7. Наберите код (курсор при этом должен быть в поле "Код"), и туда будет вставлен код из устройства (см. экран 11).

Экран 11. Ввод шестизначного кода подтверждения

Если вы хотите использовать Hideez Key и Google Authenticator одновременно на двух устройствах, то вам нужно устанавливать ключ на всех устройствах.

Ложка дёгтя

Аппаратный менеджер паролей - это, конечно, замечательно. Но проблема в том, что он привязан к одному компьютеру и одному телефону. А если вы работаете не только дома (или на работе), то пароли вам в любом случае придётся хранить, как минимум, в двух местах. Ещё более неудобно использовать данное устройство как генератор ОТР. Почему? Да потому что ОТР предполагает именно переносимость. А что мы имеем на самом деле? Фактически генератор работает только для одного устройства. А ведь Google применяет концепцию доверенных устройств. То есть если я доверяю этому устройству, то вводить второй фактор (SMS, OTP) я буду однократно. И больше спрашивать меня никто не будет. А если не доверяю? Тогда проще использовать SMS, потому что Hideez Key я привязываю к конкретному устройству. И ни на чем другом использовать его не могу.