Пароли, или Старые песни о главном
Признайся себе, только честно: уже миллиард раз слышал о том, что пароли должны быть сложными и их нужно регулярно менять. Но действительно ли твои пароли невозможно подобрать? Действительно ли понимаешь, почему менять нужно регулярно? Действительно ли ты не сможешь их выдать в случае угрозы физического насилия? Вот об этом мы и поговорим ниже.
В зависимости от модели угроз рекомендации относительно паролей могут быть разными. Но в общих чертах, подсказывает Капитан Очевидность, они выглядят так:
1) Пароли должны быть действительно сложными. В идеале такими, чтобы даже ты сам, как бы ни старался, не смог их запомнить. И выдать.
2) Пароли для разных аккаунтов должны сильно отличаться. С точки зрения устойчивости к подбору, пары 12345 и 54321 или VasaPupkin1983 и PupkinVasa1983 абсолютно одинаковые, и это плохо.
В зависимости от модели угроз рекомендации относительно паролей могут быть разными. Но в общих чертах, подсказывает Капитан Очевидность, они выглядят так:
1) Пароли должны быть действительно сложными. В идеале такими, чтобы даже ты сам, как бы ни старался, не смог их запомнить. И выдать.
2) Пароли для разных аккаунтов должны сильно отличаться. С точки зрения устойчивости к подбору, пары 12345 и 54321 или VasaPupkin1983 и PupkinVasa1983 абсолютно одинаковые, и это плохо.
Во многих программах и сервисах есть возможность установить двухфакторную аутентификацию. Это могут быть, например, файлы-ключи, одноразовые коды или облачные пароли. Использовать их как дополнительный фактор защиты данных на случай утечки или компрометации пароля – неплохая идея. Подробности проговариваем в соответствующих главах Бяспеки.
Во многих программах и сервисах есть возможность установить двухфакторную аутентификацию. Это могут быть, например, файлы-ключи, одноразовые коды или облачные пароли. Использовать их как дополнительный фактор защиты данных на случай утечки или компрометации пароля – неплохая идея. Подробности проговариваем в соответствующих главах Бяспеки.
3) Пароли нужно менять регулярно. Регулярно – это чаще, чем 1 раз в 10 лет. И уж тем более лучше почаще их менять там, где находится твоя самая-самая конфиденциальная информация, или когда услышал очередные новости про утечки.
4) Беречь пароли как зеницу ока. Чтобы не было мучительно больно. Потому что человеческий фактор – главная уязвимость в любой системе безопасности.
А теперь обо всем подробнее.
4) Беречь пароли как зеницу ока. Чтобы не было мучительно больно. Потому что человеческий фактор – главная уязвимость в любой системе безопасности.
А теперь обо всем подробнее.
1. Сложные и длинные пароли
Совсем недавно, летом 2021-го, произошла самая большая утечка данных в истории: более 8,4 млрд паролей интернет-пользователей выложили в сеть. Если используешь слабенькие или легко запоминающиеся пароли, то есть ну ОЧЕНЬ БОЛЬШАЯ вероятность, что у кого-то когда-то был такой же. Это значит, что когда злоумышленник будет пытаться подобрать твой пароль, он наверняка воспользуется этим огромным словарем и… О последствиях догадайся сам.
Также в 2021 году появилось интересное исследование. По его результатам белорусские журналисты сделали такой вывод: важнейшим правилом является создание длинного пароля. А условный MirovoeZakulisyeMira защищен лучше, чем более короткая абракадабра bT6$g2. Дальнейшее усиление пароля возможно при использовании символов в разных регистрах, спецсимволов и цифр. Чем разнообразнее и длиннее пароль, тем дольше будет производиться подбор и тем меньше шансов у злоумышленников. Подробнее можешь почитать здесь.
Также в 2021 году появилось интересное исследование. По его результатам белорусские журналисты сделали такой вывод: важнейшим правилом является создание длинного пароля. А условный MirovoeZakulisyeMira защищен лучше, чем более короткая абракадабра bT6$g2. Дальнейшее усиление пароля возможно при использовании символов в разных регистрах, спецсимволов и цифр. Чем разнообразнее и длиннее пароль, тем дольше будет производиться подбор и тем меньше шансов у злоумышленников. Подробнее можешь почитать здесь.
Кстати, в интернете есть различные игрушки, где можно проверить, сколько времени уйдет на подбор твоего пароля. Можешь попробовать здесь. Только НИ В КОЕМ СЛУЧАЕ не вводи сюда свои реальные пароли, вместо условного Sasha1985 введи Vasya1987. И помни, что это просто игрушка, которой не стоит доверять на 100%, даже если она говорит, что на подбор похожего пароля понадобится 10 лет (такой пароль точно нужно усложнять).
Кстати, в интернете есть различные игрушки, где можно проверить, сколько времени уйдет на подбор твоего пароля. Можешь попробовать здесь. Только НИ В КОЕМ СЛУЧАЕ не вводи сюда свои реальные пароли, вместо условного Sasha1985 введи Vasya1987. И помни, что это просто игрушка, которой не стоит доверять на 100%, даже если она говорит, что на подбор похожего пароля понадобится 10 лет (такой пароль точно нужно усложнять).
Как создать сложный, хороший пароль? Элементарно.
Во-первых, можешь использовать случайный набор символов. Например, быстренько набросать от руки что-то типа 5Y@5YH_25HK@%HHK@_h@_K_@%Jjm, и это уже лучше, чем VasaPupkin1983.
Во-вторых, есть сотни сервисов, которые помогут тебе сгенерировать сложный пароль. Когда попробуешь воспользоваться одним из них, вспомни эту новость: Из-за бага Kaspersky Password Manager позволял генерировать слабые пароли. Вдруг кто-то создал генератор паролей специально, чтобы знать, какой используешь ты? С другой стороны, если ты доверишь хранение своих паролей программе с открытым исходным кодом KeePass(X, XC), в нем есть «Генератор паролей», можешь и воспользоваться этой функцией. Но повторюсь: делать это следует только если действительно доверяешь программе/сервису.
Да, на абзац выше дан пример неплохого пароля. Ты можешь быть уверен на 100%, что это случайная генерация символов, и на 99,9999%, что нигде и ни у кого ничего подобного больше не встречается, даже в сливах баз на 8,4 млрд паролей. Сложно ли подобрать такой? Если верить табличке выше, фактически нереально.
В-третьих, у тебя все же будут пароли, которые необходимо запомнить. Как минимум один – мастер-пароль от менеджера паролей, про который поговорим чуть ниже. Да, такой пароль тоже должен быть сложным. Но у тебя должна быть возможность его запомнить. Что в таких случаях рекомендуют эксперты по кибербезопасности: они должны быть длинными, содержать разные регистры, цифры и спецсимволы. Они также должны быть сложными для других, чтобы, даже подсмотрев в процессе ввода владельцем, было бы невозможно повторить комбинацию. Но в то же время простыми для тебя, чтобы сам его хорошо запомнил. Мастер-пароль «SergeyIvanychMolodec» - плохой, а «!*@3bypu’!’yrmuMy|*1» выглядит уже чуточку лучше, запомнить такой тоже огромной проблемой не станет, потому что в нем зашифрована конкретная фраза.
Во-первых, можешь использовать случайный набор символов. Например, быстренько набросать от руки что-то типа 5Y@5YH_25HK@%HHK@_h@_K_@%Jjm, и это уже лучше, чем VasaPupkin1983.
Во-вторых, есть сотни сервисов, которые помогут тебе сгенерировать сложный пароль. Когда попробуешь воспользоваться одним из них, вспомни эту новость: Из-за бага Kaspersky Password Manager позволял генерировать слабые пароли. Вдруг кто-то создал генератор паролей специально, чтобы знать, какой используешь ты? С другой стороны, если ты доверишь хранение своих паролей программе с открытым исходным кодом KeePass(X, XC), в нем есть «Генератор паролей», можешь и воспользоваться этой функцией. Но повторюсь: делать это следует только если действительно доверяешь программе/сервису.
Да, на абзац выше дан пример неплохого пароля. Ты можешь быть уверен на 100%, что это случайная генерация символов, и на 99,9999%, что нигде и ни у кого ничего подобного больше не встречается, даже в сливах баз на 8,4 млрд паролей. Сложно ли подобрать такой? Если верить табличке выше, фактически нереально.
В-третьих, у тебя все же будут пароли, которые необходимо запомнить. Как минимум один – мастер-пароль от менеджера паролей, про который поговорим чуть ниже. Да, такой пароль тоже должен быть сложным. Но у тебя должна быть возможность его запомнить. Что в таких случаях рекомендуют эксперты по кибербезопасности: они должны быть длинными, содержать разные регистры, цифры и спецсимволы. Они также должны быть сложными для других, чтобы, даже подсмотрев в процессе ввода владельцем, было бы невозможно повторить комбинацию. Но в то же время простыми для тебя, чтобы сам его хорошо запомнил. Мастер-пароль «SergeyIvanychMolodec» - плохой, а «!*@3bypu’!’yrmuMy|*1» выглядит уже чуточку лучше, запомнить такой тоже огромной проблемой не станет, потому что в нем зашифрована конкретная фраза.
В чем еще преимущество мегасложных паролей? Если кто-то с помощью физической силы будет пытаться выудить их у тебя, ты их не сможешь выдать. Просто потому, что сам не помнишь. Увы, новости последних лет доказывают, что свои пароли лучше вообще не помнить. Чтобы их не выдать и тем самым не подставить самого себя или других людей, с которыми ведешь коммуникации.
В чем еще преимущество мегасложных паролей? Если кто-то с помощью физической силы будет пытаться выудить их у тебя, ты их не сможешь выдать. Просто потому, что сам не помнишь. Увы, новости последних лет доказывают, что свои пароли лучше вообще не помнить. Чтобы их не выдать и тем самым не подставить самого себя или других людей, с которыми ведешь коммуникации.
Кстати, авторы заметки про утечку 8,4 млрд паролей напомнили, что ранее самая большая утечка данных включала 3,2 млрд сочетаний электронной почты и пароля. Информация была создана на основе существующих данных, украденных у таких компаний как Netflix и LinkedIn. И здесь мы переходим к следующему пункту…
2. Все пароли должны быть абсолютно разными
Если ты где-то используешь одинаковые пароли, то в случае утечки из хотя бы одного сервиса, под угрозой окажутся все твои остальные аккаунты. Пароли должны быть абсолютно разными. Поверь, если умный злоумышленник узнает твой пароль VasaPupkin1983 от Яндекса или Мэйл.ру, он без труда подберет и PupkinVasa1983 от Facebook и Google. А вот пароль из набора случайных символов подобрать вряд ли получится.
3. Пароли нужно менять регулярно
Если любишь простые советы, держи: чем чаще будешь менять пароли, тем лучше. Но 1 раз в 10 лет – это точно не про безопасность. И даже раз в пять лет :) Иногда эксперты называют конкретную цифру: раз в месяц–два. Иногда называют частоту 1 раз в полгода, иногда рекомендуют раз в год устраивать парольную профилактику. А уж если услышал краем уха про очередные утечки, то тем более пора менять, не забывая при этом про аудит своих аккаунтов.
Особенно это касается сервисов, где находятся твои самые конфиденциальные данные. Запомни: чем сложнее система, тем выше риск утечек, особенно если эти системы не рекламируются как супер-пупер защищенные. Сложные закрытые системы, чьей главной фишкой не декларируется обеспечение продвинутой безопасности и конфиденциальности, имеют свойство регулярно ломаться.
Не веришь? Подсказываю секретное оружие: открывай любой поисковик и ищи там новости по запросу «утечка паролей ***», где вместо звездочек подставляй любой сервис, которым пользуешься и которому доверяешь свои конфиденциальные данные, не предназначенные для третьих глаз. Таких новостей слишком много, чтобы сейчас ссылаться на какую-то конкретно. А если в этих новостях нет каких-то твоих любимых сервисов – замечательно!
Особенно это касается сервисов, где находятся твои самые конфиденциальные данные. Запомни: чем сложнее система, тем выше риск утечек, особенно если эти системы не рекламируются как супер-пупер защищенные. Сложные закрытые системы, чьей главной фишкой не декларируется обеспечение продвинутой безопасности и конфиденциальности, имеют свойство регулярно ломаться.
Не веришь? Подсказываю секретное оружие: открывай любой поисковик и ищи там новости по запросу «утечка паролей ***», где вместо звездочек подставляй любой сервис, которым пользуешься и которому доверяешь свои конфиденциальные данные, не предназначенные для третьих глаз. Таких новостей слишком много, чтобы сейчас ссылаться на какую-то конкретно. А если в этих новостях нет каких-то твоих любимых сервисов – замечательно!
Вот еще одно сверхсекретное оружие для перепроверки. Здесь можно быстренько проверить, утекали ли когда-либо твои e-mail и номер телефона. Но учти, что в этой базе могут быть не все известные данные. Также рекомендую свои реальные пароли не проверять ни в haveibeenpwned, ни в других подобных сервисах, хоть такая опция и доступна: пароли в принципе не стоит вводить в тех местах, для которых они не предназначены.
Вот еще одно сверхсекретное оружие для перепроверки. Здесь можно быстренько проверить, утекали ли когда-либо твои e-mail и номер телефона. Но учти, что в этой базе могут быть не все известные данные. Также рекомендую свои реальные пароли не проверять ни в haveibeenpwned, ни в других подобных сервисах, хоть такая опция и доступна: пароли в принципе не стоит вводить в тех местах, для которых они не предназначены.
Подробнее о том, как простыми методами защитить свои аккаунты, мы поговорим в разделе про коммуникационную безопасность – в главах про мессенджеры, почтовые сервисы и соцсети. А пока поехали дальше.
4. ААА! ЧТО ДЕЛАТЬ?!, или Береги пароли смолоду
Итак, ты знаешь, что пароли должны быть сложными и абсолютно разными. А еще их нужно регулярно менять. Как же тогда это все добро запомнить? Кто-то создает на рабочем столе компьютера блокнотик со всеми паролями. Кто-то записывает их на стикер и клеит на стену прямо около компьютера. Кто-то хранит все в различных менеджерах паролей. Первые два варианта, конечно, абсурдные. А вот тому, кто придумал менеджеры паролей, нужно поставить памятник.
Что такое менеджер паролей, слово Википедии: "Менеджер паролей — программное обеспечение, которое помогает пользователю работать с паролями и PIN-кодами. У подобного программного обеспечения обычно имеется местная база данных или файлы, которые содержат зашифрованные данные пароля".
Менеджеры паролей грубо можно разделить на две категории: локальные и облачные. Если продолжать так же грубо, то локальные – скорее про безопасность в контексте новостей из автократий, а облачные – про удобство.
Сетевым менеджерам паролей, если ты не профессиональный айтишник и не разбираешься в том, как устроена инфраструктура безопасности того или иного сервиса, я бы не рекомендовал доверять, особенно если живешь в тоталитарном государстве и тебе могут грозить страшные вещи. Причина проста: ты отдаешь самые важные данные на аутсорсинг и не можешь быть на 100% уверен, что на сторонних серверах не произойдет сбой и вся твоя пачка паролей не появится на популярных хакерских форумах, где их можно купить за пару долларов. Или что твои пароли действительно хранятся в зашифрованном виде и не будут по ошибке (человеческий фактор) выданы по запросу товарищей в характерных спортивных деловых костюмах, обслуживающих интересы авторитарной системы. И к сожалению, во многих облачных сервисах двухфакторная аутентификация реализована таким образом, что репрессивная машина сможет добраться до твоих паролей различными методами воздействия.
Я понимаю, что облачные менеджеры паролей – это удобно. Поэтому пара советов по выбору надежного сервиса. Обращай внимание на то, действительно ли методы двухфакторной аутентификации станут непреодолимым барьером для тех, кто пришел к тебе в гости без спроса? Открыт ли исходный код сервиса и проводился ли аудит? Какая юрисдикция у сервиса – не выдаст ли он твои данные по запросу из твоей страны?
Пример одного из неплохих облачных менеджеров паролей – Bitwarden. Если решишь по какой-то причине воспользоваться именно им, то пошаговая инструкция есть здесь.
Что такое менеджер паролей, слово Википедии: "Менеджер паролей — программное обеспечение, которое помогает пользователю работать с паролями и PIN-кодами. У подобного программного обеспечения обычно имеется местная база данных или файлы, которые содержат зашифрованные данные пароля".
Менеджеры паролей грубо можно разделить на две категории: локальные и облачные. Если продолжать так же грубо, то локальные – скорее про безопасность в контексте новостей из автократий, а облачные – про удобство.
Сетевым менеджерам паролей, если ты не профессиональный айтишник и не разбираешься в том, как устроена инфраструктура безопасности того или иного сервиса, я бы не рекомендовал доверять, особенно если живешь в тоталитарном государстве и тебе могут грозить страшные вещи. Причина проста: ты отдаешь самые важные данные на аутсорсинг и не можешь быть на 100% уверен, что на сторонних серверах не произойдет сбой и вся твоя пачка паролей не появится на популярных хакерских форумах, где их можно купить за пару долларов. Или что твои пароли действительно хранятся в зашифрованном виде и не будут по ошибке (человеческий фактор) выданы по запросу товарищей в характерных спортивных деловых костюмах, обслуживающих интересы авторитарной системы. И к сожалению, во многих облачных сервисах двухфакторная аутентификация реализована таким образом, что репрессивная машина сможет добраться до твоих паролей различными методами воздействия.
Я понимаю, что облачные менеджеры паролей – это удобно. Поэтому пара советов по выбору надежного сервиса. Обращай внимание на то, действительно ли методы двухфакторной аутентификации станут непреодолимым барьером для тех, кто пришел к тебе в гости без спроса? Открыт ли исходный код сервиса и проводился ли аудит? Какая юрисдикция у сервиса – не выдаст ли он твои данные по запросу из твоей страны?
Пример одного из неплохих облачных менеджеров паролей – Bitwarden. Если решишь по какой-то причине воспользоваться именно им, то пошаговая инструкция есть здесь.
Локальные менеджеры паролей – это когда ты сам берешь ответственность за свои данные и только от тебя зависит, потеряешь ли их случайно и произойдет ли утечка в случае какой-либо физической угрозы. То есть мы говорим про полностью оффлайновые менеджеры паролей, которым интернет нужен только для того, чтобы один раз скачать программу на устройство и позднее регулярно обновляться. Сами программы работают автономно, а твои пароли нигде и ни с кем не синхронизируются, если сам не сделаешь это вручную.
Локальные менеджеры паролей – это когда ты сам берешь ответственность за свои данные и только от тебя зависит, потеряешь ли их случайно и произойдет ли утечка в случае какой-либо физической угрозы. То есть мы говорим про полностью оффлайновые менеджеры паролей, которым интернет нужен только для того, чтобы один раз скачать программу на устройство и позднее регулярно обновляться. Сами программы работают автономно, а твои пароли нигде и ни с кем не синхронизируются, если сам не сделаешь это вручную.
Пожалуй, лучшее решение здесь – KeePass либо более универсальный, подходящий почти для всех операционных систем KeePassXC. Это популярный бесплатный менеджер паролей с открытым исходным кодом (если разбираешься в программировании и имеешь много свободного времени, можешь провести свой независимый аудит программы и попробовать поискать в ней уязвимости или бэкдоры). Он хранит пароли в зашифрованном виде, а разработчики регулярно выпускают новые версии программы: улучшают функционал и исправляют ошибки, которые неизбежно появляются в любых системах. Подробнее про функционал и самые частые вопросы ты можешь почитать здесь и здесь.
А здесь и здесь пошаговые инструкции, как работать с программой.
А здесь и здесь пошаговые инструкции, как работать с программой.
У локальных KeePass и KeePassXC есть фишка, которая особенно актуальна в контексте новостей про физическое насилие над гражданами с целью получения паролей, приходящих из одной страны в центре Европы. Программы позволяют кроме мастер-пароля – самого главного пароля, который нужно запомнить (после его ввода откроется база данных, где хранятся остальные пароли, которые ты уже не помнишь, потому что они слишком сложные) – создавать также файл-ключи для открытия зашифрованного блокнотика со всеми паролями! И работает это только в паре: твой Самый Главный Пароль От Всех Паролей + файл-ключ в дополнение. Теплая ламповая двухфакторная аутентификация во всей красе. Потерял файл-ключ – потерял доступ ко всем паролям.
У локальных KeePass и KeePassXC есть фишка, которая особенно актуальна в контексте новостей про физическое насилие над гражданами с целью получения паролей, приходящих из одной страны в центре Европы. Программы позволяют кроме мастер-пароля – самого главного пароля, который нужно запомнить (после его ввода откроется база данных, где хранятся остальные пароли, которые ты уже не помнишь, потому что они слишком сложные) – создавать также файл-ключи для открытия зашифрованного блокнотика со всеми паролями! И работает это только в паре: твой Самый Главный Пароль От Всех Паролей + файл-ключ в дополнение. Теплая ламповая двухфакторная аутентификация во всей красе. Потерял файл-ключ – потерял доступ ко всем паролям.
Файл-ключ, который ты можешь сгенерировать с помощью программы, можно хранить и на внешнем накопителе. Например, на малюсенькой MicroSD-флешке. И в случае, если к тебе приходят ну совсем нежданные гости, такую маленькую флешку с ключом можно очень легко случайно потерять в канализации. И тогда до паролей будет невозможно добраться физически. Даже тебе, если не сделал копию (бэкап) в очень безопасном месте.
Нажми сюда, чтобы узнать общий принцип установки и настройки KeePassXC
1) Скачиваешь и устанавливаешь программу на свой компьютер либо сразу запускаешь версию Portable.
2) Создаешь новую базу данных, в которой будут храниться все остальные пароли, которые ты даже не запоминаешь. Когда создаешь базу, поменяй значение ползунка на какое-нибудь нестандартное, вместо одной секунды, установи, например, 2.4.
3) Когда будешь придумывать мастер-пароль (самый-самый главный, единственный, который нужно запомнить), нажми кнопку «Дополнительные настройки» и создай файл-ключ. Файл-ключ рекомендую сразу создавать на внешнем накопителе, например, флешке. Итого у тебя будет два файла: в одном хранятся пароли, а без второго (на флешке) невозможно открыть первый.
4) После этого начинаем заполнять базу данных своими паролями. Создай запись, например, «Фейсбук» и придумай новый сложный и длинный пароль. Затем замени старый простенький пароль новым сложным на Facebook’e. Сохрани базу данных с обновленной информацией.
5) Подумай, может обновленный файл с паролем стоит сохранить вручную где-то еще, ведь автоматической синхронизации с интернетом нет. Вдруг с техникой что-то случится...
2) Создаешь новую базу данных, в которой будут храниться все остальные пароли, которые ты даже не запоминаешь. Когда создаешь базу, поменяй значение ползунка на какое-нибудь нестандартное, вместо одной секунды, установи, например, 2.4.
3) Когда будешь придумывать мастер-пароль (самый-самый главный, единственный, который нужно запомнить), нажми кнопку «Дополнительные настройки» и создай файл-ключ. Файл-ключ рекомендую сразу создавать на внешнем накопителе, например, флешке. Итого у тебя будет два файла: в одном хранятся пароли, а без второго (на флешке) невозможно открыть первый.
4) После этого начинаем заполнять базу данных своими паролями. Создай запись, например, «Фейсбук» и придумай новый сложный и длинный пароль. Затем замени старый простенький пароль новым сложным на Facebook’e. Сохрани базу данных с обновленной информацией.
5) Подумай, может обновленный файл с паролем стоит сохранить вручную где-то еще, ведь автоматической синхронизации с интернетом нет. Вдруг с техникой что-то случится...
Нажми сюда, чтобы увидеть, как это дальше будет работать на практике
1) Вставляем флешку, на которой хранится файл-ключ от всех паролей.
2) Открываем KeePass или KeePassXC. Выбираем базу данных на компьютере или внешнем накопителе, которую хотим открыть. Затем указываем программе, где находится файл-ключ от этой базы данных, и вводим мастер-пароль (он у тебя в голове).
3) Копируем нужный пароль из программы и вставляем туда, куда нужно. Например, в браузер. Если нужно создать новую запись, то создаем и сохраняем изменения. Если нужно поменять пароль – меняем. Здесь можно делать все что угодно.
4) Если какой-то пароль нужно ввести на смартфоне, то, увы, самый безопасный способ – открыть запись, включить отображение пароля и ввести его вручную в смартфоне. А самый простой – скопировать и вставить через сервис, которому доверяешь (целиком не копируй, оставь пару символов за кадром). Или чуточку сложнее, но безопаснее: разбить один пароль на две/три/четыре части и переслать самому себе на смартфон через два/три/четыре разных надежных канала.
На этом все. Как видишь, все чертовски просто, но до безумия эффективно!
2) Открываем KeePass или KeePassXC. Выбираем базу данных на компьютере или внешнем накопителе, которую хотим открыть. Затем указываем программе, где находится файл-ключ от этой базы данных, и вводим мастер-пароль (он у тебя в голове).
3) Копируем нужный пароль из программы и вставляем туда, куда нужно. Например, в браузер. Если нужно создать новую запись, то создаем и сохраняем изменения. Если нужно поменять пароль – меняем. Здесь можно делать все что угодно.
4) Если какой-то пароль нужно ввести на смартфоне, то, увы, самый безопасный способ – открыть запись, включить отображение пароля и ввести его вручную в смартфоне. А самый простой – скопировать и вставить через сервис, которому доверяешь (целиком не копируй, оставь пару символов за кадром). Или чуточку сложнее, но безопаснее: разбить один пароль на две/три/четыре части и переслать самому себе на смартфон через два/три/четыре разных надежных канала.
На этом все. Как видишь, все чертовски просто, но до безумия эффективно!
Два важных момента, про которые нужно помнить всегда:
Два важных момента, про которые нужно помнить всегда:
1) Если сначала создашь файл-ключ/базу паролей на компьютере, а потом перенесешь его/ее на внешнюю флешку, не забудь удалить файл с компьютера так, чтобы его было невозможно восстановить.
2) Если есть только одна копия файла-ключа и базы с паролями и ты их случайно потеряешь, то лишишься доступа ко всем своим паролям. Их придется либо мучительно долго восстанавливать, либо заводить новые аккаунты. Делать бекап (копию файла) на такой случай или нет – решай сам. Копий с помощью элементарного «копировать-вставить» можно сделать миллиард. Но также помни, что если поменяешь какой-то пароль в базе данных на компьютере, то в резервной копии базы паролей будет сохранен только старый пароль. Никакой синхронизации не предусмотрено в целях безопасности, ее ты можешь сделать только вручную.
2) Если есть только одна копия файла-ключа и базы с паролями и ты их случайно потеряешь, то лишишься доступа ко всем своим паролям. Их придется либо мучительно долго восстанавливать, либо заводить новые аккаунты. Делать бекап (копию файла) на такой случай или нет – решай сам. Копий с помощью элементарного «копировать-вставить» можно сделать миллиард. Но также помни, что если поменяешь какой-то пароль в базе данных на компьютере, то в резервной копии базы паролей будет сохранен только старый пароль. Никакой синхронизации не предусмотрено в целях безопасности, ее ты можешь сделать только вручную.
5. Что еще нужно знать и помнить, чтобы пароли не утекли в чужие руки
1. Окружение и камеры. Каждый раз, когда вводишь пароль в публичном месте, есть риск утечки. Каждый раз, когда вокруг слишком много людей, есть риск, что кто-то запомнит или запишет код. Ходят слухи, что почта одного известного чиновника одной крупной европейской страны была угнана только потому, что чиновник пришел в кафе, сел за столик, ввел пароль от почты, на которой не была установлена двухфакторная аутентификация. А над столиком стояла обычная камера видеонаблюдения. Дальше повторить нажатия клавиш было делом техники.
2. Будь внимателен. Сайт Facebok не то же самое, что Facebook. А GO0GLE – это не старый знакомый Google. Не заметишь и введешь пароль на фишинговом, поддельном сайте – беда.
3. Защита имеет смысл, если подходишь к этой части своей жизни комплексно. Да, мегасложный пароль почти невозможно подобрать, а зашифрованный контейнер, в котором хранятся ключи, без твоего пароля и файл-ключа почти невозможно вскрыть. Но установи пару взломанных программ из сомнительных источников, регистрируйся в разных сервисах по схеме «Войти с помощью Google/Facebook/Apple/Twitter…», дай компьютер на минутку в руки недоброжелателей или пользуйся черт пойми каким браузером, к тому же напичканным сомнительными расширениями, и недоброжелателям даже не придется взламывать твою базу паролей, чтобы получить доступ к конфиденциальным перепискам и документам.
Впрочем, про браузеры давай поговорим отдельно в следующей главе.
2. Будь внимателен. Сайт Facebok не то же самое, что Facebook. А GO0GLE – это не старый знакомый Google. Не заметишь и введешь пароль на фишинговом, поддельном сайте – беда.
3. Защита имеет смысл, если подходишь к этой части своей жизни комплексно. Да, мегасложный пароль почти невозможно подобрать, а зашифрованный контейнер, в котором хранятся ключи, без твоего пароля и файл-ключа почти невозможно вскрыть. Но установи пару взломанных программ из сомнительных источников, регистрируйся в разных сервисах по схеме «Войти с помощью Google/Facebook/Apple/Twitter…», дай компьютер на минутку в руки недоброжелателей или пользуйся черт пойми каким браузером, к тому же напичканным сомнительными расширениями, и недоброжелателям даже не придется взламывать твою базу паролей, чтобы получить доступ к конфиденциальным перепискам и документам.
Впрочем, про браузеры давай поговорим отдельно в следующей главе.
Содержание
Навигатор по энциклопедии ⏬
Содержание
Навигатор по энциклопедии ⏬