Менеджеры паролей: полезные советы, как не влипнуть

Всем привет! Решил опубликовать несколько заметок о том, как выбрать менеджер паролей и не "сесть в лужу".

Начнем с небольшой прелюдии. Вы руководитель структурного подразделения в крупной коммерческой компании. Ежедневно вам приходится сталкиваться с большим количеством ресурсов: корпоративная почта, личная почта, электронная система документооборота, сторонние ресурсы для бизнеса, а еще Контакт, Facebook, Инстаграм и много всего еще. От всего этого богатства нужно знать пароли. Их реально много и все их нужно запомнить. Допустим вы нашли выход - завели один универсальный пароль с именем вашего любимого домашнего питомца. И все было хорошо, пока однажды этот пароль случайно не узнал ваш коллега, не зашел благодаря ему на ваш рабочий почтовый ящик и не прочитал всю деловую переписку с руководством компании. Ну а потом, как это водится среди сплетников, рассказал о прочитанном всему подразделению. Мягко говоря, вы оказались в неловкой ситуации. Мягко говоря, именно в такой ситуации я и оказался. Для того, чтобы не попасть в просак и обезопасить свои данные, отличным решением будет использовать менеджер паролей. Но и здесь есть свои подводные камни. Менеджеров много и у каждого есть свои достоинства и недостатки. Поэтому поделюсь с вами парой полезных советов для того, чтобы подобрать именно тот сервис, который подойдет именно под ваши потребности.

Полезный совет 1. Определитесь с подходом к хранению данных.

Существует коробочная и облачная версия менеджеров паролей. Облачная версия подходит для небольших компаний и вы платите только за те опции, который вам нужны. Например, выбираете возможность ранжировать пароли, наделять статусом пользователей и делать красивое оформление интерфейса. При коробочной версии вам необходимо заплатить за весь пакет, но при этом вы становитесь полноправным владельцем лицензии и можете использовать весь функционал менеджера. Это более удобный вариант для крупных предприятий.

Полезный совет 2. Можно ли доверять поставщику сервиса?

Первое, что надо выясните, где поставщик софта хранит свои данные, используют ли он собственные серверы или пользуются сторонними. К примеру, он может арендовать центр хранения данных, поэтому другие компании также имеют к нему доступ. Как итог, ваша информация на менеджере паролей еще больше уязвима.

Геолокация поставщика также имеет значение. В каждой стране действуют разные нормы, регулирующие хранение и обработку персональных данных. Поэтому лучше выбрать такого поставщика софта, в стране которого законы не столь суровы. Например, такой менеджер паролей, как Passwork зарегистрирован в Финляндии. Финляндия верит в онлайн свободу и это первая страна, которая сделала доступ к широкополосному интернету всеобщим правом.

Какой бы менеджер паролей Вы не выбрали, главное будьте уверены, что его создатели юридически не имеют отношения к США, Канаде, Австралии и Новой Зеландии. Эти страны имеют ограничительные законы, которые позволяют законодателям выдавать ордера на получение персональных данных из частных компаний, занимающихся разработкой менеджеров паролей и VPNs.

Полезный совет 3. Найдите потенциальные уязвимости.

Сравните уязвимости этого софта. Чтобы проверить, не передает ли менеджер с облачного хранилища данные третьим лицам, используйте следующий прием:

Зарегистрируйтесь на менеджере паролей. Нажмите F12, чтобы открыть консоль браузера. Откроется вкладка сети и посмотрите, есть ли какие-либо внешние запросы. Возможно наличие разных типов запросов, таких как загрузка внешних аналитических JavaScripts и т.д. Отличный корпоративный менеджер паролей будет запрещать запросы JavaScripts и AJAX с третьих сайтов, тем самым гарантируя отсутствие XSS-атаки.

Таким образом, когда Вы делаете выбор между коробочной или облачной версией, Вы должны применит риск-ориентированный подход, чтобы любые внешние приложения не имели доступа к вашему менеджеру паролей.

Полезный совет 4. Убедитесь, зашифрованы ли пароли.

Менеджер паролей должен содержать все пароли в зашифрованной форме. Чтобы это проверить, откройте сетевую вкладку браузера (нажмите F12, чтобы открыть консоль браузера - выберите сетевую вкладку). Затем откройте любой сайт, на котором вы хотели бы зарегистрироваться. Сохраните пароль в менеджер паролей. Посмотрите, как выглядит пароль - в текстовом или зашифрованном виде?

Если пароль в виде текста, то его очень легко взломать. Это делает систему уязвимой перед хакерским атаками. Если у вас корпоративный менеджер, то чрезвычайно важно сохранить безопасность.

Различные менеджеры паролей имеют разные стандарты шифрования. Самый высокий шифр - это AES 256 с RSA-рукопожатием. Это военный класс шифрования и, как говорится, вообще непробиваемый. Если Ваш корпоративный менеджер паролей обеспечивает такой уровень шифрования и располагается на собственных серверах, вы можете не беспокоиться о безопасности Вашей информации.

Итак, вот четыре полезных совета на что нужно обратить внимание, если собираетесь пользоваться менеджером паролей. Если текст был вам хоть немного полезен, то делайте up vote. Наберется 10 неравнодушных, поделюсь еще 4 советами. Более мудреными и узко специализированными.