Менеджер паролей яндекс как открыть

Выбираем корпоративный менеджер паролей: обзор популярных решений

В этой статье попробуем разобраться, как обстоят дела с управлением паролями в компаниях, порассуждаем о том, какими характеристиками должен обладать идеальный корпоративный менеджер паролей и сравним четыре популярных в этой категории продукта.

Безопасность паролей сегодня

Статистика показывает, что ситуация с парольной безопасностью ухудшается с каждым годом. Прогресс не стоит на месте, цифровизация все сильнее пронизывает нашу жизнь и рабочие процессы. Растет как количество точек входа в персональные аккаунты, так и число паролей, которые нужно придумывать — для социальных сетей, почты, мобильных банков, приложений, интернет-магазинов, и многого другого.

Так как запомнить несколько десятков разных паролей, да еще и сложных, практически невозможно, чаще всего пользователи прибегают к одному из двух вариантов:

• используют простые пароли

Каждый год в рейтингах самых популярных паролей побеждают одни и те же банальные варианты: 123456, qwerty, 111111, password, guest, и так далее. Следует ли говорить, что все подобные пароли проверяются хакерской программой в первую же минуту при брутфорсе аккаунта.

• используют сложный пароль, но один на все случаи

Этот вариант, несомненно, лучше использования простых паролей. Но только до той секунды, пока ваш сложный пароль не оказался скомпрометирован. После этого он из защищающего навесного замка сам превратится в отмычку. Если хакер взломает хотя бы один из сервисов, например, почтовый ящик или аккаунт в соцсети — то при отсутствии двухфакторной аутентификации он без проблем сможет завладеть и остальными аккаунтами.

Как обстоят дела у компаний

Все вышесказанное касается частных пользователей. Но ситуация с компаниями обстоит не лучше. Еще в середине 2020 года эксперты «Ростелеком-Солар» (чей корпоративный блог, кстати, один из самых популярных в категории «Безопасность») констатировали, что около 80% российских компаний не соблюдают базовых правил парольной защиты — и практически в каждой тестируемой корпоративной сети тестерам безопасности удалось получить привилегии администратора.

Если сравнивать эти цифры с докладом 2009 (!) года «Анализ проблем парольной защиты в российских компаниях» Дмитрия Евтеева (Positive Technologies), мы увидим, что за последние 10 лет ситуация даже ухудшилась — тогда небезопасными были признаны всего 74% корпоративных паролей.

При этом последствия использования слабых паролей на производстве могут быть гораздо критичнее, чем для частных лиц. Индивид может лишиться своих персональных и платежных данных, что безусловно неприятно. Однако организация рискует не только данными всех своих сотрудников, но и коммерческой тайной, разработками — а в каких-то случаях и более серьезными вещами./.

Корпоративные решения

Существует довольно дорогостоящие, но эффективные IDM-решения (Identity Management). Но что делать, если бюджетов и времени для внедрения таких продуктов нет?

В этом случае оптимальным по соотношению «цена/качество» решением проблемы станет парольный менеджер — программа, хранящая пароли в зашифрованном виде, как в сейфе, откуда их можно достать по требованию.

Для компаний, особенно если численность сотрудников превышает несколько десятков, парольные менеджеры полезны сразу по ряду причин:

• Прозрачность ситуации с доступами к разным сервисам сотрудников из разных подразделений и их разграничение;
• Приведение всех сотрудников к единому высокому знаменателю кибербезопасности;
• Легкий и при этом надежный контроль доступов при найме и увольнении сотрудников;

И, как следствие всего этого:

• Снижение риска утечек данных до минимума.

При этом далеко не всякий парольный менеджер подходит для корпоративного использования. Идеальный кандидат по моему мнению выглядел бы так:

• обладающий коробочным вариантом (on premise, не только облачным решением), чтобы можно было хранить пароли на собственных серверах;
• основанный на Open Source, чтобы его могли анализировать профессионалы и дорабатывать энтузиасты; быстрый, безопасный, надежный.

Про мелочи вроде надежного шифрования стандарта AES-256 даже и говорить не стоит — это сегодня обязательное условие. Плюс специфическое требование времени: из-за известных геополитических событий часть сервисов ушла с российского рынка, или ее стало очень сложно оплачивать. Поэтому решение в идеале должно быть отечественным, а лучше всего — входить в реестр российского ПО.

Итак, кого же выбрать? Мы сравнили четыре возможных кандидата на роль корпоративного менеджера паролей и отметили их сильные стороны.

Passwork

Этот парольный менеджер разрабатывался преимущественно для бизнеса и целей IT, однако он может подойти и для персональных нужд.

Защищенные данные хранятся в виртуальных сейфах-контейнерах, которые могут быть как личными, так и корпоративными. Сейфы второго типа доступны для совместной работы внутри одной организации. Распределением доступов и настройкой их уровней в этом случае занимается администратор.

При этом в архитектуре системы есть одна потенциально небезопасная особенность: пользователю с самым высоким уровнем доступа (супер-администратору) доступны персональные пароли пользователей с более низким статусом в системе.

Passwork существует в двух версиях, «облачной» и «коробочной» — последняя устанавливается на серверы самой компании и работает в полностью автономном режиме даже без подключения к сети. Также доступны варианты парольного менеджера в виде расширения для браузеров Google Chrome, Firefox, Microsoft Edge и Safari.

Bitwarden

Один из старейших игроков рынка, Bitwarden — простой в использовании и при этом весьма функциональный парольный менеджер с открытым исходным кодом, который имеет клиенты для всех платформ.

Следует отметить, что у программы не слишком впечатляющее десктопное приложение, однако весьма удобные плагины в браузер и вариант для Android. Помимо собственно паролей Bitwarden позволяет хранить цифры банковских карт, персональную информацию и защищенные заметки. Продукт использует end-to-end шифрование.

Присутствует также функция проверки, был ли конкретный пароль скомпрометирован.

У программы есть бесплатная версия, а также премиум-подписка с расширенными возможностями. Корпоративная версия пароль-менеджера дает возможность безопасно делиться данными, разграничивать уровни доступа и группы пользователей, пользоваться защищенным файловым хранилищем, и содержит другие полезные функции.

Passbolt

Интересный новичок из экзотического Люксембурга Passbolt обладает 100% открытым исходным кодом под AGPL-лицензией. Программа использует асимметричное сквозное шифрование при поддержке OpenPGP. Ключи хранятся на стороне пользователя. Продукт регулярно тестируется профессионалами на предмет безопасности.

Набор функционала здесь стандартный для высококачественных менеджеров паролей: высокоуровневое шифрование, прозрачность, гибкое разграничение прав и уровней доступа. Passbolt предназначен в первую очередь для команд и использования в компаниях и на промышленных предприятиях.

Этот продукт можно использовать на мобильных устройствах и в качестве браузерного расширения, синхронизируя пароли в реальном времени. Полноценная десктоп-версия на текущий момент находится в разработке.

BearPass

«Коробочный» open source менеджер паролей, предназначенный специально для корпоративного использования. Акцент делается на безопасность: BearPass устанавливается на внутренние серверы компании. Открытость кода позволяет просмотреть его целиком и при желании доработать.

Все пароли хранятся централизованно и надежно защищены алгоритмами шифрования стандарта AES-256. Система аналитики позволяет отслеживать небезопасные и скомпрометированные пароли, в том числе через мониторинг даркнета — при этом сам пароль никуда не передается в открытом виде. Заглянув в журнал, всегда можно увидеть, кто и когда совершил те или иные действия.

При этом доступа к персональным паролям нет даже у администратора, который распределяет статусы в системе. Сейфы в этом парольном менеджере шифруются мастер-паролем на стороне клиента, и их невозможно взломать, даже если получить полный контроль над сервером.

Присутствует интеграция с популярными у больших корпораций стандартами авторизации LDAP и SSO. Это и неудивительно — без этого современный менеджер паролей для бизнеса уже немыслим.

Интересно, что обновления для этого продукта доступны даже с истекшей лицензией (кроме платных функций, разумеется), что позволяет поддерживать уровень безопасности в любой ситуации.

Еще одной приятной “фишкой” этого парольника является функция “автозаполнения” форм авторизации через расширение для Chrome — это дополнительно защищает от кейлоггеров.

Для небольших команд продукт бесплатен.

Сравнительная таблица

С точки зрения безопасности важнейшей, наверное, является возможность локального развертывания. Если парольный менеджер установлен на внутренних серверах компании, это дает полный контроль, независимый от внешних факторов. Такая процедура более сложна, чем облачная установка, однако результат того стоит.

“Опенсорсность” программы также значима, она позволяет провести аудит исходного кода в любой момент, что обеспечивает прозрачность.

Все четыре рассмотренных варианта по-своему хороши. В условиях нынешних российских реалий наибольшее количество преимуществ у отечественных Passwork и BearPass.

Заключение

В условиях геополитической турбулентности риски кибератак, в том числе фишинговых, возросли многократно, и будут расти еще — поэтому бизнесу необходимо позаботиться о своей безопасности начиная с ее фундамента: защищенных паролей для каждого из сотрудников.

Выбор какого-то конкретного продукта остается целиком и полностью вашим решением. Но какой-то выбрать и использовать — необходимо.

• парольный менеджер
• bitwar
• passbolt
• bearpass
• passwork
• password management
• password management software
• менеджер паролей

• Информационная безопасность
• Системное администрирование

12 лучших менеджеров паролей

Как часто вы задумывались над тем, сколько же всего у вас аккаунтов на различных ресурсах? Сколько имен пользователя и паролей приходится держать в памяти или в специальном файле на рабочем столе, скрытом от посторонних глаз? В среднем пользователь может иметь до 40 аккаунтов. И, в зависимости от рода деятельности, эта цифра вполне способна вырасти на порядок.

Итак топ-12 лучших менеджеров паролей. Первая половина из них отлично подойдет для персонального пользования, а вторая – для вашей рабочей команды.

Менеджеры паролей. Персональное пользование

• Dashlane
Мониторинг и изменение паролей в один клик. Поддержка: iOS, Mac, Windows, Android, Web. Стоимость: бесплатно для одного устройства, 39.99$/год для премиум-аккаунта.

• Splikity
Простой инструмент для работы с паролями. Поддержка: iOS, Chrome, Android, Firefox, Safari. Стоимость: 4.99$ в месяц или 49.99$ в год.

• LastPass
Простой и удобный кросс-платформенный доступ к вашим паролям из любого браузера. Поддержка: Web, Mac, iOS, Android, Windows. Стоимость: бесплатно для одного устройства; 12$ в год премиум.

• Onesafe
Ваш собственный сейф с паролями. Поддержка: iOS, Mac, Windows, Android. Стоимость: 19.99$ при работе с ПК, 4.99$ для мобильных устройств.

• 1Password
Удобный менеджер для работы с паролями. Поддержка: iOS, Mac, Windows, Android. Стоимость: 49.99$.

• iCloud Keychain
Мультиплатформенное программное обеспечение для пользователей Apple. Поддержка: iOS, Mac. Стоимость: бесплатно.

Менеджеры паролей. Корпоративное использование

• CommonKey
Доступный менеджер паролей для командной работы. Поддержка: Web, Chrome. Стоимость: бесплатно для групп до 3-х пользователей; 2$ за одного пользователя в месяц.

• Zoho Vault
Удобный менеджер для удаленной работы. Поддержка: Chrome, Firefox. Стоимость: от 1$ в месяц за пользователя.

• Meldium
Удобный менеджер паролей. Поддержка: Firefox, Safari, Chrome. Стоимость: от 24$ в месяц за 20 пользователей.

• Vaultier
Удобное ПО для it-компаний и более масштабного менеджмента. Поддержка: Web, Ubuntu. Стоимость: 99$ в месяц за облачное хранилище.

• SimpleSafe
Одноразовый доступ к паролям по ссылке. Поддержка: размещение веб-приложения на локальных серверах. Стоимость: 90$.

• Passwork
Максимальная защита паролей для командной работы с возможностью установки на свой сервер. Поставляется с открытым для аудита кодом. Поддержка: Web, Android, iOS, Chrome, Windows. Стоимость: 1,5$ в месяц за одного пользователя (или 25 рублей в месяц за пользователя для России).

Давайте теперь рассмотрим каждый из менеджеров более скрупулезно.

Топ-6 менеджеров паролей для личного пользования

1Password (поддержка Mac, iOS, Android, Windows)

Сегодня 1Password – один из самых популярных менеджеров паролей. Он работает как в режиме онлайн, так и без подключения к всемирной паутине. Он без проблем может провести синхронизацию через wifi, icloud или даже dropbox, Это значит, что синхронизация ваших данных полностью под вашим контролем.

Вы можете разделить пароли в вашем «хранилище» на личные и рабочие, чтобы не возникало путаницы и пересечения сфер интересов. И тогда можно расшарить «сейф» через Dropbox, если нужно поделиться данными с коллегами, не переживая, тот ли пароль вы сделали доступным. У менеджера есть весьма полезная функция «сторожевой башни», которая постоянно мониторит попытки взлома и отслеживает взломанные сайты. Так что, если придет нужда сменить пароль, вы узнаете об этом первым.

Само собой, у менеджера есть мобильное приложение. Оно обладает неплохим функционалом, позволяющим без проблем заходить в нужные профили, включать разблокировку «хранилища» через iPhone`s Touch ID и т. д.

1Password позволяет сохранять не только пароли. Вы можете занести в «сейф» адреса доставки, номера телефонов и кредитных карт, водительские права и прочие важные данные.

LastPass (поддержка Web, Mac, iOS, Android, Windows)

Что такое ЛастПасс и с чем его сервируют? Этот менеджер паролей будет работать в любом месте. Вы не ослышались. Он действительно работает повсюду. Есть расширения под все популярные интернет-браузеры, приложение для Windows на ПК, под Linux и Mac. В магазинах мобильных приложений не составит проблемы найти вариант под Андроид, iOS, Windows Phone, Blackberry. Кроме того, при использовании на одном устройстве программа бесплатна, что делает ее весьма привлекательной для простых пользователей.

Премиум-версия программы и вовсе дает возможность синхронизировать ее со столькими устройствами, сколько вам придет на ум. В мобильном приложении можно вставить необходимый пароль в нужное поле привычным методом copy-paste. Владельцы «яблока» могут получить мгновенный доступ в приложение через функцию Touch ID. В общем, разработчики позаботились обо всех.

LastPass прекрасно справится с сохранением номеров кредитных карт, банковских счетов, так что вы сможете иметь доступ к этим данным отовсюду. При необходимости можно создать доступ к той или иной папке с паролями для других пользователей.

Если смотреть более масштабно, LastPass Enterprise дает возможность владельцам бизнеса управлять паролями всей компании через расширение в веб-браузере. То есть, вы можете следить за состоянием паролей любого члена группы и вовремя внести корректировки при необходимости.

Dashlane (Web, Mac, iOS, Android, Windows)

Этот менеджер ратует за свежие данные. После установки Dashlane исследует всю вашу базу на предмет слабых, поврежденных или повторяющихся паролей. После чего вежливо предложит их менять время от времени для поддержания должного уровня безопасности. Если вдруг сайт, которым вы пользуетесь, будет взломан, менеджер тут же предупредит вас об опасности, чтобы вы смогли быстро сменить «замок».

Кстати, смена пароля здесь быстрая и совершенно безболезненная. Вы можете провести процедуру в пару кликов. Dashlane также сделал переход с другого менеджера простым и приятным. Программа просто просканирует ваши приложения и компьютер на наличие паролей, а затем импортирует их в свою базу.

Отличная новость для тех, кто часто делает покупки в интернет-магазинах: менеджер не только сохраняет номера банковских карт и счетов, но и чеки из магазинов, делает детализацию расходов. Последнее может стать хорошим подспорьем для тех, кто привык вести учет семейного бюджета. Всех ведь интересует вопрос, куда девается зарплата так задолго до следующей?

oneSafe (Mac, iOS, Android, Windows)

Этот менеджер разработчики изначально задумывали как нечто большее. То есть, не просто сейф для паролей, но и надежное хранилище для файлов самого разного типа. Вы без проблем можете защитить паролем файлы на собственном компьютере, а затем легко делать резервные копии на любое запоминающее устройство.

Секретные видео и фото на мобильном телефоне, снимки ваших банковских карт, страховой полис, да хоть код от шкафчика в тренажерном зале. Все это надежно скроет от посторонних глаз oneSafe. Еще одна интересная функция – Decoy Safe. Это фишка позволяет создать фантом, то есть, поддельные данные для потенциальных воров. И пусть они взламывают несуществующий аккаунт… Удобная система навигации позволяет находить все нужные данные легко и просто.

Программа хороша и тем, что вы можете самостоятельно выбрать способ входа: от swipe и Touch ID до пин-кода или нововведенной технологии «Tri-Pin». Еще один плюс – кросс-платформенная поддержка, так что синхронизация всех задействованных устройств не доставит никаких проблем.

iCloud Keychain (iOS, Mac)

Это софт для владельцев и поклонников Apple. Софт Keychain служит верой и правдой своим пользователям уже не первый год. По сути, программа уже давно работает под Mac. Это менеджер паролей Apple, устанавливаемый по умолчанию. Что означает, если вы занесены в реестр своего Mac, то вы автоматически являетесь обладателем аккаунта в Keychain.

Что касается iCloud Keychain, сегодня он интегрирован во все последние версии iOS и OS X. И защищает все синхронизированные между вашими устройствами данные через iCloud. Вся информация попадает в ведение программы автоматически.

Нельзя назвать этот софт только лишь менеджером паролей. По сути, это полноценный сейф для вашей секретной информации. Туда можно заносить доступы к серверам, настройки wi-fi сети, защищенные образы дисков и т. д. Программа без проблем переходит на новые версии и синхронизируется через iCloud. Доступ к настройкам на iOS менеджер получает через браузер Safari. Он будет автоматически заполнять формы и отображать номера ваших кредитных карт. Все это защищено цифровым четырехзначным пин-кодом вашего iPhone. А от посторонних систему защищает Touch ID. Что касается приложения для рабочего стола, Keychain позволит увидеть все сохраненные пароли и удобно рассортировать их по папкам. Это программное обеспечение разработано исключительно для экосистемы Apple. Но программа работает только с Safari. Разработчики отмечают, что выбор Firefox или Chrome не поддерживается.

Splikity (iOS, Android, Chrome, Firefox, Safari)

Эту программу не без оснований считают отличным менеджером для новичков. Интерфейс предельно прост и понятен. Вы можете сохранять свои пароли как в Web, так и на мобильных устройствах. Панель управления в режиме онлайн позволять легко проводить любые операции с паролями. Что касается браузерных расширений, то Splikity возможно интегрировать в Firefox, Safari или Chrome, которые запомнят данные для избранных ресурсов.

Можно установить приложение и на смартфон. После входа данные синхронизируются и станут доступны для работы. Пока вы будете использовать приложение браузера, программа станет автоматически заносить в базу все данные. Если вам нужно отослать другому пользователю логин – нет проблем. Это можно сделать через e-mail, при этом ваш пароль останется скрытым от посторонних глаз.

Топ-6 менеджеров паролей для бизнеса

Теперь перейдем к программному обеспечению, которое существенно облегчит и обезопасит работу с паролями в компаниях. Здесь свои требования к функциональности и инструментарию программ. Например, общие профили, в которых одновременно могут работать несколько пользователей. Это удобно для глобального администрирования и мониторинга безопасности данных компании.

Конечно, вы можете использовать любой из вышеперечисленных менеджеров, но их функционал существенно ограничен и не ориентирован на бизнес-среду.

Passwork (Web, Android, iOS, Chrome, Windows)

Профессионалы в сфере IT высоко оценивают прозрачные алгоритмы шифрования и возможности ПО, которые дает open source. Есть два способа как вы можете использовать Passwork. Во-первых, вы можете установить коробочную версию на собственный сервер и получить продукт с открытым для аудита исходным кодом, в который при необходимости можно вносить изменения. Во-вторых, можете пользоваться облачной версией. После установки вы получите доступ ко всем многочисленным возможностям менеджера.

Разработчики весьма интересно подошли к распределению прав доступа. К примеру, нового пользователя во временную группу можно добавить, выслав ему на электронную почту зашифрованную ссылку с одноразовым паролем. Администратор легко может проверить, кто к каким паролям имеет доступ, а также легко отследит историю действий с ними.

Все пароли в программе можно рассортировать по группам, а затем и по папкам. Собственно, большой команде очень удобно работать в группе. А в папках будет проще разделить все аккаунты по их функциональному назначению. Кроме того, у этой программы есть расширение для браузера, так что зайти в нужный аккаунт можно быстро и без лишних действий.

Таким образом, вы можете работать с коллегами в группах, приглашать по e-mail или специальной ссылке, предоставлять доступ к единичным паролям и ряд других возможностей заточенных специально для совместной работы.

Нельзя не отметить приятный и минималистичный дизайн Пассворка, который по каким-то причинам чужд большинству менеджеров паролей.

Пассворк предоставляет публичный API, поэтому сторонние разработчики могут запрограммировать свои клиентские приложения или провести более плотную интеграцию со своей инфраструктурой.

Разработчики Пассворка находятся в России, поэтому сервис полностью адаптирован для русского языка (в том числе и стоимость использования: 290 рублей против 18$ в год за пользователя). А коробочная версия адаптирована для российского бизнеса и государственных структур.

Meldium (Firefox, Safari, Chrome)

Meldium – это, в общем-то, сочетание среды запуска веб-приложений и менеджера паролей. Он отлично подходит для работы в группах с общими аккаунтами.

Интерфейс довольно прост. У вас есть главная страница, где отображаются все задействованные аккаунты. Чтобы заполнить форму в той или иной вкладке браузера, достаточно одного клика. Любой член команды может быстро открыть необходимое приложение. С помощью браузерного приложения и профиля Мелдиум, пользователь получит доступ к рассортированным по группам паролям компании. При необходимости администраторы могут привлечь нового пользователя. Для этого достаточно добавить его вручную или отправить приглашение на еmail.

Пригодится эта программа и в том случае, если нужно сделать доступ к личному профилю. Мелдиум дает возможность добавить все персональные профили сотрудников и использовать панель управления для дальнейшего администрирования и мониторинга. Программа также позволяет отслеживать использование паролей по всей компании. При обнаружении слабых или устаревших паролей Мелдиум пометит их как ненадежные и настойчиво предложит обновить. Можно сказать, что программа отыскивает и заделывает дыры в стене безопасности вашей организации.

Zoho Vault (Chrome, Firefox)

Следующее хранилище в нашем списке носит имя Zoho. Это программное обеспечение позволит членам вашей команды легко и безопасно обмениваться важной информацией. Все, что нужно сделать – скачать и установить специализированное расширение для одного из поддерживаемых браузеров. Правда, последних всего два.

Посредством CSV файла можно быстро импортировать все пароли, если вы перешли на Зохо с другого менеджера. В персональных менеджерах инструменты экспорта служат только этой цели.

Инструменты отчетов программы оповестят вас обо всех изменениях, которые происходят в аккаунтах. Будь то операции с доступом или смена пароля, использование того или иного логина и т. д. Бизнес-версия снабжает администраторов весьма широкими возможностями. А удобный и понятный интерфейс позволяет быстро вникнуть в систему работы Zoho Vault.

SimpleSafe (Self-Hosted Web App)

Эту программу высоко оценивают специалисты в сфере IT. Они отмечают, что SimpleSafe можно смело считать отличной стартовой площадкой с внушительным функционалом и инструментарием.

Процесс знакомства с программой начинается с тщательной настройки среды, полей базы данных, где и будут впоследствии храниться пароли. В группы можно рассортировывать пароли одного и того же формата. При настройке SimpleSafe вы вольны поименовать поля баз данных по своему усмотрению. Теперь, когда вашей команде понадобится отследить ту или иную частную информацию, это будет простой задачей.

Панель управления в программе функционирует так же, как и в других подобных ей менеджерах, так что членам команды будет очень комфортно с ее интерфейсом. Правда, собственным браузерным расширением SimpleSafe похвастаться не может. Так что при необходимости ввести пароль придется воспользоваться методом copy/paste. Все дело в том, что ПО устанавливается на локальные сервера.

Vaultier (Web, Ubuntu)

Vaultier можно отнести к еще одному менеджеру паролей для работы в команде, который вы можете установить на собственном сервере. Впрочем, вполне можно работать и с облегченным вариантом ПО – облачной версией этого «сейфа». Кроме того, Vaultier без проблем упаковывается в контейнер Docker с полной установкой.

Vaultier полагается на персональные зашифрованные ключи для защиты паролей, даже когда защищает пароли для всей вашей команды. Пароли рассортировываются в «сейфы» (vaults), затем по «картам» с «секретами». Последние содержат пароли и имена аккаунтов. Такие группы можно использовать и для разграничения уровней доступа. То есть, каждый пользователь может иметь доступ к целому «сейфу» или только к одной «карте» в его пределах. Администраторы при этом могут отменять или назначать уровень доступа любому члену команды.

Это менеджер паролей для рабочего коллектива, делающий упор на безопасность. При этом каждый член команды может спокойно использовать его и для защиты личных аккаунтов.

CommonKey (Web, Chrome)

Благодаря CommonKey менеджмент паролей в сфере бизнеса реален и легко осуществим как для больших, так и для маленьких коллективов. Являясь облачным хранилищем, КоммонКей прекрасно работает через браузерные расширения для Safari, Chrome и Firefox.

Отдельные папки для паролей разного назначения позволяют удобно организовать работу в компании, разделив сотрудников на группы. При необходимости всегда можно добавить пользователя в ту или иную группу, а затем аннулировать доступ. Это так же легко, как выслать приглашение на email.

Впрочем, CommonKey вполне можно использовать и как персональный менеджер паролей. Члены команды могут и сами вносить в базу «замки» от своих личных аккаунтов, и давать к ним доступ через тот же самый интерфейс. Но вы можете быть спокойны. Личные и рабочие пароли будут разделены, и важные данные компании не попадут в чужие руки.

Расширение для браузера будет сразу же сохранять пароли, когда вы будете выходить в сеть. При регистрации новых аккаунтов генератор паролей будет тут же включаться в работу, так что новые профили будут надежно защищены в первые же секунды. И вам уже не придется придумывать «код доступа» самому.

Альтернативные приложения для работы с паролями

Если вы не нашли ничего подходящего для себя, обратите внимание на еще несколько вариантов.

• KeePass
Один из первых бесплатных менеджеров с открытым кодом. Поклонники программы потрудились над совместимостью KeePass с практически всеми ОС и устройствами. Он совершенно бесплатный, но при этом обладает всеми характерными особенностями других менеджеров паролей для персонального использования. Поддержка: Windows, Mac, iOS, Android, Linux.

• Keeper
Может похвастать наличием двухфакторного метода аутентификации. Он распознает присутствие рядом других ваших устройств для идентификации личности, не используя цифровые коды. Поддержка: Mac, Windows, Linux, iOS, Android.

Стоимость: 9/99$ в год на одно устройство.

• Roboform
Первым делом РобоФорм изменит стартовую страницу вашего браузера на окошко с быстрым доступом к сайтам, где находятся ваши защищенные пароли. Теперь даже для входа на несколько ресурсов вам достаточно одного клика мыши. Поддержка: iOS, Mac, Windows, Android, Linux.

Стоимость: $19.95/год, плюс $29.95 за приложение для рабочего стола.

• Sticky Password
Это менеджер паролей от команды, создавшей антивирусное ПО AVG. Вместе с бесплатной версией вы получаете весьма расширенный функционал, а в платной, вдобавок к первому, техническую поддержку. Менеджер позволяет синхронизироваться через wifi, а также имеет портативную версию. Поддержка: iOS, Mac, Windows, Android.

Стоимость: бесплатно; $19.95/год, или $99 единоразово.

• SplashID
Этот менеджер создает резервную копию ваших паролей. Так что в любое время вы можете просмотреть их историю. Вы можете открыть доступ к паролям членам своей команды и при необходимости откатить изменения, если кто-то по случайности изменил пароль. Поддержка: iOS, Chrome, Mac, Windows, Android.

Стоимость: бесплатно для одного устройства; $19.99/год для версии Pro.

• mSecure
Вы можете использовать шаблоны для ввода любого типа данных, а затем сохранить их в хранилище программы. Данные можно синхронизировать через iCloud или Dropbox для доступа к ним с любого устройства. Есть и интересный пункт. При многократных попытках входа функция саморазрушения стирает все ваши данные, чтобы они не попали в чужие руки. Так что не забывайте свой мастер-пароль. Поддержка: iOS, Mac, Windows, Android.

Стоимость: $9,99 для мобильного устройства; $19.99 версия для ПК.

• Master Password
Здесь пароли не хранятся в зашифрованном «сейфе» и нет никакой синхронизации между устройствами. Программа предлагает другой алгоритм действий. Она объединяет имя пользователя, url ресурса и мастер-пароль, чтобы создать новый пароль для того или иного сайта. Мобильное приложение и программа на вашем ПК остаются связанными до тех пор, пока вы не измените ваш мастер-пароль. Поддержка: iOS, Mac, Windows, Android, Web.

Положитесь на ваш менеджер паролей

Устанавливая новый менеджер паролей для личного пользования или нужд вашей компании, самое важное – положиться на него и отойти от прежних привычек. До тех пор, пока вы предпочитаете пользоваться простыми паролями, не забывайте, что вся ваша виртуальная жизнь и бизнес-деятельность постоянно остается под угрозой взлома.

Пассворк для сисадмина: как организовать работу со всеми паролями

Работа с паролями — вечная головная боль для компаний любого размера. Сотрудники используют огромное количество сервисов, с которыми часто приходится работать совместно. Нужно где-то безопасно хранить пароли от этих сервисов и как-то делиться ими с коллегами, а когда этот процесс не организован, возникают проблемы.

Для решения этих задач есть корпоративный менеджер паролей Пассворк — о нём расскажем в этой статье. Загляните под кат, чтобы понять, в каких кейсах Пассворк полезен, а в каких — очень полезен. Ну и, разумеется, узнать всё о его многочисленных возможностях.

Самый обычный кейс — сотрудник ушёл в отпуск и предусмотрительно отключил телефон, чтобы его не дёргали по рабочим вопросам. Всё бы ничего, но с собой в отпуск он унёс пароль от очень важного сервиса. В его отсутствие понадобился доступ к этому сервису. Где его взять? Проблема.

Ещё более типичный кейс — сотрудник уволился. Соответственно, все пароли, с которыми он имел дело, хорошо бы сменить. Но вот какие именно «все»? Проблема.

Вот ещё — в компанию приходит новый сотрудник. Ему нужны все доступы от рабочих сервисов. Как их выдать оперативно, чтобы человеку не надо было бегать и опрашивать коллег? Проблема.

Или, например: в компании за все пароли отвечает один сисадмин — у него все доступы. А пароли хранятся так, как ему удобно, — в KeePass или в Google Таблицах, например. Компания растёт, обязанностей (и паролей) у админа всё больше, и тут ему в помощь нанимают коллегу. Как безопасно поделиться паролями? Кинуть ссылку на таблицу? Неудобно и опасно. Выложить базу KeePass в облако? Та же ситуация. Проблема, проблема, проблема…

Пассворк нацелен именно на то, чтобы помогать во всех перечисленных кейсах, а также во многих неперечисленных. Поэтому покончим с лирическим вступлением и заглянем под капот, чтобы понять, как Пассворк работает.

Устройство Пассворк: общий план

Главная вещь, которую должен делать менеджер паролей, — хранить пароли. Весь вопрос в том — как.

Пароли внутри Пассворк организованы в иерархическую структуру. На верхнем уровне находятся так называемые сейфы. Внутри сейфов можно создавать папки. А внутри этих папок — другие папки.

Пароли в этой аналогии соответствуют отдельным файлам. Они могут находиться как внутри папок, так и непосредственно в сейфах (в корне диска). Папки и сейфы позволяют содержать пароли организованно, структурированно, а не сваливать их в одну кучу. Однако это не самая важная их функция.

Сейфы и папки позволяют гибко управлять доступом к паролям. Каждому пользователю, индивидуально или с помощью ролей, выдаётся доступ к определённым паролям. Можно дать ему доступ к целым сейфам, к отдельным папкам внутри них или только к индивидуальным паролям.

Кейс сотрудника, ушедшего в отпуск, Пассворк решает тривиально. Пароль хранится в системе, и администратор при необходимости может выдать доступ к нему коллегам отпускника. Или этот доступ будет у них сразу, если их должностные обязанности предполагают работу с данным сервисом.

Для быстрого доступа к паролям есть разделы «Недавние пароли» и «Избранные пароли». А «Входящие» — это пароли, которыми поделились другие пользователи.

Кроме того, Пассворк по умолчанию позволяет создавать личные сейфы. Доступ к ним имеет только сам пользователь. Однако если он станет хранить там рабочие пароли, «проблема отпускника» может возникнуть вновь, поэтому опцию личных сейфов можно глобально отключить.

Пароль — это вам не строка

Сущность пароля в Пассворк заслуживает отдельного рассмотрения. Это не просто переменная типа string с управляемым доступом, это сложная структура с различными данными и метаданными.

Вместе с паролем логично хранить логин, а также URL сервиса, для которого он предназначен. Кроме того, к паролю можно прикрепить секретный ключ TOTP для двухфакторной идентификации, а также небольшой объём произвольных файлов. Например, закрытый ключ RSA.

Кстати, стоит отдельно упомянуть встроенный генератор паролей. Его гибкие и, что немаловажно, сохраняемые настройки позволяют автоматически создавать пароль, подходящий под любые разумные критерии.

Что касается метаданных — паролю можно дать имя, присвоить цвет и набор тегов. Всё это не только для красоты и визуального удобства: по имени можно производить поиск, а цвет и теги указывать в качестве фильтров. Также к паролю можно прикрепить заметку, например: «Сайт глючный, вход только со второго раза».

Пассворк хранит все предыдущие редакции пароля и логирует все обращения к нему. К примеру, если злонамеренный сотрудник решит набедокурить и заменит пароль на «hahaha losers», нетрудно будет восстановить прошлую версию, а также выяснить, кто это сделал.

Что интересного можно сделать с паролем, кроме как создать или изменить? Конечно же, поделиться им. Права доступа, заданные администратором, — это хорошо. Но каждый раз дёргать администратора, чтобы дать кому-то пароль, контрпродуктивно.

В Пассворк есть две опции «дележа» паролей. Можно отправить пароль другому пользователю Пассворк, пароль появится у него во «Входящих». При этом доступ можно выдать как с возможностью редактирования, так и в read-only. Список тех, кому был отправлен пароль, сохраняется, его могут посмотреть пользователи или администратор.

Вторая опция — поделиться паролем с кем-то, кто не пользуется Пассворк. Для этого формируется специальная ссылка. Можно настроить, сколько эта ссылка проживёт и сколько раз ей можно будет воспользоваться. Все созданные ссылки на пароль тоже сохраняются в системе.

Пользователи и роли

Пользователи бывают трёх категорий. Обычный пользователь (сотрудник) может работать с паролями, и на этом его полномочия заканчиваются. Администратор может управлять правами доступа, присваивать роли, создавать и приглашать новых пользователей — в общем, обладает почти безграничной властью. Выше него владелец, который может всё.

Концепция ролей знакома каждому, кто имел дело с мало-мальски сложными многопользовательскими приложениями. Вместо того чтобы настраивать доступы каждому пользователю индивидуально, можно создать готовые шаблоны — роли, а затем присваивать их пользователям.

Пользователю можно присвоить несколько ролей. При этом будет использоваться наивысший уровень доступа.

Интересная фича Пассворк — роль можно временно «выключить», приостановив соответствующие доступы одним кликом. И так же в один клик её можно активировать вновь.

Администратор может создавать пользователей вручную, но во многих случаях проще делегировать эту задачу самим пользователям. Для регистрации юзеру достаточно перейти по пригласительной ссылке, ввести код — и готово.

Админ может даже сгенерировать несколько разных инвайт-кодов: каждый под собственный набор ролей. Введя код, пользователь автоматически получит эти роли.

Кроме того, в расширенной лицензии можно настроить автоматическую синхронизацию групп пользователей из LDAP/AD с ролями в Пассворк.

Юзабилити

Вбивать случайно сгенерированные секьюрные пароли вручную — удовольствие очень на любителя. К счастью, у Пассворк на этот случай есть расширения для всех основных браузеров.

Есть и мобильные приложения под Android и iOS.

Наконец, в Пассворк доступна аутентификация через SSO.

Если для вашей организации важен подход «one ring to rule them all» — Пассворк хорошо в него интегрируется.

Продвинутое администрирование

Помимо настройки доступов, пользователей и ролей, администраторам доступны и другие интересные опции. Например, интеграция с AD/LDAP. Про импорт пользователей в расширенной лицензии уже говорилось выше. Но даже стандартная лицензия позволяет использовать LDAP для авторизации.

Обязательная двухфакторная авторизация, возможность создавать корпоративные и личные сейфы и многое другое — всё это настраивается на двух уровнях. Есть настройки по умолчанию и кастомные настройки для пользователей и ролей, берущие приоритет над дефолтными. Например, можно сделать обязательной двухфакторную авторизацию для всех, но отключить её для отдела, не имеющего доступа к действительно важным паролям. Или вы сможете установить разные языки интерфейса и запретить создание сейфов для отдельных пользователей и ролей.

Конечно, самое важное в пароле — его безопасность. Ей в Пассворк посвящена целая отдельная панель. На ней можно централизованно анализировать все пароли организации на возможные риски.

Например, панель отслеживает, к каким паролям отдельные сотрудники официально лишились доступа. Если кто-то, кто не должен знать пароль, знает его, это уже риск. И панель сразу о нём сообщает, чтобы пароль можно было оперативно сменить.

Помните кейс про уволенного сотрудника? Как только у него отберут доступ, пароли, которые он до этого видел, будут автоматически помечены как небезопасные.

Помимо истории изменений отдельного пароля, администратор может также посмотреть общий лог активности. Необязательно смотреть его глазами в веб-интерфейсе: можно настроить, чтобы вся информация автоматически отправлялась в syslog или Window Event Logger для интеграции с SIEM.

Наконец, куда без импорта и экспорта данных.

Совсем продвинутое администрирование

У Пассворк есть возможности, которые пригодятся не всем, но на всякий случай знать про них полезно.

Одна из них — режим работы Zero Knowledge. В этом режиме все пароли шифруются end-to-end. Даже если злоумышленник получит полный доступ к базе данных — он не сможет её расшифровать без пользовательских мастер-паролей. В этот режим и обратно нельзя переключаться динамически, нужно выбрать его сразу при развёртывании инстанса. Так что о режиме собственной безопасности стоит задуматься заранее.

В плане шифрования Пассворк поддерживает как международный AES, так и отечественный ГОСТ. Кроме того он входит в Единый реестр отечественного ПО, то есть подходит для госкомпаний.

Пассворк распространяется как в виде готового Docker-контейнера, так и в виде дистрибутива для Linux и Windows Server. Выбирайте вариант, который гармоничнее сочетается с вашим IT-ландшафтом.

Если не хочется, чтобы менеджер паролей внезапно отвалился из-за, например, технической неисправности сервера, для повышенной надёжности можно настроить отказоустойчивый кластер. Аналогично настраивается репликация БД.

С Пассворк можно работать через API, — это не особенно нужно обычному пользователю, зато полезно для автоматизации и Continuous Integration. API поддерживает все CRUD-операции с паролями. Разумеется, в пределах прав пользователя, чей токен используется для авторизации. Также есть небольшая JS-библиотека для упрощения работы с API.

А исходный код Пассворк распространяется вместе с дистрибутивом. Ваша организация может провести независимый аудит и убедиться в отсутствии уязвимостей.

И напоследок не техническая, но всё равно приятная фича: на Пассворк действуют специальные сниженные расценки при установке в несколько филиалов одной компании.

Заключение

После такого всестороннего обзора решение кажется универсальным. Ещё подробнее познакомиться с решением можно, попробовав бесплатную демоверсию на сайте Пассворк. Есть ли у вашей компании проблемы, с которыми Пассворк мог бы помочь? А может быть, есть и такие проблемы, для которых функционала Пассворк недостаточно? Хотите ли вы услышать больше о каких-то возможностях, только кратко упомянутых в статье? Делитесь своими мнениями и задавайте вопросы в комментариях.

• Информационная безопасность
• Системное администрирование
• Софт

«Пароль неверный». Парольные менеджеры глазами хакера

Привет, Хабр! На проектах по пентестам нам часто удается получить доступ к корпоративному компьютеру «жертвы», а затем и добыть из него плохо защищенные пароли. К чему это приводит, все понимают. А как происходит такая компрометация — сегодня попробуем раскрыть.

Внимание! Цель статьи — повышение осведомленности рядового пользователя и специалиста по ИБ в вопросе (без)опасности выбранного метода хранения паролей и рекомендация хороших альтернатив. Методы эксплуатации приведены исключительно в образовательных целях для понимания реальных угроз. Ни в коем случае не пробуйте эксплойты на чужом устройстве и/или чужом парольном менеджере — это неправильно как с точки зрения этики, так и закона. Подобные действия разрешено выполнять либо на своей системе, либо с разрешения владельца системы (лучше — письменного).

Чем плох браузер?

По результатам запроса в Google «top internet browsers» я выбрал три браузера для показательного примера:

Простой, но нетехнический случай на пентесте.

Пожалуй, один из наиболее известных способов подглядеть простой автозаполненный пароль — использовать замену типа элемента ввода пароля.

Переходим на страницу с логин-формой, от которой браузер хранит пароль, кликаем по полю с паролем кружочками правой кнопкой мыши, выбираем пункт Проверить/Inspect/Исследовать (названия из выбранных браузеров) и меняем у интересующего input-элемента значение type на type .

wmic useraccount get name,sid # Перечислить имена аккаунтов в системе и их SID ls C:\Users\\AppData\Roaming\Microsoft\Protect\ -h # Найти зашифрованный мастер-ключ