Парольная защита: прошлое, настоящее, будущее
Несмотря на все требования администраторов ИТ создавать надежные пароли, пользователи все еще находят способы удовлетворять этим требованиям, фактически не усиливая пароли
Одним из важнейших методов защиты для соблюдения конфиденциальности является разграничение доступа. Практически с момента создания первых многопользовательских операционных систем для ограничения доступа используются пароли.
В операционных системах, используемых в настоящее время, применяется более надежная защита парольного метода аутентификации. Но в то же время необходимо выполнять следующие рекомендации Microsoft:
• длина пароля должна составлять не менее восьми символов;
• в пароле должны встречаться большие и маленькие буквы, цифры и спецсимволы;
• время действия пароля должно составлять не более 42 дней;
• пароли не должны повторяться.
Однако будет ли такой пароль более устойчивым к взлому?
Увы, нет, ведь проблема паролей, как мне кажется, вечна.
Использование слабых паролей или паролей, заданных по умолчанию, ставит под угрозу ваш бизнес. Однако эта проблема все еще существует. Несмотря на все требования администраторов IT создать надежные пароли, пользователи все еще находят способы удовлетворять этим требованиям, при этом фактически не создавая более сильные пароли.
В ходе создания отчета специалисты Trustwave поставили себе цель определять, насколько легко взломать выборку 626 718 хешированных паролей, собранных во время тысяч сетевых тестов на проникновение, выполненных в 2013 и 2014 году. Большинство выборки составлено из Active Directory и включает Windows LAN Manager (LM) — и NT LAN Manager (NTLM) на основе паролей.
В ходе попытки восстановления паролей в течение нескольких минут было восстановлено более половины паролей. В конечном счете за 31 день было восстановлено 576 533 паролей или почти 92 процента выборки.
В процессе восстановления было использовано два компьютера- первый стоил $1800 (Intel Core i7 Ivy Bridge Quad Core Processor, 16 гигабайт оперативной памяти и две видеокарты AMD Radeon 7970).
Второй компьютер — AMD FX-8320 8 Core Processor, 16 гигабайт ОЗУ и четыре видеокарты AMD Radeon 7970 общей стоимостью $2,700 USD. При использовании ресурсов видеокарт существенно возрастает скорость взлома паролей, ведь видеокарта Radeon 7970 AMD, которая стоит 350$, может выполнить 17.3 миллиардов вычислений хеша NTML в секунду по сравнению с ЦП Core-i7-3770K Intel, стоящим 320$ и разогнанным до 700 МГц, который может выполнить 246 миллионов вычислений хеша NTLM в секунду.
Таким образом, для взлома паролей использовались модифицированные рабочие станции, причем даже не сеть таких станций.
Сложность и длина пароля
Многие пользователи и некоторые администраторы IT неправильно предполагают, что, используя различные прописные буквы, строчные буквы, числа и специальные символы в пароле, они сделают его более безопасным. Практика, однако, показывает, что если угадать человеку сложнее такой пароль, то это не делает восстановление пароля более ресурсоемким или сложным для инструментов взлома пароля.
a&$1nG” может быть взломан приблизительно через 3.75 дня, используя один AMD R290X GPU. Напротив, атакующему требовались бы 17.74 лет, чтобы взломать “GoodLuckGuessingThisPassword” при использовании того же самого GPU.
Статистика
Для взлома паролей также использовалась атака по словарю, используя список слов, создаваемый из прошлогоднего исследования пароля. В течение только нескольких минут было восстановлено53.97 процента паролей в пределах выборки. Такое короткое время взлома, используя список слов прошлогоднего исследования показывает, что пароли увы, предсказуемы, как всегда. Чаще всего при этом использовался пароль “Password1″.
TOP-10 паролей
Пароли, как правило, были восьмисимвольными, потому что как правило, политика безопасности не требует более длинных паролей.
Типичные шаблоны паролей
Вместе с тем можно предсказать даже упорядочивание символьных типов. Последовательность из шести строчных букв и двух цифр в отчете 2013 года встречалась в 10 процентах взломанных паролей.
Та же самая последовательность стояла первой в списке в отчете этого года.
Типичные шаблоны паролей
Наиболее часто встречающиеся слова
Слабые пароли или пароли по умолчанию, применяются в одной трети всех паролей, обследованных Trustwave.
К чему приведет ужесточение требований к паролям, вернее, увы, уже привело? Чем сложнее пароли, чем больше приложений требуют ввод пароля, тем выше вероятность того, что пользователи для всех приложений, в том числе и для аутентификации в ОС, будут использовать один и тот же пароль, к тому же записывая его на бумаге. Хорошо это или плохо? Допустимо ли?
С одной стороны — явно недопустимо, так как резко возрастает риск компрометации пароля, с другой — слишком сложный пароль (типа PqSh*98+) трудно удержать в голове. Пользователи явно будут или выбирать простой пароль, или постоянно забывать сложный и отвлекать администратора от более важных дел. Исследования Gartner показывают, что от 10 до 30% звонков в службу технической поддержки компаний составляют просьбы сотрудников по поводу восстановления забытых ими паролей.
По данным IDC, каждый забытый пароль обходится организации в 10-25 долл. Добавим сюда еще необходимость его постоянной смены и требование неповторяемости паролей. Что делать? Каков выход?
На самом деле уже сегодня существует несколько вариантов решения этой нелегкой проблемы.
Первый вариант
На видном месте в комнате (на стене, на столе) вывешивается плакат с лозунгом. После этого в качестве пароля используется текст, содержащий, предположим, каждый третий символ лозунга, включая пробелы и знаки препинания. Не зная алгоритма выбора знаков, подобный пароль подобрать довольно сложно.
Второй вариант
В список ваших телефонных контактов вносится некий гражданин Забывайко В.В. Его адрес, ну, например, ул. Партизанской Славы 19 кв. 35 будет вашим паролем на текущее время, а потом мы переселяем его на другую улицу. Кстати, этот же способ подходит для запоминания PIN-кода. Для этого нужно просто создать ему номер телефона, например, 050 574 45 20, при этом 7445 – ваш PIN-код.
Просто? Безусловно. Однако если у вас в списке телефонов порядка 200-500 контактов, кто будет разбираться? Да никто. Ибо лист нужно прятать в лесу!
Третий вариант
В качестве пароля выбирается (генерируется с помощью специального ПО) случайная последовательность букв, цифр и специальных символов. При этом указанный пароль распечатывается на матричном принтере на специальных конвертах, которые нельзя вскрыть, не нарушив их целостность. Примером такого конверта может служить конверт с PIN-кодом к платежной карте. Эти конверты хранятся в сейфе начальника подразделения или в сейфе службы информационной безопасности. Единственной сложностью при таком способе является необходимость немедленной смены пароля сразу после вскрытия конверта и изготовления другого подобного конверта с новым паролем, а также организация учета конвертов. Однако если принять во внимание экономию времени администраторов сети и приложений, то эта плата не является чрезмерной.
Четвертый вариант
Использование многофакторной аутентификации на базе новейших технологий аутентификации.
В качестве примера рассмотрим двухфакторную аутентификацию. Основным преимуществом такой аутентификации является наличие физического ключа и PIN-кода к нему, что обеспечивает дополнительную устойчивость к взлому. Ведь утрата аппаратного ключа не влечет за собой компрометацию пароля, поскольку, кроме ключа, для доступа к системе нужен еще PIN-код к ключу.
Как подвид многофакторной аутентификации стоит рассмотреть двухэтапную аутентификацию, которая все чаще применяется провайдерами бесплатной электронной почты (Microsoft, Google), социальных сетей (Facebook, Linkedin) и т.д. Суть данного метода в том, что вы вводите пароль, затем вводите свой, заранее указанный номер телефона (или не делаете этого) и вам приходит SMS с одноразовым кодом, который вы вводите на втором этапе аутентификации. Таким образом, даже хищение вашего пароля злоумышленником не позволит ему получить доступ к вашему почтовому ящику (вашей социальной сети).
Отдельно стоит рассмотреть системы с применением разовых паролей, которые получают все большее распространение в связи с широким развитием интернет-технологий, и системы биометрической аутентификации.
В настоящее время основным способом защиты информации от несанкционированного доступа (НСД) является внедрение так называемых средств AAA (Authentication, Authorization, Accounting — аутентификация, авторизация, управление правами пользователей). При использовании этой технологии пользователь получает доступ к компьютеру лишь после того, как успешно прошел процедуры идентификации` и аутентификации.
Среди основных сервисов безопасности:
• идентификация и аутентификация;
• контроль защищенности;
• контроль целостности и аутентичности информации;
• межсетевое экранирование;
• построение VPN;
• протоколирование/аудит;
• разграничение доступа;
• управление безопасностью;
• фильтрация контента;
• шифрование.
Отметим, что вопросы разграничения доступа решаются в обязательном порядке при создании любой информационной системы. В наше время, когда системы становятся все более распределенными, трудно переоценить важность корректного разграничения доступа.
При этом требуется все более надежная защита систем аутентификации как от внешних, так и от внутренних злоумышленников. Стоит понимать, что пользователи не склонны усложнять себе жизнь и стараются пользоваться как можно менее сложными паролями. А, следовательно, для устранения этого в дальнейшем все чаще будут применяться программно-аппаратные средства аутентификации, которые постепенно придут на смену традиционным паролям.
На мой взгляд, рост средств аппаратной многофакторной аутентификации сдерживается исключительно их ценой.
Инструкция по организации парольной защиты в информационных системах персональных данных
Можно скачать этот документ в формате MS Word. Скачивание доступно только зарегистрированным пользователям.
| УТВЕРЖДАЮ
____________ (фамилия и инициалы) «___» ______________ 201_ г. |
ИНСТРУКЦИЯ № ____
по организации парольной защиты в информационных системах персональных данных
- Общие положения
1.
1. Настоящая инструкция регламентирует организационно-техническое обеспечение процессов генерации, смены и прекращения действия паролей (удаление учетных записей пользователей) в информационной системе персональных (далее – ИСПДн) в _______________________ (далее – ___________________).
1.2. Настоящая инструкция разработана в соответствии с руководящими и нормативными документами регуляторов Российской Федерации в области защиты персональных данных.
1.3. Пользователем ИСПДн (далее – Пользователь) является сотрудник ___________________, участвующий в рамках выполнения своих функциональных обязанностей в процессах автоматизированной обработки персональных данных (далее – ПДн) и имеющий доступ к аппаратным средствам, программному обеспечению, данным и средствам защиты информации ИСПДн (далее – СЗИ).
1.4. Организационное и техническое обеспечение процессов генерации, использования, смены и прекращения действия паролей в ИСПДн и контроль над действиями Пользователей в ИСПДн осуществляет ответственный за обеспечение безопасности персональных данных в ___________________ (далее – Ответственный).
1.5. Организационное и техническое обеспечение процессов генерации, использования, смены и прекращения действия паролей на автоматизированных рабочих местах (далее – АРМ) Пользователей осуществляет администратор ИСПДн в ___________________ (далее –Администратор).
- Организация парольной защиты
2.1. Личные пароли должны создаваться Пользователями самостоятельно.
2.2. В случае формирования личных паролей Пользователей централизованно, ответственность за правильность их формирования и распределения возлагается на Ответственного и Администратора в ИСПДн и на АРМ Пользователей соответственно.
2.3. Полная плановая смена паролей в ИСПДн проводится не реже одного раза в 3 месяца.
2.4. Внеплановая смена личного пароля Пользователя или удаление учетной записи в случае прекращения его полномочий (увольнение, переход на другую должность в ИСПДн и т.п.) должна производиться Администратором и Ответственным немедленно после окончания последнего сеанса работы Пользователя в АРМ и в ИСПДн соответственно.
2.5. В ИСПДн устанавливается ограничение на количество неуспешных попыток аутентификации (ввода логина и пароля) Пользователя, равное 7, после чего учетная запись блокируется.
2.6. Разблокирование учетной записи осуществляется Администратором и Ответственный для учетных записей Пользователя для АРМ и для ИСПДн соответственно.
2.7. После 15 минут бездействия (неактивности) Пользователя в АРМ или ИСПДн происходит автоматическое блокирование сеанса доступа в АРМ и ИСПДн соответственно.
- Требования к формированию паролей
Пользователи при формировании паролей должны руководствоваться следующими требованиями:
3.1. Длина пароля должна быть не менее 8 символов.
3.2. В пароле должны обязательно присутствовать символы не менее 3-х категорий из следующих:
- буквы в верхнем регистре;
- буквы в и нижнем регистре;
- цифры;
- специальные символы, не принадлежащие алфавитно-цифровому набору (например, !, @, #, $, &, *, % и т.
п.).
п.).3.3. Пароль не должен включать в себя легко вычисляемые сочетания символов (например, «112», «911» и т.п.), а также общепринятые сокращения (например, «ЭВМ», «ЛВС», «USER» и т.п.).
3.4. Пароль не должен содержать имя учетной записи Пользователя или наименование его АРМ, а также какую-либо его часть.
3.5. Пароль не должен основываться на именах и датах рождения Пользователя или его родственников, кличек домашних животных, номеров автомобилей, телефонов и т.д., которые можно угадать, основываясь на информации о Пользователе.
3.6. Запрещается использовать в качестве пароля один и тот же повторяющийся символ либо повторяющуюся комбинацию из нескольких символов (например, «1111111», «wwwww» и т.п.).
3.7. Запрещается использовать в качестве пароля комбинацию символов, набираемых в закономерном порядке на клавиатуре (например, «1234567», «qwerty» и т.п.).
3.8. При смене пароля новое значение должно отличаться от предыдущего не менее чем в 6 позициях.
- Правила ввода паролей
Пользователи во время процедуры аутентификации (ввода логина и пароля) на АРМ и в ИСПДн должны руководствоваться следующими правилами:
4.1. Ввод пароля должен осуществляться с учётом регистра, в котором пароль был задан.
4.2. Во время ввода паролей необходимо исключить возможность его подсматривания посторонними лицами или техническими средствами (видеокамеры и пр.).
4.3. В случае блокировки учетной записи Пользователя после превышения попыток ввода данных аутентификации (логина и пароля) в АРМ или ИСПДн, Пользователю необходимо уведомить Администратора или Ответственный соответственно для проведения процедуры генерации нового пароля.
- Обязанности
Пользователи ИСПДн обязаны:
5.1. Четко знать и строго выполнять требования настоящей инструкции и других руководящих документов ___________________ по парольной защите.
5.2. Своевременно сообщать Ответственному и Администратору об утере, компрометации и несанкционированном изменении сроков действия паролей в АРМ и ИСПДн соответственно.
5.3. Ознакомиться под роспись с перечисленными в настоящей инструкции требованиями и предупреждены об ответственности за использование паролей, не соответствующих данным требованиям, а также за разглашение парольной информации.
- Ответственность
6.1. Пользователь несет персональную ответственность за сохранность данных аутентификации (персонального логина и пароля) к АРМ и к ИСПДн.
Комментарии к статье «Инструкция по организации парольной защиты в информационных системах персональных данных»
Что такое защита паролем? | Microsoft Security
Что такое защита паролем? | Безопасность Майкрософт Защита паролем помогает защитить ваши данные от злоумышленников, обнаруживая и блокируя известные ненадежные пароли и ненадежные термины, характерные для вашей организации.
Безопасность паролей помогает защитить ваши данные от злоумышленников, обнаруживая и блокируя известные слабые пароли, их варианты и любые дополнительные слабые термины, характерные для вашей организации.
Пароли — это первая линия защиты от несанкционированного доступа к устройствам и онлайн-аккаунтам. Чем надежнее пароль, тем лучше будут защищены ваши устройства, файлы и учетные записи.
Вот лучшие способы защиты ваших паролей:
- Создавайте надежные пароли длиной более 12 символов, включающие прописные и строчные буквы, знаки препинания и избегайте запоминающихся путей на клавиатуре или клавиатуре.
- Храните пароли в безопасном месте в сети, например с помощью диспетчера паролей, и в автономном режиме.
- Используйте множественную аутентификацию, требующую двух или более элементов идентификации для получения доступа к учетной записи.
- Установите антивирусное и антивредоносное программное обеспечение на устройства, чтобы обнаруживать и предупреждать вас о подозрительной активности.
Злоумышленники используют различные тактики для кражи паролей, в том числе:
- Атаки методом грубой силы, методом проб и ошибок для взлома паролей и учетных данных для получения несанкционированного доступа к учетным записям и системам.
- Вброс учетных данных, автоматическое использование украденных имен пользователей и паролей для получения несанкционированного доступа к онлайн-аккаунтам.
- Атаки по словарю, которые пытаются сломать пароль, вводя каждое слово в словарь, используя производные от этих слов с заменой символов и буквенно-цифровых символов, а также используя утекшие пароли и ключевые фразы.
- Кейлоггинг — использование программного обеспечения для отслеживания действий пользователя на клавиатуре, включая PIN-коды, номера кредитных карт, имена пользователей и пароли.
- Вредоносное ПО , вредоносное программное обеспечение, предназначенное для нанесения вреда или использования компьютерных систем и, во многих случаях, для кражи паролей.
- Распыление пароля, использование одного пароля для многих учетных записей, чтобы избежать блокировки учетной записи и остаться незамеченным.
- Фишинг , который обманом заставляет пользователей делиться своими учетными данными с хакерами, выдающими себя за законные учреждения и поставщиков.
Надежность пароля — это мера того, насколько эффективен пароль против атаки. Надежность пароля зависит от его длины, сложности и непредсказуемости.
Надежные пароли являются первой линией защиты от кибератак и помогают снизить риск нарушения безопасности. Как правило, они длинные и включают прописные и строчные буквы, цифры и специальные символы. Надежные пароли не должны содержать никакой личной информации. Некоторые примеры:
- Пилот-Гусь-21-Сыр-Волшебник.
- Pie_Bumpy_Dove_Mac44.
- Oui.Mister.Kitkat.99.
Лучшие менеджеры паролей на 2023 год
Примечание редактора: из-за того, что история о недавнем взломе LastPass все еще не раскрыта, мы решили исключить ее из этого обзора. После того, как мы пересмотрим и переоценим услугу, мы рассмотрим возможность ее повторного добавления.
Почти каждый веб-сайт, который вы посещаете, от приложений для знакомств до сверхзащищенных банковских сайтов, настаивает на том, чтобы вы создали учетную запись пользователя и придумали пароль. Проблема? Человеческая память не может угнаться за десятками и десятками паролей. Некоторым людям приходит в голову идея использовать самый простой пароль, например «123456789» или «пароль». Другие запоминают один великолепно случайный пароль и используют его для всего. Любая стратегия, скорее всего, сделает вас очередной жертвой кражи личных данных.
Менеджеры паролей обеспечивают вашу безопасность, а также очень удобны.
С менеджером паролей вам не нужно запоминать надежные уникальные пароли для всех ваших учетных записей. Менеджер паролей хранит их для вас, помогает генерировать новые случайные пароли и даже может помочь вам передать ваши пароли вашим близким после вашей смерти.
Все лучшие менеджеры паролей, упомянутые в этой статье, стоят денег, хотя вы можете использовать некоторые из них бесплатно, если принимаете определенные ограничения. Если вы не хотите тратить деньги и не хотите ограничений, не беспокойтесь. Мы собрали лучшие бесплатные менеджеры паролей в отдельной статье.
Мы протестировали и проанализировали десятки менеджеров паролей, чтобы вы могли выбрать тот, который лучше всего соответствует вашим потребностям. Не довольны своим первоначальным выбором? Не волнуйся. Большинство сервисов позволяют экспортировать сохраненные данные или импортировать их из других продуктов, упрощая процесс переключения менеджеров паролей.
Более глубокое погружение: наши проверенные решения
Менеджер паролей Keeper и цифровое хранилище
Лучшее решение для безопасного кросс-платформенного управления паролями
4.
5 Превосходно
Для кого
Для всех, особенно для многодетных пользователей. Пакет Keeper Family очень выгоден, так как включает в себя пять хранилищ Keeper Unlimited.
ПРОФИ
- Хорошо продуманные приложения и расширения для браузеров с кроссплатформенной синхронизацией
- Многофакторная аутентификация
- Безопасный обмен паролями и наследование
- Дополнительное безопасное хранилище файлов и обмен сообщениями
- Сохраняет полную историю паролей и файлов
- Предлагает широкий выбор шаблонов типов записей
ПРОТИВ
- Ограниченная бесплатная версия
Zoho Vault
Лучшее для обмена функциями
4.
5 Выдающийся
Почему мы выбрали это
Zoho Vault поможет вам дома и на работе, так как включает функции совместной работы, синхронизацию на всех устройствах, имеет расширения для браузера, импортирует пароли из браузеров, и легко обрабатывает многостраничные входы в систему.
Для кого
Экономящие пользователи. Zoho Vault предлагает щедрый бесплатный план без ограничений на синхронизацию устройств или хранение паролей. Большинство других менеджеров паролей накладывают более жесткие ограничения на свои бесплатные учетные записи, ограничивая количество паролей, которые можно хранить в хранилище, или количество устройств, которые могут синхронизироваться одновременно.
ПРОФИ
- Синхронизация между устройствами Windows, macOS, Android и iOS.
- Поддерживает многофакторную аутентификацию
- Доступен во всех браузерах на любой платформе
- Обрабатывает многостраничные входы
- Импорт паролей из браузеров
- Существенный бесплатный план
ПРОТИВ
- Не хватает заполнения веб-формы
- Неинтуитивный мини-генератор паролей
Bitwarden
Лучшее решение для управления паролями с открытым исходным кодом
4.
0 Отлично
Почему мы выбрали его
Бесплатный уровень Bitwarden не ограничивает количество паролей, которые вы можете хранить, и не запрещает синхронизацию хранилища между устройствами, в отличие от многих других бесплатные менеджеры паролей делают. Уровень Premium также недорог и включает в себя отличные функции, такие как действенный отчет о работоспособности пароля, параметры экстренного доступа, возможность генерировать коды TOTP и поддержку расширенных методов многофакторной аутентификации.
Для кого это
Новые пользователи менеджера паролей. Попробуйте управлять паролями, загрузив бесплатную версию менеджера паролей Bitwarden, и обновитесь до платной версии, узнав, как ее использовать.
ПРОФИ
- Предлагает приложения для всех популярных платформ и браузеров
- Бесплатный уровень и недорогой платный план
- Поддерживает многофакторную аутентификацию
- Функция «Отправить общий доступ» эффективна
- Открытый источник
ПРОТИВ
- Некоторые проблемы с автоматическим захватом и автозаполнением при тестировании
- Многофакторная аутентификация с помощью аппаратных ключей, доступная только платным пользователям.
- Премиум-пользователи по умолчанию получают только 1 ГБ зашифрованного хранилища.
Прочитайте наш обзор Bitwarden
1Password
Лучший для организации паролей
4.0 Отлично
Почему мы выбрали это
1Password предлагает приложения для Windows, macOS, Linux, Android и iOS. Он также имеет одну из лучших систем организации паролей, и поддерживает многофакторную аутентификацию.
Для кого это
Большинству людей понравится 1Password, потому что он прост в использовании и предлагает достаточную безопасность, но у него есть свои недостатки. В 1Password отсутствует настоящая функция наследования паролей и посредственные параметры импорта.
ПРОФИ
- Сторожевая башня, функция мониторинга паролей, теперь доступна для мобильных пользователей
- Отличные и привлекательные мобильные приложения
- Интуитивная организация паролей
- Поддерживает многофакторную аутентификацию
ПРОТИВ
- Заполнение формы неуклюжее и ненадежное
- Ограниченные возможности импорта
- Отсутствует функция наследования пароля
LogMeOnce Password Management Suite Ultimate
Лучшее для большого количества функций
4. 0 Отлично
Почему мы выбрали его
LogMeOnce имеет полностью бесплатную версию без ограничений на количество сохраненных паролей или количество используемых вами устройств. Платная версия многофункциональна, и есть много вариантов аутентификации.
Для кого это
Люди, которые ненавидят пароли. LogMeOnce начал предлагать функцию входа без пароля много лет назад, задолго до того, как многие конкуренты начали добавлять функцию безопасности в свои продукты.
ПРОФИ
- Синхронизируется между Windows, macOS, Linux, iOS и Android.
- Новый оптимизированный интерфейс.
- Огромное количество функций, многие из которых уникальны и запатентованы.
ПРОТИВ
- Некоторые функции оплачиваются дополнительно.
- Установка всех функций довольно дорогая.
- Огромное количество функций может ошеломить пользователей.
NordPass
Best for Business Account Administrators
4. 0 Отлично
Почему мы выбрали его
NordPass от команды разработчиков NordVPN — это оптимизированный и простой в использовании сервис для безопасного доступа к вашим паролям через настольные и мобильные приложения или в Интернете. Со временем в него были добавлены некоторые примечательные функции, в том числе сканер утечки данных, отчет о работоспособности пароля, веб-хранилище и возможность наследования паролей.
Для кого это
Пользователи бизнес-аккаунта. NordPass для бизнеса фокусируется на гигиене паролей с помощью различных инструментов, помогающих администраторам видеть, у каких сотрудников в хранилищах есть слабые, повторно используемые или старые пароли.
ПРОФИ
- Поддерживает безопасный обмен учетными данными
- Поддерживает многофакторную аутентификацию через приложение и ключ безопасности
- Обязательная многофакторная аутентификация для бизнес-аккаунтов
- Сканер утечки данных и действенный отчет о работоспособности пароля
- Проверено
ПРОТИВ
- Дороже, чем у конкурентов
- Бесплатная версия не может быть использована на нескольких устройствах одновременно
Password Boss
Best for Browser Tools
4. 0 Отлично
Почему мы выбрали его
В дополнение к решению всех ожидаемых задач управления паролями, Password Boss предлагает безопасный обмен, наследование паролей и другие расширенные функции.
Для кого это
Всем. Password Boss предлагает безопасное хранилище паролей и многофакторную аутентификацию, как и многие его конкуренты. В отличие от конкурентов Bitwarden и Zoho Vault, его бесплатная версия не позволяет синхронизировать несколько устройств.
ПРОФИ
- Функции безопасного обмена и наследования паролей
- Панель безопасности
- Сохраняет историю заметок и паролей
- Поддерживает множество платформ и браузеров
ПРОТИВ
- Ограниченные возможности многофакторной аутентификации
- Не хватает бесплатной версии
- Ограниченные возможности импорта
- Ненадежное заполнение формы
RoboForm Everywhere
Лучшее решение для заполнения форм
4. 0 Отлично
Почему мы выбрали его
RoboForm Everywhere обладает широкими возможностями для заполнения форм и удобным управлением паролями. В эпоху, когда многие конкурирующие продукты обновляют пользовательские интерфейсы и работают над простотой использования, новое веб-хранилище RoboForm является долгожданным дополнением к уже превосходному продукту.
Для кого это
Текущие пользователи RoboForm. Если вы уже знакомы с файловой системой менеджера паролей, использовать текущую версию будет легко. RoboForm — очень функциональный менеджер паролей, хотя его система меню не такая удобная и интуитивно понятная, как у конкурентов.
ПРОФИ
- Комплексное заполнение веб-форм
- Управляет паролями приложений
- Обновленный и современный внешний вид веб-хранилища
- Синхронизация между многими типами устройств и браузерами
- Генерирует надежные и уникальные пароли по умолчанию
ПРОТИВ
- Ограниченный импорт конкурирующих продуктов
- Пользовательский интерфейс рабочего стола может сбивать с толку
- Не поддерживает аппаратные ключи безопасности
Руководство по покупке: лучшие менеджеры паролей на 2023 год
Лучшая защита паролем
Когда вы регистрируетесь в менеджере паролей, первое, что вам нужно сделать, это создать мастер-пароль для своей учетной записи. Ваш мастер-пароль используется для шифрования содержимого вашего хранилища паролей, поэтому вы должны сделать так, чтобы посторонние не смогли его угадать. Однако оно не может быть настолько случайным, чтобы вы не могли его запомнить. Ваш мастер-пароль, скорее всего, будет невосстановим, если вы это сделаете. Ознакомьтесь с нашими советами по созданию надежных и сложных паролей.
Что такое менеджер паролей и зачем он мне нужен?
Некоторые менеджеры паролей, такие как LastPass, устраняют необходимость в мастер-пароле, предлагая беспарольный вход в хранилище вашего рабочего стола. Эта технология все еще находится в стадии разработки. Представитель LastPass сообщил нам, что компания будет поддерживать беспарольную биометрическую аутентификацию по лицу и отпечатку пальца FIDO2 следующего поколения на настольных компьютерах в конце этого года. Биометрические логины уже поддерживаются в приложении LastPass.
В качестве дополнительной меры предосторожности вам следует настроить многофакторную аутентификацию для защиты вашей учетной записи диспетчера паролей, будь то биометрическая, на основе SMS или с помощью одноразовых паролей на основе времени (TOTP), хранящихся в приложении для аутентификации. Лучшие менеджеры паролей поддерживают аутентификацию с помощью аппаратных ключей безопасности на основе U2F или OTP, большинство из которых имеют размер реального ключа и предназначены для использования в связке ключей.
Прежде чем использовать какой-либо менеджер паролей, убедитесь, что он работает на каждом используемом вами устройстве и не мешает синхронизации паролей на всех ваших устройствах. Хотя поддержка платформ Windows и macOS является само собой разумеющейся, некоторые менеджеры паролей теперь также предлагают собственные приложения для Linux. Лучшие менеджеры паролей имеют браузерные расширения для каждого популярного браузера, которые могут работать независимо от настольного приложения.
Как работают менеджеры паролей?
Большинство людей используют диспетчер паролей в первую очередь для управления учетными данными веб-сайта. На практике, когда вы входите на защищенный сайт, менеджер паролей предлагает сохранить ваши учетные данные. Когда вы вернетесь на этот сайт, он предложит заполнить эти учетные данные. Если вы сохранили несколько логинов для одного и того же сайта, диспетчер паролей перечислит все эти параметры. Большинство менеджеров паролей также предлагают меню сохраненных логинов на панели инструментов браузера, поэтому вы можете перейти прямо на сохраненный сайт и автоматически войти в систему.
Некоторые продукты обнаруживают, когда вы меняете пароль к учетной записи, и предлагают обновить существующий пароль в файле на новый. Некоторые записывают ваши учетные данные, когда вы создаете новую учетную запись для безопасного веб-сайта. Для максимального удобства следует избегать менеджеров паролей, которые не перехватывают пароли автоматически.
Ввод всех существующих паролей в менеджер паролей — хороший первый шаг. Затем вы должны определить слабые и повторяющиеся пароли и заменить их надежными. Менеджеры паролей могут помечать эти неверные пароли и помогать вам их улучшать. Опрос PCMag показал, что 70% респондентов повторно используют пароли для своих учетных записей. Очевидно, что удаление повторно используемых паролей — один из самых важных способов повышения вашей безопасности с помощью менеджера паролей. Некоторые менеджеры паролей даже проверяют, настроили ли вы многофакторную аутентификацию для тех служб в вашем хранилище, которые ее поддерживают, и появляется ли ваша личная информация при каких-либо утечках данных.
Когда вы создаете новую защищенную учетную запись или обновляете слабый пароль, не напрягайте свой мозг, пытаясь придумать что-то надежное и уникальное. Пусть об этом позаботится ваш менеджер паролей. В конце концов, вам не обязательно об этом помнить. Убедитесь, что ваши сгенерированные пароли имеют длину не менее 20 символов и включают все основные типы символов: прописные и строчные, цифры и символы.
Удивительно легко быть более безопасным в Интернете
Что такое важные функции диспетчера паролей?
Большинство менеджеров паролей могут заполнять личные данные в веб-формах, такие как имя и фамилия, адрес электронной почты, номер телефона, номер банковской карты, номер паспорта и т. д. Некоторые менеджеры паролей также показывают реалистичные изображения кредитных карт с правильным цветом и логотип банка на физической карте, чтобы упростить выбор способа оплаты при совершении покупок в Интернете. Многие менеджеры паролей также могут собирать и заполнять учетные данные для настольных приложений.
Большинство менеджеров паролей включают встроенный механизм для безопасного обмена паролями с другими пользователями, но некоторые из них идут дальше с расширенными разрешениями. Например, несколько менеджеров паролей позволяют вам поделиться логином, не делая пароль видимым, отменить совместное использование или сделать получателя владельцем элемента.
Более того, что происходит с вашими безопасными учетными записями после вашей смерти? Многие продукты включают некоторые положения для цифрового наследия, способ передачи ваших логинов доверенному лицу в случае вашей смерти или недееспособности.
Некоторые компании по управлению паролями также предлагают версии своих продуктов для предприятий и групп. Эти продукты обычно делают упор на многофакторную аутентификацию и предлагают единый вход, а также расширенные возможности обмена учетными данными между членами команды. Лучшие менеджеры паролей позволяют администраторам видеть, какие сотрудники используют слабые, повторно используемые или скомпрометированные пароли для своих рабочих учетных записей.
Какие менеджеры паролей самые безопасные?
Вход с вашим безопасным именем пользователя и паролем на веб-сайт, который не использует безопасное соединение HTTPS, является большим запретом. Некоторые менеджеры паролей предупреждают вас о небезопасных страницах входа. Даже когда вы используете HTTPS, снифферы и шпионы все равно могут узнать некоторые вещи о вашей активности, например, тот простой факт, что вы входите на защищенный сайт, и IP-адрес, с которого вы подключаетесь. Выполнение безопасных подключений через виртуальную частную сеть или VPN обеспечивает дополнительный уровень защиты. Dashlane включает простой встроенный VPN. RememBear и NordPass, соответственно, принадлежат тем же компаниям, что и Editors’ Choice VPN, TunnelBear VPN и NordVPN.
Рекомендовано нашими редакторами
Лучшие бесплатные менеджеры паролей на 2023 год
14 основных приложений для обеспечения конфиденциальности в сети Ironclad
5 способов, которыми кража личных данных может разрушить вашу жизнь
Простые приемы запоминания невероятно надежных паролей
Безопасное хранилище также становится все более распространенной функцией среди менеджеров паролей. Выделение хранилища не заменит потребность в выделенном облачном хранилище и службе синхронизации, но во многих случаях этого достаточно для хранения важных документов в зашифрованном виде.
Несмотря на то, что менеджер паролей должен предлагать расширенные функции, он должен оставаться простым в использовании и избегать ненужной сложности. Пользователи, которых раздражает или сбивает с толку менеджер паролей, могут отказаться от него и вернуться к использованию стикеров для хранения и обмена паролями или, что еще хуже, везде применять один и тот же пароль. Примечание. Если вам надоел ваш текущий инструмент, у нас есть руководство по переходу на новый менеджер паролей.
Чего здесь нет
Как упоминалось ранее, здесь вы также не найдете менеджеров паролей только бесплатно. Эти продукты находятся в отдельном обзоре. Менеджеры паролей, которые предлагают отличные платные и бесплатные уровни, фигурируют в обоих обзорах.
Менеджер паролей — не единственное, что вам нужно для защиты вашей цифровой жизни. Мы уже упоминали о важности VPN и многофакторной аутентификации, но вы также должны использовать пакет безопасности. Также никогда не помешает убедиться, что все ваше программное обеспечение для обеспечения безопасности работает.
Какой лучший менеджер паролей на 2022 год?
Победителями конкурса «Выбор редакции» в этой категории стали Dashlane, Keeper Password Manager & Digital Vault и Zoho Vault. Гладкий и отточенный Dashlane может похвастаться множеством функций. Keeper предлагает расширенные возможности, стильный и элегантный пользовательский интерфейс и поддержку всех популярных платформ и браузеров.