Коротко
Повторное использование паролей превращает одну утечку во множество взломанных аккаунтов. Решение — пользоваться менеджером паролей: он создаёт и запоминает отдельный надёжный пароль для каждого аккаунта и подставляет его только на нужном сайте, что также помогает против фальшивых страниц входа. Британский NCSC говорит, что хранить пароли в браузере или телефоне нормально на своих устройствах. Бесплатные встроенные варианты — Менеджер паролей Google и приложение Apple «Пароли» — тоже предупреждают об утёкших и повторно используемых паролях. Защитите сам менеджер надёжным главным паролем и двухшаговой проверкой и поддерживайте актуальными его способы восстановления.
Что делает менеджер паролей
- Создаёт длинные случайные уникальные пароли, так что утечка на одном сайте не откроет другие аккаунты.
- Подставляет пароль только на том сайте, для которого он сохранён: если он не предлагает заполнить, возможно, вы на поддельной фишинговой странице.
- Синхронизируется между устройствами; многие хранят также ключи доступа и коды двухшаговой проверки.
- Отмечает пароли, которые попали в утечки, используются повторно или слабые.
Встроенный или отдельное приложение?
| Вариант | Подходит для | Обратите внимание |
|---|---|---|
| Менеджер паролей Google | Пользователи Chrome и Android; встроена проверка паролей | Всё зависит от аккаунта Google — защитите его двухэтапной аутентификацией |
| Пароли Apple | Пользователи iPhone, iPad и Mac; рекомендации по безопасности отмечают утёкшие пароли | Менее удобно, если вы также пользуетесь Android |
| Отдельный менеджер паролей | Разные устройства (Windows, Android, iPhone) и общий доступ для семьи | Выбирайте известного поставщика; надёжный главный пароль и 2FA обязательны |
Безопасная настройка
- Защитите менеджер надёжным уникальным главным паролем — подход NCSC «три случайных слова» работает хорошо.
- Включите двухшаговую проверку для менеджера или для аккаунта, к которому он привязан (аккаунт Google, аккаунт Apple).
- Начните с самых важных аккаунтов — почта, банк, соцсети — и смените в каждом пароль на новый сгенерированный.
- Сохраните данные для восстановления: резервную почту и телефон, а также ключ восстановления или аварийный набор, если менеджер их предлагает.
- Держите уведомления об утечках включёнными и реагируйте на них.
Где не хранить пароли
- В браузере общего или публичного компьютера — NCSC говорит никогда не сохранять там пароль.
- В заметках, скриншотах или чатах: они не созданы для защиты секретов и часто синхронизируются или пересылаются.
- В таблице, которую вы отправляете себе по почте.
Менеджер паролей, 2FA и ключи доступа вместе
Менеджер паролей решает проблему повторов; двухшаговая проверка защищает, если пароль всё же утёк; а ключ доступа заменяет пароль везде, где сайт это поддерживает. Используйте все три. Чтобы добавить второй шаг, см. двухфакторная аутентификация на 12 платформах; если пароль уже утёк, см. утечка данных: первый час.
Часто задаваемые вопросы
Безопасно ли хранить пароли в браузере?
На своих устройствах — да, так говорит британский NCSC. Никогда не сохраняйте пароли на общих или публичных компьютерах и защитите аккаунт браузера двухшаговой проверкой.
Что, если взломают мой менеджер паролей?
Именно поэтому главный пароль должен быть надёжным и уникальным, а двухшаговая проверка — включена. Надёжные менеджеры шифруют хранилище, так что украденная копия без главного пароля почти бесполезна.
Нужен ли менеджер паролей, если я пользуюсь ключами доступа?
Да, пока что. Многие сайты ещё не поддерживают ключи доступа, а большинство менеджеров хранят и пароли, и ключи доступа.
Менеджер паролей Google или «Пароли» Apple — что лучше?
Тот, который подходит к вашим устройствам. Если у вас вперемешку Android, Windows и iPhone, отдельный кроссплатформенный менеджер может быть удобнее.
Источники: NCSC — менеджеры паролей, Справка аккаунта Google — смена скомпрометированных паролей (Password Checkup), Руководство пользователя iPhone — смена слабых или скомпрометированных паролей, Справка аккаунта Google — вход с ключом доступа