На этой неделе хакеры взломали популярный менеджер паролей LastPass. В связи с этим возникает целый ряд вопросов. Если сервис, который вы используете для защиты ваших паролей, был взломан, то стоит ли использовать его далее? Действительно ли безопасно хранить пароли в облаке?

Вы не идиот!

Прежде всего хотелось бы сказать, что вы не идиот, если используете менеджер паролей. Более того, использовать менеджер паролей намного безопаснее, чем просто использовать один и тот же пароль ко всем ресурсам или использовать пароль, легкий для запоминания и подбора. Вы, вероятно, понимаете, что нуждаетесь в сложных, длинных и уникальных паролях, и рассматриваете менеджер паролей как средство их запомнить. Уж лучше использовать менеджер паролей, чем самый популярный в прошлом году пароль «123456».

Менеджеры паролей, такие как LastPass, 1Password, KeePas, реализуют одну и ту же основную модель. Они хранят пароли в одном безопасном месте. Кроме, естественно, вашего основного пароля, позволяющему вам получить доступ к сервису.

LastPass и другие сетевые менеджеры паролей фактически хранят ваши пароли в зашифрованном виде в облаке, которое фактически может быть уязвимым, в то время как KeePass и 1Password по умолчанию хранят вашу зашифрованную базу паролей локально в виде файла на устройстве (вашем ПК, смартфоне или планшете). Локальное хранение, безусловно, гораздо безопаснее, но менее удобно.

Многие менеджеры паролей могут генерировать для вас сложные пароли и контролируют их стойкость, удаляя слабые пароли. Но основным удобством, определяющим использование менеджера паролей, является то, что вам нужно запомнить по сути один пароль к вашему хранилищу паролей, называемый мастер-паролем. Естественно, он должен быть длинным и стойким.

Но-но-но

Стоит отметить, что большинство менеджеров паролей — посредственная опция, чтобы защитить себя. Да, вы получаете способ генерировать стойкие пароли, но вам не кажется, что вы помещаете все яйца в одну корзину? Ведь теперь все зависит от того, насколько безопасен ваш сервис менеджера паролей, не так ли?

Обратим внимание на взлом LastPass. На сегодня это один из самых популярных и уважаемых сервисов в этой области. И отнюдь не какая-то устаревшая разработка.

В LastPass уверены, что хакеры не получили доступ к пользовательским хранилищам пароля, потому что для шифрования используется устойчивая система криптографии. Тем не менее, первое что сделали менеджеры LastPass после того, как сервис подвергся нападению и некоторая информация все же попала под угрозу компрометации — разослали «письма счастья» пользователям с рекомендацией сменить свои мастер-пароли.

Сомнения в надежности сервиса конечно есть, ведь это уже второй взлом LastPass за четыре года. Плюс к этому исследователи нашли несколько критических дефектов в LastPass и в других сетевых сервисах менеджеров паролей, таких как PasswordBox, RoboForm, My1Login и NeedMyPassword, причем дефекты в последнем были наиболее серьезными. На сегодня эти дефекты устранены.

Стоит отметить, что вы всегда берете на себя риск использования менеджера паролей, но такой сервис снижает риски использования слабых паролей. И пока ни в одном из основных менеджеров, таких как LastPass или 1Password, фактически е были взломаны хранилища паролей пользователей. Таким образом у данных сервисов все же действительно приличный послужной список.

Пароли — неудобство!

Использование паролей — на сегодня основная проблема онлайн-аутентификации. Вы нуждаетесь в уникальном пароле для каждого сетевого сервиса, но человеческий мозг не в состоянии запомнить огромное количество длинных, уникальных и сложных паролей, а простые чрезвычайно легко взломать.

Нас ставят в классическую ситуацию выбора «меньшего из двух зол». Если вы не собираетесь записывать свои пароли вручную и физически хранить их, вам придется использовать менеджер паролей. Нравится это вам или нет.

Получается, чтобы избежать проблем с паролями, вы должны использовать двухфакторную аутентификацию, несмотря на то, что ее использование обойдется существенно дороже.

Автор статьи — Microsoft Most Valuable Professional, Microsoft Security Trusted Advisor.