Менеджер паролей

Что это значит

Менеджер паролей - приложение, которое надёжно хранит учётные данные для разных сервисов в зашифрованном хранилище. Пользователь помнит лишь один сильный мастер-пароль, а менеджер за него создаёт и подставляет уникальные длинные случайные пароли для каждого сервиса отдельно.

Главная польза в том, что у каждого сервиса свой пароль. Когда утекает пароль одного сервиса, злоумышленник не может использовать его для входа в другие, а это сегодня самый частый способ проникновения в корпоративные аккаунты. Менеджер также помогает распознать фишинг, потому что не подставит пароль на поддельном домене.

Корпоративные версии менеджеров паролей позволяют делиться доступами в команде без пересылки паролей по почте, задавать права по ролям и при уходе сотрудника отозвать доступ одним действием. Так они становятся частью управления доступом.

Как это работает на практике

В своей фирме мы используем менеджер паролей для всех доступов к системам клиентов, банкам и ведомствам. Общие доступы разделены по командам и клиентам, так что каждый видит только нужное, а изменения фиксируются в журнале аудита.

Менеджер паролей мы сочетаем с двухфакторной аутентификацией. Одного сильного пароля мало, если его выманят, а второй фактор не даст войти даже с украденным паролем. Мастер-пароль к менеджеру всегда должен быть защищён вторым фактором.

Клиентам мы помогаем с внедрением: выбор инструмента, перенос паролей из таблиц и заметок, настройка общего доступа и правил при уходе сотрудника. Главная польза обычно - конец паролей в файлах и на стикерах на мониторе.

На что обратить внимание

Забытый мастер-пароль без возможности восстановления может означать потерю доступа ко всем данным. Поэтому в корпоративных инструментах мы настраиваем восстановление через администратора, а для личных хранилищ - резервные коды, хранящиеся надёжно вне компьютера.

Менеджер паролей не защищает от социальной инженерии, если человек сам сообщит пароль или код злоумышленнику. Поэтому даже при хорошем инструменте людям нужно объяснять, что пароли и коды подтверждения никому не диктуют.