Пароли и менеджер паролей

Один пароль везде — это не лень, это одна дырка на тридцать замков

Дело не в том, что ваш пароль от почты слабый. База, которая утечёт, скорее всего принадлежит какому-нибудь форуму про рыбалку, о существовании которого вы забыли ещё в две тысячи каком-то году. Но пароль там записан тот же самый, что и на почте, — а дальше это уже не ваша проблема с памятью, а чужой сценарий: связку логин-пароль прогоняют по спискам популярных сервисов автоматом, без участия человека, пока где-нибудь не сработает. Ключи от квартиры и кредитки вы же не раскладываете по подъезду — а один и тот же пароль на тридцати сайтах устроен ровно так же.

Менеджер паролей: запомнить один, остальные — не ваша забота

Решение звучит подозрительно просто: запоминать надо один пароль, а не тридцать. Остальные хранит программа — менеджер паролей, база, запертая на этот единственный пароль. Возьмём KeePassXC: он открытый и бесплатный, а главное — база лежит обычным зашифрованным файлом .kdbx, который можно хранить локально или в надёжном облаке.

Создание базы

1. Нажмите Создать новую базу данных.

2. Введите понятное имя базы, например Пароли; при желании добавьте короткое описание. Нажмите Продолжить; имя будущего файла будет с расширением .kdbx. ( 📺 создание базы ).

3. KeePassXC показывает шаг защиты новой базы Параметры шифрования. В простом режиме настройте только Время расшифровки; рекомендация этой инструкции — около 3 секунд, но это не обязательное требование KeePassXC. Подберите время, которое остаётся приемлемым на самом медленном вашем устройстве. Нажмите Продолжить.

4. Оставьте формат KDBX 4, завершите ввод мастер-пароля на следующем экране и нажмите Готово. Затем сохраните файл с расширением .kdbx в выбранном надёжном месте, нажав Сохранить.

KeePassXC — настольная программа для Windows, macOS и Linux. Официального мобильного приложения KeePassXC нет: на Android и iOS используют совместимые сторонние клиенты, поэтому их интерфейс может отличаться.

Видеоподсказка / Video guide: Видео о KeePassXC: установка, база, генератор и синхронизация

Включить звук Если звук не включился автоматически, нажмите кнопку.

Видео о KeePassXC: установка, база, генератор и синхронизация — подсказка к этому сценарию; названия элементов интерфейса могут отличаться от текущей версии.

• 15 с — установка
• 1:05 — создание базы
• 2:26 — генератор
• 4:55 — синхронизация

Иллюстрация: Encryption Settings / Параметры шифрования, включая Decryption Time / Время расшифровки.

Заводим базу и мастер-пароль

Выберите один вариант. Цель у обоих одна: получить мастер-пароль длиной больше 20 символов и не менее 100 bit по оценке KeePassXC. Отдельные правила безопасного хранения и проверки базы действуют независимо от выбранной дорожки.

АлексейНеТакойУжДинозавр
-> FktrctqHtNfrjqE;Lbyjpfdh
-> #FktrctqHtNfrjqE;Lbyjpfdh^
-> 11#FktrctqHtNfrjqE;Lbyjpfdh^28

Общие действия после выбора

Введите выбранный пароль и повторите его в окне Учётные данные базы. До запоминания храните секрет только на бумаге, отдельно от файла .kdbx, в защищённом месте; не используйте заметки, скриншоты, облако или устройство рядом с базой. После запоминания запись уничтожьте либо оставьте как отдельный аварийный офлайн-резерв с контролем доступа.

В простом режиме экран Параметры шифрования настраивает время расшифровки. В простой форме меняйте только это время; остальные параметры KDF и шифрования без понимания последствий не меняйте.

Иллюстрация: Database Credentials / Учётные данные базы, где мастер-пароль вводят и подтверждают.

В ту же базу мастер-пароль положить нельзя: до базы он нужен для открытия. После подтверждения закройте базу через База данных -> Заблокировать базу данных, затем снова откройте её и введите мастер-пароль. Результат: база открывается только с выбранным секретом.

Максимум

Выберите одну дорожку. В обоих случаях нужны длина больше 20 символов, не менее 100 bit по оценке KeePassXC и безопасное хранение секрета отдельно от базы.

Максимум

Файл-ключ не включайте без заранее проверенного плана резервного копирования. Если он нужен, откройте База данных -> Параметры базы данных -> Безопасность -> Добавить файл-ключ -> Создать, сохраните файл отдельно от .kdbx, сделайте отдельную копию и проверьте открытие с мастер-паролем и key file. Для recovery-набора при восстановлении соответствующая копия .kdbx и matching key file должны быть доступны вместе, но храниться в защищённых местах; мастер-пароль храните отдельно. Проверьте восстановление именно из этих копий. Потеря или изменение key file означает потерю доступа, даже если мастер-пароль известен. Не редактируйте и не изменяйте содержимое key file; сделайте защищённую резервную копию.

Максимум

Время расшифровки увеличивает стоимость каждой проверки мастер-пароля и каждой офлайн-попытки взлома украденного файла. Слишком большое значение замедлит открытие базы, поэтому проверьте его на самом медленном устройстве, которым реально будете открывать базу. Рекомендация этой инструкции — около 3 секунд, но это редакционный ориентир, а не требование KeePassXC. Проверка замедляется примерно пропорционально выбранному времени, поэтому измерьте результат на своих устройствах вместо того, чтобы полагаться на фиксированную оценку. Время расшифровки не заменяет длину пароля: биты — сколько вариантов перебирать, время — сколько стоит одна попытка; они перемножаются, и медленная база с коротким паролем не спасёт. Эта настройка живёт в самом файле базы, а не в программе, поэтому на более медленном устройстве та же база может открываться дольше, чем на ноутбуке, где вы её настраивали. Если это устройство слишком медленное для комфортного открытия, уменьшите значение, но не ниже выбранного минимума.

При создании новой базы настроить время расшифровки в мастере защиты до завершения создания базы; KDF в расширенных настройках не менять.

Максимум

KeePassXC поддерживает аппаратную challenge-response защиту с YubiKey и OnlyKey. Это отдельная продвинутая функция, а не обычная 2FA и не TOTP. Перед включением изучите её ограничения и порядок восстановления в официальном руководстве KeePassXC.

Проверь себя. Что нужно сделать при создании базы?

1. Выбрать одну дорожку, получить секрет длиной больше 20 символов и проверить оценку не ниже 100 bit.
2. Ввести и подтвердить выбранный мастер-пароль в Учётные данные базы.
3. Положить мастер-пароль в новую запись той же базы.

Второй. После выбора одной из дорожек введите и подтвердите мастер-пароль в учётных данных базы. Секрет храните отдельно от базы; оценка силы не является гарантией.

Получилось — когда файл базы создан, а мастер-пароль от него вы набираете по памяти или достаёте из безопасного отдельного места.

Генератор: остальные пароли — не ваша забота вообще

Иллюстрация: Password Generator / Генератор паролей для обычного пароля записи; тот же встроенный генератор может создавать случайную passphrase для мастер-пароля.

Для каждой обычной записи не придумывайте пароль вручную:

1. Нажмите Добавить запись.
2. Заполните поля Название, Имя пользователя и Пароль.
3. Откройте Генератор паролей рядом с полем пароля или через Инструменты -> Генератор паролей.
4. Сгенерируйте пароль и проверьте оценку не ниже 100 bit, лучше 128 bit.
5. Нажмите Применить или Использовать пароль, чтобы применить сгенерированный пароль в запись.
6. При необходимости заполните Заметки, нажмите ОК, чтобы закрыть редактор записи, затем Сохранить, чтобы сохранить базу.
7. Скопируйте пароль через Копировать пароль, вставьте его в форму официального сайта и затем нажмите Очистить буфер обмена.
8. Результат: в базе сохранена запись с логином и тем же сгенерированным паролем, который был передан сайту.

Расширение для браузера: настроили разок — дальше пароль подставляется сам

Сама программа пароль никуда не вставляет — подставлять логин и пароль прямо в форму на сайте умеет расширение для браузера. Без него база работает как справочник: пароль всё равно приходится копировать руками и вставлять в поле. С расширением она подставляет его сама, за один клик на странице входа.

Расширение вы уже поставили — осталось один раз связать его с самой базой, и дальше подстановка пароля будет работать сама. Прежде чем начинать, откройте KeePassXC и разблокируйте базу мастер-паролем: без открытой базы ни один из шагов 1–4 не сработает.

1. В KeePassXC откройте Настройки приложения — через шестерёнку в панели инструментов или через меню приложения, точный путь немного отличается в зависимости от ОС и версии.
2. Перейдите на вкладку Интеграция с браузерами, включите Включить интеграцию с браузерами и отметьте галочкой тот браузер, для которого вы поставили расширение в предыдущем шаге (в списке он показан под своим обычным названием — Google Chrome, Firefox и так далее, без перевода).

Иллюстрация: вкладка Browser Integration / Интеграция с браузерами — чекбокс Enable browser integration / Включить интеграцию с браузерами и список браузеров с отметками.

3. В браузере откройте иконку KeePassXC-Browser на панели расширений (если её не видно, закрепите её через меню расширений — значок «кусочек пазла») и нажмите Connect. Проверить русский перевод этой кнопки не удалось: очень часто она остаётся англоязычной даже при русской локали браузера, так что не удивляйтесь.

Иллюстрация: всплывающее окно расширения до подключения — кнопка Connect запускает связку с KeePassXC.

4. В окне KeePassXC появится диалог KeePassXC - Запрос на ассоциацию нового ключа. Впишите любое понятное название — например, имя браузера или устройства — и нажмите Сохранить и разрешить доступ.

Иллюстрация: New key association request / Запрос на ассоциацию нового ключа — поле с названием связки и кнопка Save and allow access / Сохранить и разрешить доступ.

Если расширение стоит в нескольких браузерах, повторите шаги 3–4 в каждом — связка работает отдельно для каждого. И учтите: связали один раз — не значит работает вечно без программы. Чтобы автозаполнение сработало прямо сейчас, KeePassXC должен быть запущен, а база — разблокирована.

Получилось — когда иконка расширения в панели браузера показывает подключённое состояние, а на сайте с сохранённой в базе записью оно само предлагает подставить логин и пароль в форму входа.

С чего начать переезд

Начинайте с почты: через неё восстанавливается доступ ко всему остальному, так что это и есть единая точка отказа — и её стоит забрать у памяти в первую очередь. Дальше — по своему усмотрению и в своём темпе. Десять сайтов из тридцати, переведённых на менеджер, — уже победа сама по себе, а не промежуточный результат по пути к полному переходу. Полный переход не обязателен вовсе: остальные двадцать подождут сколько угодно, никуда не денутся.

На практике это значит:

1. Откройте настройки почты, найдите смену пароля — обычно в разделе «Безопасность» или «Пароль и вход».
2. В KeePassXC откройте существующую запись через Изменить запись.
3. Откройте Генератор паролей, сгенерируйте новый пароль и проверьте оценку не ниже 100 bit, лучше 128 bit.
4. Нажмите Применить / Использовать пароль, чтобы сгенерированный пароль попал в запись.
5. Введите новый пароль на официальном сайте почты и завершите смену пароля.
6. В редакторе записи нажмите ОК, чтобы закрыть его, затем Сохранить, чтобы сохранить базу: первая кнопка закрывает редактор записи, вторая записывает изменения в файл базы.
7. Выйдите из почты и войдите снова с логином и паролем из сохранённой записи.
8. Нажмите Очистить буфер обмена и заблокируйте базу.

Если записи нет, сначала используйте полный сценарий обычной записи: Добавить запись, Название, Имя пользователя, Пароль.

Получилось — когда пароль от почты сменён, а в базе рядом с логином лежит новый сгенерированный пароль, а не старый по памяти.

Куда деть базу и как её не потерять

Рабочая база должна иметь несколько проверенных копий в разных надёжных местах: на другом носителе и, при необходимости, у доверенного облачного провайдера. Зашифрованный файл .kdbx можно хранить в облаке, но мастер-пароль, key file и экспорт не должны лежать рядом с базой в незашифрованном виде. Выбирайте носитель или провайдера с историей версий и автоматическими резервными копиями, храните отдельные проверенные копии и периодически тестируйте восстановление. Мастер-пароль храните отдельно от базы в защищённом месте.

Проверяйте резервные копии восстановлением, а не только наличием файлов.

Копия на другом устройстве должна быть именно отдельной проверенной копией, а не единственным синхронизированным двойником. Мастер-пароль храните отдельно от базы в защищённом месте.

Ещё один сайт — и так, пока не останется забытых

Почта уже переехала — самая опасная дыра закрыта. Остальное можно закрывать не отдельным вечером, а по одному сайту за раз, каждый раз, когда об этом сайте всё равно вспомнили: заходите на него, меняете пароль на сгенерированный и сохраняете запись в базу тем же способом, что уже отработали на почте.

1. Вспомните любой сайт, где до сих пор стоит старый пароль по памяти.
2. Смените его пароль на сгенерированный так же, как для почты: генератор, сохранение в базу, выход и вход с новым паролем.
3. Повторите для следующего сайта, когда снова о нём вспомните — без графика и без единого дедлайна на весь список.

Получилось — когда для этого конкретного сайта в базе тоже лежит свежий пароль. А когда таких сайтов в жизни почти не осталось — тот самый забытый форум про рыбалку можно смело списать в отставку и не считать долгом: десять переехавших сайтов из тридцати уже были победой, а не промежуточным результатом.

Удалить старый пароль из последней переписки

Новый пароль защищает почту только с момента смены. Если старый пароль когда-то отправлялся в SMS, письме или обычном чате, он всё ещё лежит в истории и может попасться тому, кто получит доступ к переписке.

Откройте последнюю переписку, где вы отправляли пароль, удалите сообщение у себя и у собеседника, если сервис это позволяет, а затем смените пароль ещё раз, если уже не уверены, где он успел засветиться.

Получилось — когда старого пароля нет в последней переписке, а при сомнении он заменён новым.

Как передать пароль другому человеку — один раз, а не навсегда

Иногда пароль всё-таки приходится кому-то передать: пароль от Wi-Fi пришедшему мастеру, доступ к сервису — родственнику. Дать соседке ключ, чтобы полить цветы, пока вы в отпуске, — нормально. Оставить тот же ключ в почтовом ящике на два года просто потому, что так однажды было удобно, — уже нет. Сообщение с паролем и есть тот самый почтовый ящик: SMS, обычная переписка в мессенджере и письмо никуда не деваются сами — они лежат в истории, уезжают в облачную копию переписки и достаются каждому, кто потом войдёт в этот аккаунт или просто возьмёт телефон в руки. Дело не в мастере и не в родственнике, оба тут ни при чём, — дело в том, что переписка живёт куда дольше, чем повод, ради которого пароль был отправлен.

Самый простой вариант — сказать пароль вслух или передать его при личной встрече: не нужно создавать ссылку или оставлять сообщение. Если это невозможно — почта, разные города, мастер, к которому неудобно подходить каждый раз, — не отправляйте пароль текстом напрямую, а воспользуйтесь одним из способов ниже: они показывают пароль получателю один раз и потом сами его удаляют. Ни один способ не даёт абсолютной тайны: получатель всё ещё может сфотографировать экран, пересказать пароль или сохранить его другим способом.

• Секретные чаты Telegram: в профиле получателя выберите «Начать секретный чат» и отправьте пароль сообщением с таймером самоуничтожения. Переписка шифруется из конца в конец, не сохраняется в облаке Telegram и не пересылается — Telegram блокирует пересылку сообщений из секретных чатов. Это отдельная опция: включать её нужно каждый раз заново и на каждом устройстве, обычные чаты Telegram сами в секретные не превращаются.

Специальные сайты для одноразовой передачи. Это другой подход: не функция внутри мессенджера, а отдельный сервис, который создаёт одну ссылку, показывает секрет один раз и сам её убивает.

• Bitwarden Send (самый надёжный вариант здесь): используйте официальную документацию Bitwarden Send, задайте короткий срок жизни и, если доступно для выбранной настройки, максимум одно открытие или удаление после открытия. Можно добавить отдельный пароль; получателю не обязательно иметь аккаунт Bitwarden. Данные шифруются на вашей стороне ещё до отправки — сервер получает уже зашифрованный текст и никогда не видит пароль, а Bitwarden как компания регулярно публикует независимые аудиты безопасности — список отчётов. Остальные сервисы из этого списка тоже с открытым кодом и решают ту же задачу — у Bitwarden просто более развёрнутая и регулярно проверяемая независимыми аудиторами история.
• Onetime Secret: создайте одноразовую ссылку на onetimesecret.com. Сервис описывает удаление секрета после первого открытия.
• Password Pusher: создайте ссылку на pwpush.com с одним открытием и коротким сроком действия, если эти параметры доступны при создании ссылки.
• PrivateBin: создайте самоуничтожающуюся заметку на privatebin.net — публичном инстансе открытого проекта PrivateBin с шифрованием на стороне браузера (AES-256-GCM: сервер получает уже зашифрованные данные). Задайте срок жизни и, если нужно, режим «сгорает после прочтения» перед отправкой.
• Yopass: создайте секрет на yopass.se — публичной демо-версии открытого проекта Yopass с шифрованием OpenPGP на стороне браузера ещё до отправки на сервер, одноразовым просмотром и сроком жизни от часов до недель. Для по-настоящему чувствительных данных сам проект советует разворачивать Yopass у себя, а не полагаться на публичный демо-сервер.

После разовой передачи смените пароль: он больше не должен оставаться действующим после того, как необходимость закончилась.

Управлять своими логинами и паролями — базовый навык в цифровом мире, вот прямо как умение не терять ключи от квартиры. В следующей теме — про двухфакторную аутентификацию: вторую линию обороны, которая срабатывает даже тогда, когда пароль всё-таки утёк.