Как безопасно хранить пароли: сравниваем браузер и менеджеры паролей

Многие люди хранят пароли в браузере. Это удобно: не нужно держать комбинации в голове и каждый раз вводить их заново. Однако хранить пароли в браузере небезопасно, поскольку к ним легко могут получить доступ мошенники. Хорошая альтернатива этому — специальные менеджеры паролей.

Почему хранить пароли в браузере рискованно

Хранить пароли в браузере, даже в одном из самых популярных — Google Chrome, Mozilla Firefox и Microsoft Edge — небезопасно. Несмотря на то, что пароли в них зашифрованы, они хранятся в папке, путь к которой несложно найти. Ключ для расшифровки тоже находится недалеко от них, и к нему может получить доступ кто угодно. Эту особенность как раз используют браузеры, когда предлагают пользователям импортировать данные и пароли из других браузеров.

Опасность заключается том, что доступ к паролям могут получить и злоумышленники. Существует целый класс вредоносного ПО, которое занимается поиском и кражей учётных данных. Такие программы называются стилеры. Они проходятся по папкам, в которых хранятся пароли, ищут ключи и расшифровывают их, а потом передают эту информацию на сервер. Затем злоумышленники собирают пароли в базу и могут продавать их в даркнете либо использовать их для кражи аккаунтов и других мошеннических целей.

Помимо этого, если к компьютеру или телефону физический доступ получает любой случайный человек, он может зайти на любой сайт, к которому сохранены пароли, и прочитать личную переписку либо получить какую-то конфиденциальную информацию. Кроме того, в интернете легко можно найти скрипты, с помощью которых можно скачать пароли из браузера.

Многие пользователи для удобства также используют опцию синхронизации аккаунта, чтобы пользоваться им на всех устройствах. В этом случае все учётные данные, настройки и сохранённые пароли хранятся в облаке. Если злоумышленник сможет взломать аккаунт, то он сможет зайти в него с любого другого устройства, а затем воспользоваться им, чтобы, например, украсть данные из соцсетей или банковских приложений.

Какие есть альтернативы

Хранить пароли гораздо безопаснее с помощью специальных менеджеров паролей. Они также удобны в использовании: пользователю не нужно держать комбинации в голове или записывать их на бумаге, поскольку сервис автоматически запоминает все данные и подставляет их при входе в аккаунт. При этом защита в менеджерах паролей продумана лучше, чем в браузерах.

В подобных решениях используется специальный мастер-пароль — единый пароль, который нужен для защиты данных и других паролей. Менеджер запрашивает его, когда пользователь пытается получить доступ к хранилищу. При этом отключить мастер-пароль нельзя. Поэтому даже если кто-то получит физический доступ к телефону или компьютеру, он не сможет просто так получить пароли, а затем воспользоваться ими для входа в аккаунты: для этого потребуется мастер-пароль, который знает только владелец устройства.

Кроме того, вся информация в менеджерах паролей хранится в зашифрованном виде. При этом ключи для расшифровки не хранятся в папках, которые легко обнаружить. Есть решения, которые вообще нигде не хранят ключи, а генерируют их с помощью специального алгоритма с использованием мастер-пароля.

Поэтому даже если стилер проникнет в устройство, у него не получится получить доступ к ключам для расшифровки и паролям. Аналогично происходит и с данными, нужными для синхронизации: они хранятся в специальном облаке в зашифрованном виде, а ключи для расшифровки также генерируются случайным образом.