Менеджер паролей — это компьютерная программа, которая позволяет пользователям хранить и управлять своими паролями [1] для локальных приложений или онлайн-сервисов, таких как веб-приложения , онлайн-магазины или социальные сети . [2] Веб-браузер обычно имеет встроенную версию менеджера паролей. Они часто подвергались критике, поскольку многие хранили пароли в открытом виде, что позволяло попытки взлома.
Менеджеры паролей могут генерировать пароли [3] и заполнять онлайн-формы . [2] Менеджеры паролей могут существовать как смесь: компьютерных приложений , мобильных приложений или расширений веб-браузера . [4]
Менеджер паролей может помочь в генерации паролей , хранении паролей, [1] [5] [6] как правило, в зашифрованной базе данных . [7] [8] Помимо паролей, эти приложения могут также хранить такие данные, как данные кредитной карты, адреса и информацию о часто летающих пассажирах. [3]
Основная цель менеджеров паролей — смягчить явление кибербезопасности , известное как « усталость от паролей» , когда конечный пользователь может быть перегружен необходимостью запоминания множества паролей для различных служб и того, какой пароль используется для какой службы. [3]
Менеджеры паролей обычно требуют, чтобы пользователь создал и запомнил один «главный» пароль для разблокировки и доступа ко всей информации, хранящейся в приложении. [9] Менеджеры паролей могут выбрать интеграцию многофакторной аутентификации [9] с помощью отпечатков пальцев или с помощью программного обеспечения для распознавания лиц . [10] Хотя это не обязательно для использования расширения приложения/браузера.
Первым программным обеспечением для управления паролями, предназначенным для безопасного хранения паролей, был Password Safe , созданный Брюсом Шнайером , который был выпущен в качестве бесплатной утилиты 5 сентября 1997 года. [11] Разработанный для Microsoft Windows 95 , Password Safe использовал алгоритм Blowfish Шнайера для шифрования паролей и других конфиденциальных данных. Хотя Password Safe был выпущен в качестве бесплатной утилиты, из-за ограничений на экспорт криптографии в США , действовавших в то время, первоначально его могли загружать только граждане и постоянные жители США и Канады. [11] По состоянию на октябрь 2024 года встроенный Google Password Manager в Google Chrome стал наиболее используемым менеджером паролей.[update]
Менеджеры паролей бывают разных форм, каждая из которых имеет свои преимущества и недостатки. Вот список наиболее распространенных типов: [12]
Некоторые приложения хранят пароли в незашифрованном файле, что делает их легкодоступными для вредоносных программ или людей, пытающихся украсть личную информацию.
Некоторые менеджеры паролей требуют, чтобы выбранный пользователем мастер-пароль или парольная фраза сформировали ключ , используемый для шифрования паролей, сохраненных для чтения приложением. Безопасность этого подхода зависит от надежности выбранного пароля (который может быть угадан с помощью вредоносного ПО), а также от того, что сама парольная фраза никогда не хранится локально, где вредоносная программа или человек могли бы ее прочитать. Скомпрометированный мастер-пароль может сделать все защищенные пароли уязвимыми, что означает, что одна точка входа может поставить под угрозу конфиденциальность конфиденциальной информации. Это известно как единая точка отказа .
Хотя менеджеры паролей обеспечивают надежную защиту учетных данных, их эффективность зависит от безопасности устройства пользователя. Если устройство скомпрометировано вредоносным ПО, таким как Raccoon, которое отлично справляется с кражей данных, защита менеджера паролей может быть сведена на нет. Вредоносное ПО, такое как кейлоггеры, может украсть главный пароль, используемый для доступа к менеджеру паролей, предоставляя полный доступ ко всем сохраненным учетным данным. Анализаторы буфера обмена могут перехватывать конфиденциальную информацию, скопированную из менеджера, а некоторые вредоносные программы могут даже украсть сам зашифрованный файл хранилища паролей. По сути, скомпрометированное устройство с вредоносным ПО для кражи паролей может обойти меры безопасности менеджера паролей, оставив сохраненные учетные данные уязвимыми. [13]
Как и в случае с методами аутентификации паролей, для угадывания или копирования «главного пароля» может использоваться регистрация нажатий клавиш или акустический криптоанализ . Некоторые менеджеры паролей пытаются использовать виртуальные клавиатуры , чтобы снизить этот риск, хотя это все еще уязвимо для клавиатурных шпионов [ требуется цитата ] , которые перехватывают нажатия клавиш и отправляют информацию о том, какая клавиша была нажата, человеку/людям, пытающимся получить доступ к конфиденциальной информации.
Облачные менеджеры паролей предлагают централизованное место для хранения учетных данных для входа. Однако такой подход вызывает опасения по поводу безопасности. Одной из потенциальных уязвимостей является утечка данных в самом менеджере паролей. Если бы такое событие произошло, злоумышленники могли бы потенциально получить доступ к большому количеству учетных данных пользователей. Инцидент безопасности 2022 года с участием LastPass является примером этого риска. [13]
Некоторые менеджеры паролей могут включать генератор паролей. Сгенерированные пароли могут быть угадываемыми, если менеджер паролей использует слабый метод случайной генерации «семенного числа» , которое используется во всех паролях, сгенерированных этой программой. Существуют задокументированные случаи, например, с Kaspersky Password Manager в 2021 году, когда изъян в методе генерации паролей привел к предсказуемым паролям. [14] [15]
В статье 2014 года исследователей из Университета Карнеги-Меллона было обнаружено, что хотя браузеры отказываются автоматически заполнять пароли, если протокол страницы входа отличается от того, когда пароль был сохранен ( HTTP против HTTPS ), некоторые менеджеры паролей небезопасно заполняли пароли для незашифрованной (HTTP) версии сохраненных паролей для зашифрованных (HTTPS) сайтов. Кроме того, большинство менеджеров не имели защиты от атак на основе iframe и перенаправления , что потенциально раскрывало дополнительные пароли при использовании синхронизации паролей на нескольких устройствах. [16]
Различные известные веб-сайты пытались заблокировать менеджеры паролей, часто отступая, когда их публично оспаривают. [17] [18] [19] Приводимые причины включают защиту от автоматизированных атак , защиту от фишинга , блокировку вредоносного ПО или просто отрицание совместимости. Клиентское программное обеспечение безопасности Trusteer от IBM имеет явные опции для блокировки менеджеров паролей. [20] [21]
Такая блокировка подверглась критике со стороны специалистов по информационной безопасности, поскольку она делает пользователей менее защищенными. [19] [21] Типичная реализация блокировки включает установку autocomplete='off'
соответствующего пароля в веб-форме . Эта опция теперь, следовательно, игнорируется на зашифрованных сайтах , [16] таких как Firefox 38, [22] Chrome 34, [23] и Safari примерно с 7.0.2. [24]