Больше всего хранимого храни сердце твое, потому что из него источники жизни.Безопасность в сетиhttps://teletype.in/atom/bibleonline2026-04-05T13:45:06.141Zbibleonline:passwords2021-07-19T22:11:31.407Z2021-07-21T22:41:00.082Zпароли

<img src="https://img2.teletype.in/files/58/fe/58fe2da4-7aae-4fb9-9afd-72533d8ac9e1.jpeg">Мы начнем с того, как люди сегодня хранят пароли (и это массово и не однократно наблюдаемо) и автор сам не исключение и опробывал большинство из ниже приведенного и закончим тем, как же стоит хранить их.

<figure class="m_column"> <img src="https://img2.teletype.in/files/58/fe/58fe2da4-7aae-4fb9-9afd-72533d8ac9e1.jpeg" width="1280" /> </figure> <p>Мы начнем с того, как люди сегодня хранят пароли (и это массово и не однократно наблюдаемо) и автор сам не исключение и опробывал большинство из ниже приведенного и закончим тем, как же стоит хранить их.</p> <p>И так, что делают люди для хранения паролей:</p> <ul> <li>Используют и запоминают один-два-три пароля для всего возможного (иногда даже сверх сложный пароль)</li> <li>Придумывают алгоритм запоминания (для примера: имя сайта + логин + комбинация символов)</li> <li>Записывают на стикер или в блокнот</li> <li>В блокноте на рабочем столе</li> <li>Запароленный Excel файл</li> <li>Запоминают все пароли (вы человек дождя)</li> </ul> <p>Все эти способы несут за собой ряд угроз, и вы, как человек думаете «<em>ну, я отвечаю за себя, и готов нести все риски</em>» и предположим, что вы действительно готовы помнить пароль безопасно, но под угрозу можете попасть не вы, а скажем сервис который предоставляет вам угрозу (он может хранить в открытом тексте в своей базе пароли, база утекает).</p> <section style="background-color:hsl(hsl(0, 0%, var(--autocolor-background-lightness, 95%)), 85%, 85%);"> <p>Из личного опыта. В 2020 году, на одной из крупных российских платформ, автором к своему аккаунту был установлен достаточно случайный пароль из 16 символов и сохранен надежным способом. В сервис более не посещался. Через пол года данный пароль находился в базе утечек.</p> </section> <p>Если у вас один пароль для всего — то один уязвимый сервис и все пропало.</p> <p>Когда у вас есть алгоритм, то обычно его зрительно видно, когда пароль уйдет с 2-3 сайтов. Иногда алгоритмы дают сбой (изменился на пример логин на номер телефона).</p> <p>Запись на стикер — хорошо, когда у вас всего один ресурс которым вы пользуетесь, но при условии что ваш стикер никто не увидит. </p> <section style="background-color:hsl(hsl(24, 24%, var(--autocolor-background-lightness, 95%)), 85%, 85%);"> <p>Однажды на приеме у начальника одного из министерств внутренних дел по личному вопросу, автору сидя в кабинете довелось видеть приклеенный лист бумаги скотчем к монитору, с информацией которая явно не предназначалась для посторонних глаз.</p> </section> <p>С блокнотом возникает проблема в том, что у вас всегда он должен быть с собой, в него не должно быть возможности подсмотреть и вы его не должны терять.</p> <p>Запоминать все пароли — возможно будет лучшим способом (при условии что вы не передаете пароли) и при смене пароля вы всегда помните каждый новый пароль, но таких людей на свете не очень много.</p> <p>Простой файлик с паролями — в случае уязвимости компьютера отправит открытым текстом все ваши пароли злоумышленнику. В дополнение к этому, вам будет нужен генератор случайных паролей (человек не способен генерировать действительно случайные последовательности).</p> <p>Запароленный архив с паролями или Word/Excel-файл уже чуть лучше, но при открытии файла, пароль может быть увиден третьими лицами, осложняется возможность использовать на нескольких устройствах и есть вероятность взлома пароля к вашему файлу.</p> <h2>А сколько должно быть паролей?</h2> <p>По возможности: один ресурс — один пароль. Пароль существует в единственном виде среди всех остальных паролей в мире.</p> <p>При компрометации конкретного сервиса (сайта), вы получаете проблемы только на данном ресурсе.</p> <p>Но мы не человек дождя, и пароль нужно запоминать, поэтому используется специально программное обеспечение именуемое менеджером паролей.</p> <h2>Менеджер паролей</h2> <p>Менеджер паролей, это программа которая хранит все ваши пароли, вам в свою очередь необходимо помнить только один мастер пароль, который даст доступ ко всем остальным. Его мы запоминаем и нигде не записываем. Менеджер паролей в свою очередь хранит в зашифрованном состоянии все ваши пароли.</p> <p>В случае с менеджером паролей стоит позаботится о резервной копии ваших паролей (даже если они хранятся в облаках или у того, кто предоставляем вам данный сервис).</p> <p>Каким менеджером паролей пользоваться — выбор за вами, это может быть и стандартный от Apple в iCloud (уже лучше, чем один пароль на все) или скажем встроенный в браузер. </p> <section style="background-color:hsl(hsl(24, 24%, var(--autocolor-background-lightness, 95%)), 85%, 85%);"> <p>Автор c 2012 года пользуется 1Password, ранее бесплатным KeePass.</p> </section> <p>Но вопрос выбора – это вопрос ваших личных предпочтений и удобства в использовании и не более того. Если не знаете, что выбрать, то ищем сравнения тех или иных программ, ставим и смотрим зашло оно вам или нет (многие платные продукты предлагают тестовый период). Поставили, вносим туда пароль условно от своей почты, и чего-то ещё и наблюдаем на сколько удобно понятно и готовы вы на него тратить финансы или воспользоваться иным бесплатным.</p> <p>На что стоит обратить внимание при выборе программы:</p> <ul> <li>Возможность делать резервные копии. Не важно храните вы пароли локально, в дропбоксе, айклауде или в облаке менеджера паролей. Резервное копирование должно происходить автоматически (в какой-то момент вы забудете их делать). Не стоит полагаться, на облако которое дает автор программы. У всех может случится поломка и будет обидно потерять свои пароли. Стоит попробовать сделать копию и вынуть из неё пароли.</li> <li>Пароли должны хранится в зашифрованном виде и не быть доступны без ввода мастер пароля и не доступны</li> </ul> <h2>Типы паролей</h2> <p>Можно выделить несколько видов паролей и их использование:</p> <ul> <li>пин-коды, пароль который вводится на пример с клавиатуры телефона. При выборе пин-кода, всегда полагаемся на предлагаемый менеджером (никакие даты, номера документов использовать не стоит). Число символов выбираем максимальное возможное предлагаемое сервисом. Тут вы влиять мало на что можете. </li> <ul> <li>Если для ввода пин-кода используется телефонная панель, то можно использовать мнемоническую фразу или слово по цифрам на панели. Данный вариант имеет некоторые минусы, но позволяет проще запомнить код (подробнее что это в <a href="https://ru.wikipedia.org/wiki/%D0%A1%D0%BB%D0%BE%D0%B2%D0%BE-%D0%BD%D0%BE%D0%BC%D0%B5%D1%80" target="_blank">википедии</a>)</li> </ul> <li>случайный пароль — в целом вы получаете скажем набор случайных букв/цифр и символов. Пароль из 16 символов сегодня устойчив к взлому. Вариант становится не очень, когда вам нужно ввести его с джойстика или пульта ТВ (правильные сервисы предлагают на сайте ввести код с экрана в личном кабинете и автоматом авторизуют, но так делают далеко не все).</li> <li>парольные фразы — по сути это генерируются слова и записываются через некий разделитель. Разделителем может быть и определенный символ (скажем тире или точка, или любой другой), так и случайный символ (даже цифра), сами слова могут быть как полными, так и скажем случайно обрезанными. Слова могут быть написанны, как строчными буквами, так и заглавными в случайном порядке. В результате получается достаточно большой словарь и взломать такой пароль не менее реально, чем сложный пароль. Но при этом набирать его руками значительно проще, чем пароль из случайных символов (держите в голове одно слово и печатаете его).</li> <li>Биометрические пароли — отпечаток пальца / FaceID / радужка глаза и т. п. Как правило мы этими сервисами не пользуемся, но остается не большая, но вероятность ложного срабатывания и срабатывание против вашей воли (ребенок прикладывает палец спящего родителя к телефону, сотрудник гос служб настоятельно просит посмотреть в телефон). Данный вид пароля не хранится в вашем менеджере паролей, но может использоваться для доступу к нему (вместо пароля).</li> </ul> <h2>Второй фактор (2FA)</h2> <p>Не менее важной опцией сегодня является наличие двух факторной авторизации. Суть которой заключается в том, что когда введя пароль, сервис вас попросит подтвердить, что вы это действительно вы, дополнительным способом:</p> <ul> <li>отправив вам SMS/push уведомление/сообщение в месседжер или на почту</li> <li>сообщение с просьбой подтвердить вход в уже установленном приложении</li> <li>сообщением непосредственно на самом устройстве</li> <li>через одноразовый пароль (пароль генерируется каждые 30 секунд и обычно принимается приложением от 1 до 5 минут), часто бывает встроен в менеджер паролей или является отдельным приложением. </li> <li>физический токен — обычно требуется необходимостью установки дополнительного ПО.</li> </ul> <p>У каждого из способов есть свои плюсы и минусы, сейчас не будем об этом, но любой из способов не даст гарантированной защиты, и иногда может наоборот оказать помощь во взломе (скажем вы утратили телефон, а сервис предлагает восстановить пароль через СМС).</p> <p>Одноразовые пароли могут автоматически копироваться в буфер обмена если вы используете автозаполнение на сайте.</p> <h2>Кому я нужен?</h2> <p>Наверное это самая часто слышимая фраза при нежелании использовать менеджер паролей. Да, нужно принять некое усилие чтоб начать им пользоваться.</p> <p>Но не стоит забывать, что современные менеджеры паролей, могут знать, что ваш пароль содержится в базе утечек, сайт которым вы пользовались был взломан, после смены на нем вами пароля, а другой сайт, позволяет включить 2FA.</p> <p>Не нужно думать, что я никому не нужен, и меня никто ломать не будет. Сам взлом зачастую идет без целинаправленной атаки. Просто идет атака на всех подряд, и кто попадет под неё — тот попадет. Думать, про то, что вы никому не нужны и кто вам будет ломать за ваши 100 руб на карте? взломают и без намерения взламывать вас.</p> <p>Предположим, что вы не пользуетесь онлайн банками. Вам не жалко будет когда у вас утянут ваш инстаграмм/фейсбук аккаунт. И вообще живем, как живем.</p> <p>Но давайте вспомним, когда вы последний раз получали сообщение:</p> <section style="background-color:hsl(hsl(55, 86%, var(--autocolor-background-lightness, 95%)), 85%, 85%);"> <p><em>Друг, кинь сотку на карту/телефон?</em></p> </section> <p> и следом «<em>аккаунт был заблокирован</em>». Но следующий раз сообщение «друг, помоги» может внезапно отправится от вашего имени, и денег даже переведут (но не вам), и что дальше? вы будете возвращать «одолженные» (не вами), не будете отдавать или говорить «<em>сам дурак, что повелся</em>»?</p> <tt-tags> <tt-tag name="пароли">#пароли</tt-tag> </tt-tags> bibleonline:about2021-07-19T20:58:00.513Z2021-07-19T22:23:38.179Z

Этот сайт представляет наш взгляд на ситуацию связанную с безопасностью в сети и пользования ею. Используя информацию с сайта вы делаете это на свой страх и риск и самостоятельно отвечаете за все возможные последствия.

<p>Этот сайт представляет наш взгляд на ситуацию связанную с безопасностью в сети и пользования ею. Используя информацию с сайта вы делаете это на свой страх и риск и самостоятельно отвечаете за все возможные последствия.</p> <p>Причиной этого сайта, послужило желание написать ряд статей видя, как пострадали некоторые из наших братьев и сестер зачастую по своей собственной глупости (это не значит, что они глупы или мы в подобные ситуации не сможем попасть или не попадали, просто так случилось и многие из этих ситуаций можно было бы предотвратить).</p> <p>Во что мы верим можно ознакомится на странице <a href="https://bibleonline.ru/creed/" target="_blank">https://bibleonline.ru</a>/<a href="https://bibleonline.ru/creed/" target="_blank">creed/</a></p>