Менеджеры паролей: Часть 1 — Зачем они нужны компании

Даже в небольшой компании десятки учётных записей: почта, облачные сервисы, CRM-система, рекламные кабинеты, банк-клиент, панели хостинга и регистратора домена. Когда паролей много, люди упрощают себе жизнь: придумывают короткие пароли, используют один и тот же пароль в разных сервисах, записывают их в таблицы и мессенджеры. Именно так чаще всего и происходят взломы.

В чём проблема

• Повторное использование паролей. Базы логинов и паролей, утёкшие из одного сервиса, злоумышленники автоматически проверяют на других. Если пароль повторяется, взлом одного сайта открывает доступ ко всем остальным.
• Слабые пароли. Запомнить десятки длинных случайных паролей невозможно, поэтому люди выбирают простые и предсказуемые.
• Пароли в открытом виде. Таблица с доступами на общем диске или сообщение в рабочем чате видны всем, у кого есть доступ к этому диску или чату, и остаются там годами.
• Неуправляемые доступы. Никто точно не знает, у кого из сотрудников и подрядчиков есть пароль от какого сервиса.

Что такое менеджер паролей

Менеджер паролей — программа или сервис, который хранит учётные данные в зашифрованном хранилище. Для доступа к хранилищу нужен один мастер-пароль. В распространённых менеджерах данные шифруются на устройстве пользователя, а сервер получает уже зашифрованную копию, поэтому поставщик сервиса не может прочитать содержимое хранилища. У такой схемы есть обратная сторона: забытый мастер-пароль восстановить нельзя, если заранее не настроен механизм восстановления.

Основные возможности

• Генерация паролей. Для каждого сервиса создаётся отдельный длинный случайный пароль.
• Автозаполнение. Логин и пароль подставляются на сайте или в приложении, пароль не нужно ни помнить, ни копировать.
• Синхронизация между устройствами. Хранилище доступно на компьютере, телефоне и в браузере.
• Коды двухфакторной аутентификации. Многие менеджеры умеют генерировать одноразовые коды (TOTP) для сервисов с двухфакторным входом.
• Проверка паролей. Менеджер показывает слабые, повторяющиеся и попавшие в известные утечки пароли.
• Безопасные заметки. В хранилище можно держать ключи API, данные банковских карт и другие секреты.

Менеджер паролей в компании

Общие доступы

В корпоративных менеджерах записи группируются в коллекции или общие папки, а доступ к ним выдаётся сотрудникам и группам. Например, маркетолог получает доступ к рекламным кабинетам ВКонтакте и Яндекс Директа, бухгалтер — к банк-клиенту и личному кабинету налоговой, разработчик — к панелям хостинга. Пароли больше не пересылаются в чатах, а список доступов каждого сотрудника виден администратору.

Скрытые пароли

Некоторые менеджеры позволяют выдать доступ так, чтобы сотрудник мог войти в сервис через автозаполнение, но не видел пароль в самом менеджере. Этой функцией стоит пользоваться, но понимать её пределы. Как пишут в Bitwarden, это не полноценная граница безопасности: при автозаполнении пароль всё равно передаётся в браузер, и после подстановки его можно увидеть в поле ввода на сайте. Скрытие пароля снижает случайное раскрытие, но не защищает от сотрудника, который хочет пароль узнать.

Увольнение сотрудника

Менеджер паролей заметно упрощает отключение доступа: сотрудника удаляют из организации, и он теряет доступ ко всем общим записям сразу. Однако пароли, которые он видел или мог получить через автозаполнение, после этого нужно сменить. Список таких сервисов менеджер показывает по коллекциям, к которым у сотрудника был доступ, так что смена паролей становится понятной и ограниченной задачей.

Журнал действий

В корпоративных тарифах менеджеры ведут журнал событий: кто открывал, изменял или экспортировал записи. Это помогает разбираться в инцидентах и проверять, что доступы используются по назначению.

Как внедрить менеджер паролей

1. Составьте перечень учётных записей компании. Сервисы, владельцы, кто пользуется и где сейчас хранится пароль.
2. Выберите решение. Облачный сервис проще запустить, собственный сервер даёт больше контроля над данными, но требует администрирования. Для российских компаний важно учесть и способ оплаты: картой российского банка оплатить зарубежный сервис нельзя.
3. Спроектируйте структуру. Коллекции по отделам или проектам, группы сотрудников, права на просмотр и изменение.
4. Защитите вход в сам менеджер. Длинный мастер-пароль и обязательная двухфакторная аутентификация для всех сотрудников.
5. Настройте восстановление доступа. Решите заранее, что будет, если сотрудник забудет мастер-пароль: в корпоративных тарифах для этого есть восстановление через администратора или доступ доверенного лица.
6. Перенесите пароли. Большинство менеджеров импортирует данные из браузеров и других менеджеров. После импорта удалите экспортированные файлы: в них пароли хранятся в открытом виде.
7. Смените слабые и повторяющиеся пароли по отчёту менеджера, начиная с почты, банка и панелей управления.
8. Закрепите порядок работы. Новые доступы создаются только в менеджере; при увольнении сотрудника — удаление из организации и смена паролей по его коллекциям.

Типичные ошибки

• Слабый мастер-пароль или отсутствие двухфакторного входа в сам менеджер: он становится единственной точкой взлома.
• Нет плана восстановления. Сотрудник забыл мастер-пароль — и доступ к данным потерян.
• Ставка на скрытые пароли вместо смены паролей при уходе сотрудника.
• Экспорт паролей в файл, который остался на диске или в почте после переноса.
• Параллельное хранение паролей в таблицах и чатах. Если менеджер не стал единственным местом хранения, он не решает проблему.

Облачный или собственный сервер

Менеджеры паролей делятся на облачные сервисы, где хранилище размещает поставщик, и решения, которые можно развернуть на своём сервере. Облачный вариант не требует администрирования; собственный сервер оставляет данные внутри компании и не зависит от возможности оплатить зарубежную подписку.