Менеджер паролей и ключи доступа (passkey): простое руководство

Менеджер паролей — это приложение, которое создаёт, хранит и подставляет отдельный надёжный пароль для каждого аккаунта, так что запомнить нужно лишь один. Вместе с ключами доступа (passkey), которые позволяют входить по лицу, отпечатку пальца или блокировке экрана вместо пароля, он устраняет главный повседневный риск — один и тот же пароль во многих местах.

Ваша почта, банк и соцсети защищены в основном паролями. Если один из них украдут, преступник сможет читать вашу переписку, сбрасывать пароли от других аккаунтов или тратить ваши деньги. Исправить это быстрее, чем кажется, и никаких технических навыков не нужно.

Почему главная опасность — повторное использование паролей

Многие боятся, что их пароль кто-то угадает. Но гораздо большая проблема — один пароль на несколько сайтов.

Когда сайт взламывают, списки адресов почты и паролей часто оказываются в открытом доступе. Злоумышленники с помощью автоматических программ пробуют эти же пары на множестве других сайтов: в почте, банках, интернет-магазинах. Это называется credential stuffing (подстановка учётных данных).

Если ваш пароль утёк из небольшого интернет-магазина, а вы использовали его и для почты, злоумышленник попадёт в вашу почту — а оттуда сможет сбросить пароли почти от всего остального.

Поэтому у каждого аккаунта должен быть свой пароль, а поскольку десятки паролей не запомнит никто, для этого и нужны менеджеры паролей.

Какой пароль сегодня считается надёжным

Длина важнее сложности. Длинный пароль угадать гораздо труднее, чем короткий, набитый символами.

• Используйте не меньше 12–16 символов, а для важных аккаунтов — больше.
• Попробуйте парольную фразу: четыре или больше случайных, не связанных между собой слова, например река-свеча-орбита-перец. Она длинная, её легко набирать и запоминать.
• Не используйте личные данные — имена, дни рождения, номера телефонов.
• Избегайте типичных шаблонов вроде «Password1!» или старого пароля с добавленным годом.
• Никогда не используйте пароль повторно. Надёжный пароль на десяти сайтах защищён ровно настолько, насколько защищён самый слабый из них.

Запомнить нужно лишь несколько: код разблокировки телефона, пароль от основной почты и мастер-пароль менеджера паролей.

Как работает менеджер паролей и с чего начать

Менеджер паролей хранит пароли в зашифрованном хранилище. Оно запирается одним мастер-паролем, а часто ещё и отпечатком пальца или лицом. Менеджер предлагает новые случайные пароли и подставляет сохранённые, но только на том настоящем сайте, для которого их сохранил, — это помогает защититься от поддельных страниц входа.

Выберите менеджер паролей

• Встроенный менеджер телефона или браузера. В iPhone, Android, Windows, macOS и популярных браузерах есть менеджер, который умеет создавать, сохранять и синхронизировать пароли. С него проще всего начать.
• Проверенный независимый менеджер паролей. Такие работают на разных платформах и в разных браузерах, что удобно, если у вас устройства разных производителей. Устанавливайте его только из App Store, Google Play или с официального сайта разработчика.

Настройте шаг за шагом

1. Придумайте один надёжный мастер-пароль — длинную парольную фразу, которую вы нигде раньше не использовали.
2. Включите двухфакторную аутентификацию для аккаунта, в котором хранятся пароли. Как это сделать, рассказывает наше руководство по двухфакторной аутентификации.
3. Настройте способы восстановления — ключ восстановления или доверенный контакт — и храните их в надёжном месте.
4. В ближайшие дни позволяйте менеджеру сохранять пароли при входе в аккаунты.
5. Сначала замените пароли в самых важных аккаунтах (почта, банк, мобильный оператор, соцсети) с помощью функции «Создать пароль». Достаточно нескольких аккаунтов в неделю.

Ключи доступа (passkey) простыми словами

Так что же такое ключ доступа? Passkey — это новый способ входа, который полностью заменяет пароль. Вы подтверждаете, что это вы, так же, как разблокируете телефон или компьютер: лицом, отпечатком пальца или ПИН-кодом.

«Под капотом» ваше устройство создаёт пару цифровых ключей. Сайт хранит только открытую часть. Закрытая часть остаётся защищённой на вашем устройстве или в менеджере паролей и никогда не отправляется на сайт. Это означает:

• С сайта нечего украсть. При утечке не утекает пароль, который можно использовать повторно.
• Защита от фишинга. Ключ доступа работает только на том настоящем сайте, для которого он создан, поэтому поддельная страница входа не сможет его выманить.
• Синхронизация между устройствами. Ключи, сохранённые во встроенном или независимом менеджере паролей, синхронизируются на другие ваши устройства, где выполнен вход в него.

Чтобы войти на компьютере, где нет вашего ключа, сайт может показать QR-код. Вы сканируете его телефоном и подтверждаете вход; телефон при этом должен находиться рядом.

Как перевести аккаунт на ключ доступа

1. Войдите в аккаунт как обычно и откройте настройки безопасности или входа.
2. Найдите пункт вроде «Ключи доступа» или «Создать ключ доступа».
3. Подтвердите лицом, отпечатком пальца или блокировкой экрана и выберите, где сохранить ключ.
4. Проверьте: выйдите из аккаунта и снова войдите с помощью ключа доступа.
5. Некоторые сервисы оставляют пароль как запасной вариант, поэтому убедитесь, что он по-прежнему надёжный и уникальный.

Ключи доступа поддерживают ещё не все сайты, поэтому используйте их там, где они есть, а для остальных — менеджер паролей.

Проверьте пароли на утечку

Встроенные менеджеры паролей в iPhone, Android и популярных браузерах, как и большинство независимых, умеют проверять пароли или дают рекомендации по безопасности. Они предупредят, если сохранённый пароль:

• встречался в известной утечке данных,
• используется в нескольких аккаунтах или
• слабый и легко угадывается.

Заглядывайте в этот раздел раз в несколько месяцев и исправляйте предупреждения, начиная с самых важных аккаунтов.

Что делать после утечки данных

Если сервис сообщил о взломе или проверка паролей выдала предупреждение, действуйте в таком порядке:

1. Смените пароль от этого аккаунта на новый, созданный менеджером паролей.
2. Смените его везде, где вы его повторяли. Именно здесь повторное использование наносит настоящий ущерб.
3. Включите двухфакторную аутентификацию или ключ доступа для этого аккаунта, если ещё не сделали этого.
4. Проверьте аккаунт на незнакомые устройства, правила пересылки почты и изменённые данные для восстановления.
5. Следите за банковскими выписками, если могли утечь платёжные данные, и свяжитесь с банком, если что-то выглядит подозрительно.
6. Будьте особенно осторожны с сообщениями. После утечек мошенники часто рассылают поддельные письма, SMS или QR-коды с «предупреждением о безопасности». Открывайте официальное приложение или вводите адрес вручную вместо перехода по ссылкам и прочитайте наш материал о фишинговых письмах с QR-кодом.

Короткий чек-лист

1. У каждого важного аккаунта свой уникальный пароль.
2. Основные пароли — длинные парольные фразы, а не короткие сложные слова.
3. Вы пользуетесь встроенным или проверенным независимым менеджером паролей.
4. Мастер-пароль надёжный и больше нигде не используется.
5. Способы восстановления доступа к менеджеру паролей хранятся в надёжном месте.
6. Почта и менеджер паролей защищены двухфакторной аутентификацией.
7. Ключи доступа включены в аккаунтах, которые их поддерживают.
8. Раз в несколько месяцев вы проверяете пароли на утечки.

FAQ

Безопасно ли хранить все пароли в одном менеджере паролей?

Да, для большинства людей это гораздо безопаснее, чем повторять пароли. Хранилище зашифровано и заперто мастер-паролем, поэтому хорошо защитите его и включите двухфакторную аутентификацию.

Что будет, если я забуду мастер-пароль?

Зависит от менеджера. Многие предлагают ключ восстановления или доверенный контакт — поэтому их и стоит настроить в первый же день.

Заменяют ли ключи доступа двухфакторную аутентификацию?

Ключ доступа уже сочетает два фактора: то, что у вас есть (устройство), и то, чем вы являетесь или что знаете (отпечаток пальца, лицо или ПИН-код). Поэтому многие сервисы считают вход по ключу доступа достаточно надёжным и без дополнительных шагов.

Что делать, если я потеряю телефон с ключами доступа?

Если ключи синхронизируются через менеджер паролей, они вернутся, когда вы войдёте в него на новом устройстве. Что ещё сделать при потере телефона, рассказывают наши советы по безопасности смартфона.

Уникальные пароли и ключи доступа предотвращают большинство взломов аккаунтов, поэтому настройте менеджер паролей на этой неделе, начав с почты. А когда придёт «предупреждение о безопасности» с QR-кодом, сначала проверьте, куда он на самом деле ведёт, с помощью бесплатного онлайн-сканера QR-кодов QR-TH.