У вересні Google представила новий механізм для користувачів Android, які хочуть перейти з одного менеджера паролів на інший. Тепер паролі та ключі доступу passkey можна переносити без проміжного експорту в незашифрований файл. За інформацією компанії, передавання відбувається безпосередньо між сумісними менеджерами за кілька кроків.
Нововведення вирішує проблему, з якою раніше стикалися користувачі під час зміни сервісу для зберігання паролів. Для перенесення облікових даних часто доводилося експортувати всю базу у файл, який міг містити логіни, паролі та адреси сайтів у відкритому вигляді.
Якщо після імпорту такий документ залишався в папці «Завантаження», резервній копії або хмарному сховищі, сторонні особи, які отримали до нього доступ, могли скористатися збереженими обліковими даними.
Чому CSV із паролями небезпечнийФормат CSV сам по собі не є небезпечним. Проблема полягає в тому, як у ньому зберігається інформація.
Під час традиційного експорту менеджер паролів міг створювати звичайний файл, який відкривається текстовим редактором або програмою для роботи з таблицями.
У такому разі дані вже не захищені шифруванням самого менеджера.
Якщо комп’ютер або телефон заражений шкідливим програмним забезпеченням, такий файл може стати легкою ціллю для зловмисників. Небезпека залишається навіть після завершення перенесення, якщо користувач забув видалити експортовану копію.
Що змінила GoogleНовий механізм Android передбачає пряме передавання облікових даних між сумісними менеджерами паролів.
Користувачеві більше не потрібно вручну створювати файл, шукати його в пам’яті телефону та завантажувати до іншого застосунку. Це зменшує кількість ситуацій, коли конфіденційна інформація зберігається поза захищеним сховищем.
Ще одна зміна стосується passkey. Раніше ключі доступу були значно сильніше прив’язані до конкретного менеджера. Під час переходу до іншого сервісу їх часто доводилося створювати заново на кожному сайті.
Новий підхід має спростити зміну постачальника послуг зі зберігання облікових даних і зменшити залежність користувачів від одного сервісу.
Що таке passkeyPasskey, або ключ доступу, — сучасна альтернатива традиційному паролю. Замість введення комбінації символів користувач підтверджує вхід на пристрої,
наприклад за допомогою відбитка пальця, розпізнавання обличчя або PIN-коду.
Технологія базується на криптографічній парі ключів. Сайт не отримує секретного ключа, який можна просто викрасти з бази даних і використати на іншому пристрої так само, як звичайний пароль.
Passkey також забезпечує кращий захист від фішингу, коли користувач випадково вводить облікові дані на підробленій сторінці.
Чи означає це, що паролі більше не потрібніПоки що ні. Не всі сайти та сервіси підтримують ключі доступу, тому протягом певного часу більшість людей використовуватимуть і passkey, і звичайні паролі.
Саме тому менеджер паролів залишається корисним інструментом. Він дає змогу генерувати довгі унікальні комбінації та не запам’ятовувати десятки різних паролів.
Найбільший ризик виникає, коли людина використовує одну й ту саму комбінацію для електронної пошти, соціальних мереж, інтернет-магазинів та інших сервісів. Якщо на одному із сайтів станеться витік даних, зловмисники можуть спробувати використати викрадений пароль для входу до інших облікових записів.
Яким повинен бути головний пароль
Менеджер паролів позбавляє потреби запам’ятовувати десятки комбінацій, але водночас потребує створення одного особливо важливого пароля — головного, який захищає саме сховище.
Він має бути унікальним і не використовуватися в інших сервісах. Для цього доцільніше обирати довгу комбінацію, яку легко запам’ятати, ніж коротке слово з кількома передбачуваними замінами символів.
Якщо менеджер підтримує багатофакторну автентифікацію, її варто ввімкнути. Особливу увагу слід приділити захисту електронної пошти, адже через неї часто можна відновити доступ до інших облікових записів.
Чи варто змінювати всі паролі регулярноЗмінювати кожен пароль раз на місяць без конкретної причини зазвичай не потрібно. Значно важливіше, щоб для кожного сервісу використовувалася унікальна комбінація.
Пароль необхідно змінити, якщо є підозра на його компрометацію, сервіс повідомив про витік даних або облікові дані випадково стали відомі сторонній людині.
Менеджер також може попереджати про повторно використані чи слабкі паролі. У такому разі варто починати з найважливіших облікових записів: електронної пошти, банківських і фінансових сервісів, хмарних сховищ та соціальних мереж.
Що робити зі старим CSV-файломЯкщо ви раніше переносили паролі за допомогою експорту, перевірте, чи не залишився відповідний файл на пристрої.
Пошукайте в папках «Завантаження», «Документи» та хмарному сховищі файли, назви яких містять слова passwords, export або назву попереднього менеджера паролів.
Перед видаленням переконайтеся, що нове сховище справді містить усі потрібні записи.
Нова функція Android не забезпечує автоматичного захисту від усіх кіберзагроз. Водночас вона усуває один із ризиків, пов’язаних зі зміною менеджера паролів, — необхідність створювати незашифрований файл з усіма обліковими даними для їх подальшого перенесення.
