Менеджер паролей — программа, которая генерирует, хранит и автоматически подставляет уникальные пароли для каждого сайта и приложения, так что пользователю нужно помнить только один мастер-пароль. Это один из немногих инструментов приватности, о котором забывают на фоне разговоров про VPN и шифрование трафика, хотя именно повторно используемые слабые пароли остаются причиной значительной части взломов аккаунтов.
Зачем нужен менеджер паролей, если уже есть VPN
VPN шифрует канал связи между устройством и сервером — он не имеет отношения к тому, насколько предсказуем ваш пароль от почты или банковского приложения. Если один и тот же пароль используется на нескольких сайтах, утечка данных с любого из них (даже никак не связанного с VPN) даёт злоумышленнику ключ сразу от всех остальных аккаунтов через простой перебор по спискам утёкших паролей. Менеджер паролей решает именно эту задачу: генерирует длинный случайный пароль под каждый сервис отдельно.
Как устроено шифрование: zero-knowledge и мастер-пароль
У добросовестных менеджеров паролей архитектура называется zero-knowledge: все данные шифруются локально на устройстве ещё до отправки на сервер синхронизации, и сама компания-разработчик не может расшифровать хранилище пользователя, даже если получит официальный запрос от третьей стороны — у неё просто нет ключа. Ключом шифрования служит хеш мастер-пароля, который никогда не покидает устройство. Это тот же принцип, что лежит в основе честной no-logs политики VPN-провайдеров: не «мы обещаем не смотреть», а «у нас физически нет технической возможности посмотреть».
На что смотреть при выборе
- Независимый аудит безопасности — сторонняя компания должна была проверять именно архитектуру шифрования, а не только код приложения; принцип чтения таких отчётов тот же, что разбирался в статье про то, что означает независимый аудит VPN на самом деле.
- Поддержка двухфакторной аутентификации для входа в само хранилище — без неё компрометация мастер-пароля даёт доступ ко всем остальным паролям сразу.
- Кроссплатформенность — расширения для браузера и приложения для мобильных ОС должны синхронизироваться без ручного переноса.
- Функция проверки утёкших паролей — сверка хранимых паролей с базами известных утечек и предупреждение, если один из них уже скомпрометирован.
- Бесплатный тариф с реальными ограничениями, а не имитацией — часть сервисов ограничивает бесплатный доступ одним устройством, что стоит учитывать заранее.
Типичные ошибки при использовании
Самая частая ошибка — использовать простой или уже где-то засвеченный мастер-пароль: он один защищает всё хранилище целиком, поэтому именно к нему нужны самые строгие требования по длине и уникальности. Вторая ошибка — хранить пароли только в браузере вместо отдельного приложения: встроенные менеджеры браузеров обычно не проходят независимый аудит и не всегда используют полноценное zero-knowledge шифрование. Третья — не включать двухфакторную аутентификацию для самого менеджера, по той же логике, что описана в материале о двухфакторной аутентификации в VPN-аккаунте: один пароль не должен быть единственным барьером.
Менеджер паролей и VPN: как они дополняют друг друга
VPN и менеджер паролей закрывают разные уровни приватности и почти не пересекаются: один защищает канал передачи данных от провайдера и наблюдателей в сети, второй — сами учётные данные от компрометации при утечках баз данных сторонних сайтов. Часть антивирусных пакетов с тегом «в комплекте с антивирусом» продают VPN и менеджер паролей единой подпиской — это может быть удобно с точки зрения цены, но стоит отдельно проверить, что оба компонента внутри такого пакета проходили собственный независимый аудит, а не только общий бренд антивируса.
