Більшість людей не має двадцяти паролів. Має один улюблений у трьох варіантах — основа, основа зі знаком оклику та основа з роком — розсіяний по двадцяти сервісах. Це працює роками, рівно до миті, коли пароль витече з найслабшого місця: маленького інтернет-магазину, форуму, програми лояльності. Далі його автомати за кілька годин перевірять на вашій пошті, у банку й у соцмережах.
Менеджер паролів розриває цей ланцюг. Для кожного сервісу він тримає інший довгий пароль, а ви пам’ятаєте лише один. Питання не в тому, чи він вам потрібен, а який вибрати та як довести перехід до кінця.
Відповідь одразу: Для дому, який хоче якнайменше мороки, найрозумніший старт — Bitwarden: повноцінна безкоштовна версія, синхронізація між телефоном і комп’ютером, українська локалізація. Хто не хоче тримати паролі в жодній хмарі, візьме KeePassXC (сховище — звичайний файл у вас). Хто хоче найзручніші застосунки й сімейний доступ і кому не заважає передплата, вибере 1Password. Утім, важливіша за марку трійця кроків: сильний головний пароль у формі фрази, двофакторна автентифікація до самого сховища й доведена до кінця міграція — паролі з браузера перенести, там видалити, а збереження вимкнути.
Чому один пароль скрізь колись підведе
Зловмисник сьогодні не вгадує паролі у вашому банку. Він чекає, доки якийсь слабко захищений сервіс втратить базу користувачів, а витеклі комбінації е-мейл + пароль потім роботи масово перевіряють на великих сайтах. Це називається credential stuffing і саме тому «сильний» пароль, який використовують скрізь, не є сильним — його стійкість дорівнює стійкості найгірше захищеного сайту, де ви його колись увели.
Варіанти не рятують. Схеми на кшталт заміни року, знаку оклику в кінці чи літери, підміненої цифрою, атакувальні інструменти мають у базовому оснащенні. А е-мейл при цьому — генеральний ключ: хто ним заволодіє, через «забутий пароль» скине доступ до всього іншого. Що робити, коли до цього вже дійшло, ми описуємо в статті зламаний е-мейл: що робити — і, чесно кажучи, це значно клопіткіше читання, ніж цей текст про профілактику.
Другий шлях до ваших паролів веде через шахрайські сторінки. І тут менеджер паролів допомагає цілком практично: він заповнює вхід лише на домені, якому пароль належить. На підробці банку з адресою, що відрізняється на одну літеру, форма просто залишиться порожньою — і це часто перше й єдине попередження, яке ви отримаєте. Як розпізнати шахрайські повідомлення, розбираємо в статті фішинг: як його розпізнати.
Паролі в браузері: краще, ніж нічого, але межі є
Chrome, Edge і Firefox сьогодні паролі зберігають, генерують і синхронізують. Для багатьох це перший крок у правильному напрямку, і ми його аж ніяк не засуджуємо. Але має це межі, про які говорять мало.
| Паролі в браузері | Окремий менеджер | |
|---|---|---|
| Ціна | безкоштовно | від безкоштовного до передплати |
| Працює | лише в цьому браузері та його екосистемі | в усіх браузерах, застосунках і в телефоні |
| Замикання | розблокований профіль = розблоковані паролі | власний головний пароль, сховище замикається саме |
| Спільний доступ у родині | практично ні | спільні теки, аварійний доступ |
| Що вміщує | облікові дані для входу | ще й резервні коди, PIN-и, нотатки, картки, passkeys |
| Стійкість до шкідливого ПЗ у браузері | нижча — усе живе всередині браузера | вища — сховище стоїть окремо |
Останній рядок — найважливіший. Хто заволодіє вашим профілем у браузері — через зловмисне розширення, шкідливе ПЗ або просто сівши за розблокований комп’ютер — дістанеться й до паролів у ньому. Що непримітні розширення є реальним шляхом втратити паролі, ми описали в статті небезпечні розширення браузера. Окремий менеджер замикається власним паролем і сам замикається після кількох хвилин бездіяльності — це ще одна стіна, яку зловмисник має здолати.
Браузерні паролі мають сенс як тимчасове рішення для однієї людини з некритичними обліковими записами. Щойно йдеться про банк, робочі доступи чи спільне користування вдома, варто зробити крок далі.
Bitwarden, KeePassXC, 1Password: три вдачі
Немає сенсу порівнювати двадцять продуктів. Для дому і ФОП вибір на практиці зводиться до трьох імен із трьома різними вдачами.
Bitwarden — найрозумніший перший вибір. Безкоштовна версія не є демонстрацією на пробу: вона вміє необмежену кількість паролів і синхронізацію між комп’ютером, телефоном і планшетом. Це відкритий код, є українська мова, а платний сімейний варіант додає спільні колекції (домашній Wi-Fi, стримінгові сервіси, доступ до рахунку за енергію) та аварійний доступ для близької людини. Якщо не знаєте, починайте тут.
KeePassXC — вибір для тих, хто не хоче тримати паролі в жодній хмарі. Сховище — єдиний зашифрований файл на вашому диску, програма безкоштовна й працює цілком офлайн. Плата за незалежність: синхронізацію між пристроями розв’язуєте самі (файл переносите або кладете на власне сховище), а зручність помітно менша. Чудово для технічно вправних, дратівливо для решти родини.
1Password — найвідточеніший, але тільки платний. За передплату отримаєте найприємніші застосунки, продуманий сімейний доступ для кількох членів і стеження за витеклими паролями. Якщо менеджером має користуватися вся родина, зокрема ті, хто «не дружить із комп’ютерами», комфорт 1Password реально вирішує, чи витримають вони з ним.
Усі три сьогодні поряд із паролями зберігають і passkeys — вхід без пароля, який великі сервіси поступово впроваджують. Менеджер, придбаний цього року, пройде цей перехід разом із вами — за рік не доведеться починати спочатку.
Головний пароль: єдиний, який треба вивчити
Уся система стоїть на одному паролі, тож він заслуговує більше ніж хвилину роздумів. Найкраще працює фраза з чотирьох-п’яти непов’язаних слів — довга, але водночас така, що запам’ятовується і яку легко набрати навіть на телефоні. Це не має бути цитата, імена дітей чи будь-що, що ви вже десь використовували.
До цього дві запобіжні речі:
- Двофакторна автентифікація до самого сховища через застосунок у телефоні. Навіть якби хтось підглянув головний пароль, без другого фактора до сховища він не потрапить.
- Рятівний аркуш на папері: головний пароль і резервні коди, роздруковані та збережені вдома поза комп’ютером — і в ідеалі друга копія деінде, у батьків або на роботі в замкненій шухляді. Та сама логіка, що й у резервного копіювання за правилом 3-2-1: одна копія — це не копія.
Папір — не слабина, а запобіжник. Постачальник вашого головного пароля не знає й не відновить — саме тому йому можна довірити сховище. Коли 2022 року зловмисники викрали резервні копії сховищ компанії LastPass, між ними та вмістом у кожного користувача стояло одне: сила його головного пароля. Слабкі паролі впали, сильні фрази встояли. Оце й уся наука в одному реченні.
Перенесення паролів: план на один вечір
Найчастіша причина, чому перехід зривається, — не техніка, а незавершеність. Менеджер, встановлений «на пробу» поряд із увімкненим збереженням у браузері, створює подвійний облік, і за місяць людина повертається до старих звичок. Правильний порядок дій:
- Створіть сховище й налаштуйте головний пароль + двофакторну автентифікацію. Складіть рятівний аркуш просто зараз, а не «якось потім».
- Встановіть розширення в браузер і застосунок у телефон. Менеджером, який не заповнює поля сам, ніхто не користуватиметься.
- Експортуйте наявні паролі. У Chrome через Налаштування → Автозаповнення й паролі → Менеджер паролів Google → Налаштування → Експортувати паролі, в Edge через Налаштування → Профілі → Паролі, у Firefox через Паролі → Експортувати облікові дані.
- Імпортуйте файл до менеджера й одразу його видаліть — зокрема й з кошика. Експорт — це читабельний текст; лишити його лежати в Завантаженнях означає мати всі паролі в одному незахищеному файлі.
- Вимкніть збереження паролів у браузері та почистіть збережені там паролі. Відтепер існує єдине джерело правди.
- Замініть паролі до п’яти найважливіших облікових записів — е-мейл, банк, обліковий запис Google чи Microsoft, соцмережі. Дайте менеджеру згенерувати довгі випадкові паролі; вам не треба їх ані бачити, ані тим паче пам’ятати. Решту міняйте поступово, у міру того як заходитимете в облікові записи.
Розраховуйте на дві-три години спокійної роботи. А якщо це саме те завдання, яке ви вже пів року відкладаєте, або боїтеся, що під час перенесення щось собі заблокуєте — замовте це як послугу: пройдемо це з вами у вас удома або віддалено, разом із перенесенням паролів, налаштуванням телефону та роздрукуванням рятівного аркуша. Рахуємо по півгодинах, орієнтовно 1 200 Kč за годину роботи; повні тарифи знайдете в прайс-листі. Більшість домогосподарств має це залагоджене за одну зустріч.
Найчастіші побоювання — і що в них правда
«Усі яйця в одному кошику.» Тільки той кошик зашифрований, замкнений і охоронюваний другим фактором — тоді як один пароль скрізь — це двадцять кошиків без кришки. Ризик не додається, він переміщується з місць, які ви не контролюєте (бази чужих сайтів), до місця, яке контролюєте.
«Забуду головний пароль.» Для цього є рятівний аркуш, а в Bitwarden чи 1Password — аварійний доступ: заздалегідь визначаєте близьку людину, яка може попросити доступ, і якщо ви не відхилите запит у встановлений строк, сховище їй відкриється. До речі, це рішення й для ситуації, про яку ніхто не хоче думати — що буде з доступами, якби з вами щось сталося.
«А що, як зникне інтернет чи впаде сервіс?» Застосунок тримає зашифровану копію сховища у пристрої, до паролів дістанетеся й офлайн. У KeePassXC офлайнова робота — узагалі суть рішення.
«Батьки цього не подужають.» Насправді навпаки: заповнення одним кліком простіше, ніж пригадування й переписування. Найважчий — перший вечір, тому ми й пропонуємо це як послугу.
Для ФОП і малих фірм: паролі — не приватна справа
У малій фірмі ситуація з паролями зазвичай іще гостріша: таблиця hesla.xlsx на спільному диску, один пароль до пошти, банку й бухгалтерської системи, і колишній підробітник, який його досі знає. Менеджер паролів із командним доступом розв’язує це системно — кожен має власне сховище, спільні доступи живуть у спільній колекції, а коли людина йде, прибирають її обліковий запис, а не міняють тридцять паролів по одному.
Запровадження менеджера — один із семи кроків, які описуємо в статті захист комп’ютерів малої фірми. А якщо спершу хочете знати, де саме ви стоїте, зробимо ІТ-аудит — пройдемо облікові записи, паролі, резервні копії й шифрування, і ви отримаєте письмовий висновок із пріоритетами; для малої фірми приблизно до десяти пристроїв орієнтовно від 3 600 Kč.
Один пароль скрізь — це звичка, а не рішення. Рішення — це сьогоднішній вечір, і це одна з небагатьох речей в ІТ-безпеці, яку зробите один раз, а служить вона роками.