Сложные пароли: где выход?

Скаждым днем растет популярность всевозможных онлайн-служб: социальных сетей, удаленных банковских услуг, видео­хостингов, торрент-трекеров и т. д. По данным компании Microsoft, любой пользователь сегодня задействует от 8 до 25 служб, в большинстве которых реализована парольная аутентификация. К сожалению, она не всегда выручает, ведь наиболее популярны простые, легко запоминающиеся пароли, которые часто используются для нескольких служб одновременно. Да еще и через функцию автосохранения в браузерах. При этом однажды созданные пароли иногда не меняются годами!

Многие помнят инцидент с массовой кражей учетных записей социальной сети vkontakte.ru весной 2009 года. Тогда базу взломанных учетных записей и паролей можно было легко загрузить из Интернета. Проведя небольшой эксперимент, я через месяц после появления базы в открытом доступе наугад взял десяток учетных записей и попытался зайти на сайт «В контакте». Думаю, никого не удивит, что в 9 случаях из 10 мне это удалось.

Что же делать? Как убедить беспечных пользователей применять надежные пароли? Здесь на помощь могут прийти специальные программы — менеджеры паролей. В этой статье мы рассмотрим два продукта из ряда подобного программного обеспечения — Kaspersky Password Manager для компьютеров и SPB Wallet для коммуникаторов под Windows Mobile.

Kaspersky Password Manager

Данное программное обеспечение появилось сравнительно недавно, однако, на мой взгляд, вполне стоит того, чтобы к нему приглядеться. Установка продукта выполняется весьма быстро, потому останавливаться на ней подробно я не вижу смысла. Основные функции Kaspersky Password Manager (KPM) следующие:

• отслеживание действий программ с паролями;
• предотвращение краж персональной информации;
• хранение паролей;
• поиск учетных записей, паролей, имен пользователей и другой персональной информации в базе паролей;
• восстановление базы паролей из резервной копии;
• генерация устойчивых паролей при регистрации новых учетных записей;
• защита паролей от несанкционированного доступа.

Список поддерживаемых браузеров: Microsoft Internet Explorer, Mozilla Firefox, Avant Browser, Green Browser, Crazy Browser, Enigma Browser, Maxthon 2, Flock, Seamonkey.

Как видите, в данном списке присутствуют не только распространенные IE и Firefox, но и редкий для нашей страны Seamonkey.

Мастер настройки приложения

При первом запуске программы вам будет предложено воспользоваться мастером установки приложения. В ходе настройки можно создать мастер-пароль, установить уровень доступа к программе и настроить параметры защиты данных.

Создавая мастер-пароль, учтите, что от его стойкости будут зависеть все ваши пароли, поэтому не стесняйтесь использовать цифры, символы, заглавные и строчные буквы (экран 1).

Учтите, что в случае утраты мастер-пароля вы не сможете получить доступ к базе данных паролей!

На следующем шаге можно выбрать способ доступа к базе паролей:

• защита паролем — информация из базы паролей доступна только после ввода мастер-пароля;
• USB-устройство — доступ к базе паролей возможен, если устройство подключено к компьютеру;
• Bluetooth-устройство — доступ к базе паролей возможен, если установлено соединение между компьютером и выбранным Bluetooth-устройством (например, мобильным телефоном).

Для повышения безопасности и защиты от программ, записывающих нажатия клавиш, «Лаборатория Касперского» рекомендует воспользоваться виртуальной клавиатурой.

В случае если компьютер не используется дольше заданного пользователем на этапе настройки времени, он будет заблокирован.

После настройки продукт готов к работе. При открытии Internet Explorer в верхней строке добавится кнопка быстрого доступа к KPM (экран 2).

При открытии страницы, на которой требуется авторизация, появляется окно, показанное на экране 3.

После установки можно настроить программное обеспечение, в частности выбрать алгоритм шифрования. По умолчанию задан RC4, однако я при установке выбрал AES 256. В том же разделе можно задать интервал времени простоя, после которого KPM будет автоматически заблокирован. По умолчанию данный интервал равен 10 минутам.

Итак, мы можем использовать данный менеджер для хранения имен и паролей к различным интернет-ресурсам.

Визитная карточка

Если нужно сохранить другую информацию (например, на некоторых сайтах требуют ввести имя, фамилию, дату рождения и т. д.), то в этом случае в KPM можно создать так называемую визитную карточку. Для этого в контекстном меню программы выберите «Менеджер паролей» (экран 4). Рекомендую хранить несколько визитных карточек, если вы хотите разделить деловую и частную информацию.

Выберите «Мои визитки» и в контекстном меню — «Добавить визитку» (экран 5).

Таким образом вы сможете создать несколько визиток. Однако самой интересной функцией, на мой взгляд, является возможность создать переносную версию менеджера паролей. При этом на USB-­флэшке вам потребуется порядка 8 Мбайт.

При использовании переносной версии, как только съемное устройство будет подключено к общедоступному компьютеру, Kaspersky Password Manager автоматически запустится. Персональные данные надежно защищены, поскольку переносная версия не требует предварительной установки или настройки параметров. Как только съемный носитель будет отключен, Kaspersky Password Manager автоматически закроется, и на общедоступном компьютере не останется ваших данных.

Переносная версия будет создана на USB-флэшке в папке Kaspersky Password Manager. Для запуска переносной версии запустите файл spPortableRun.exe. При этом будет установлен подключаемый модуль к вашему браузеру. Дальнейшая работа ничем не отличается от обычной версии.

Вместе с тем хотелось бы рассказать еще о двух весьма примечательных удобствах. Вы можете создать связь между запуском Kaspersky Password Manager и USB-флэшкой. При этом ваш менеджер паролей будет запускаться только тогда, когда будет вставлена конкретная флэшка или установлено Bluetooth-соединение и когда в качестве устройства для опознавания будет использоваться ваш телефон с Bluetooth.

У данной программы существует еще много различных возможностей, таких как генератор паролей, возможность импорта/экспорта баз паролей и т. д. Однако рассмотреть их все в пределах одной статьи просто невозможно. Самое главное, что я вынес из знакомства с этим ПО:

• теперь не надо запоминать сложные пароли для каждого ресурса;
• необходимо регулярно сохранять базу парольного менеджера, ведь тогда безопасность доступа к каждому сервису вырастет, а шансы потерять пароли будут близки к нулю.

SPB Wallet

Данную программу сложно назвать менеджером паролей. Скорее это полноценное хранилище конфиденциальной информации. Электронный кошелек, в котором можно хранить как пароли к сайтам, так и данные кредитной карты. Тем более что содержимое кошелька зашифровано с помощью AES 256. Какие же еще возможности может нам предоставить этот продукт?

• Надежный алгоритм шифрования AES.
• Автоматическая блокировка электронного кошелька.
• Панель ввода, защищающая пароль от автоматических программ-считывателей паролей.
• Возможность автоматической очистки содержимого буфера памяти при закрытии кошелька.

Однако перейдем непосредственно к знакомству. Процесс установки не вызывает никаких сложностей. Вначале предлагается выбрать операционную систему, под которой работает ваш телефон. В моем случае это было устройство с Windows Mobile 6.1.

После окончания процесса установки вы можете начать собственно настройку своего электронного кошелька. Учтите, что система может вести несколько подобных кошельков, что, естественно, весьма удобно, так как в одном вы можете хранить, например, рабочие данные, а в другом — персональные.

Создание нового электронного кошелька

Электронный кошелек создается при первом же запуске программы (экран 6).

Если же пользователю нужен еще один кошелек, создать его можно из меню «Файл». По умолчанию используется папка Мои документы/Spb Wallet. При создании кошелька требуется задать пароль. Учтите, что безопасность ваших данных будет зависеть от стойкости пароля. Вы можете задать символы, которые будут использоваться при наборе пароля с помощью параметра реестра с именем LogonPanelABCMode в разделе HKEY_CURRENT_USER

SoftwareSpb Software HouseSpb Wallet. Для этого укажите в данном параметре желаемый список символов, разделяя их запятыми.

Для входа в кошелек необходимо набрать заданный вами пароль к нему (экран 7).

После ввода пароля вы попадаете на экран своего кошелька (экран 8).

Соответственно далее вы выбираете тип записи. В частности, выбрав «Компьютерные», вы можете вручную задать имя сайта и требуемую авторизацию (экран 9).

Аналогично вы можете задать данные своих платежных карт (экран 10).

При этом можно использовать различные шаблоны кредитных карт. Аналогично можно ввести данные паспорта и т. д.

В разделе «Настройки» вы можете изменить настройки безопасности, после которых ваш кошелек будет закрыт. В случае если вы захотите использовать для настройки или просмотра сведений свой компьютер, потребуется ввести ваш пароль доступа при помощи экранной клавиатуры (экран 11).

Надо отметить, что, хотя такой способ ввода символов безопаснее, чем ввод пароля с клавиатуры, существует возможность написания троянской программы, которая будет отслеживать координаты нажатий мышки на экране. Сопоставляя полученные данные с координатами окна, несложно вычислить, какие символы были набраны.

После этого вы попадаете в главное окно программы (экран 12).

Несмотря на то что в обеих программах можно хранить пароли к интернет-сайтам, их функции принципиально различаются. SPB Wallet является прежде всего защищенным хранилищем для коммуникаторов (смартфонов), а Kaspersky Password Manager представляет собой именно менеджер паролей.

Стоит отметить, что использование программ подобного класса не только возможно, но и очень желательно, особенно для бизнеса, ведь они обеспечивают надежность хранения конфиденциальных данных. Кроме того, эти решения повышают производительность работы системных администраторов, так как им придется реже отвлекаться на смену пользовательских паролей, что не может не радовать!

Владимир Безмалый (vladb@windowslive.com) — специалист по обеспечению безопасности, MVP Consumer Security, Microsoft Security Trusted Advisоr