Менеджер паролей в яндексе. Protect: шифрование паролей

Александр Шихов , 27.09.2018 (17.10.2018 )

Доверяя пароли от сайтов Яндекс.Браузеру, мы делаем жизнь проще. Стоит включить синхронизацию, и на всех устройствах (компьютере, ноутбуке, телефоне) секретные поля будут заполняться автоматически. В то же время в такой системе есть слабое место. Тот, кто запустит Яндекс.Браузер на компьютере после вас автоматически получает доступ и к сохраненным паролям. Как этого можно избежать - в нашей статье.

Что такое мастер-пароль в Яндекс.Браузере

Мастер-пароль по сути является ключом к вашей базе личных данных. Нужен он чтобы исключить возможность автоматического заполнения полей логина и пароля на сайтах, в социальных сетях и почтовых сервисах. Даже если вы оставите браузер открытым, злоумышленник не сможет этим воспользоваться. Внешняя программа прочитать базу ключей не сможет, так как она зашифрована.

Мастер-пароль поможет обеспечить безопасность, если несколько пользователей используют один компьютер. Браузер позволяет быстро переключаться между разными профилями. Пароль от аккаунта при этом не запрашивается.

Как настроить мастер-пароль

Откройте меню настроек (кнопка с тремя горизонтальными полосками в правом углу окна браузера). Выберите раздел Менеджер паролей.

В появившемся меню нажмите Настройки, Создать мастер-пароль.

Может потребоваться ввод пароля от учетной записи Windows, под которой вы вошли на ПК. Это помогает исключить ситуацию со случайным включением режима другим пользователем, который авторизовался в браузере под вашим именем. , который легко запоминается, рассказано в одной из наших статей.

Если не уверены, что запомните кодовое слово навсегда, выберите опцию Включить возможность сброса. Так вы всегда сможете отключить или изменить его при необходимости.

После включения режима Мастер пароля он начинает работать на всех устройствах, где вы используете синхронизацию Яндекс.Браузера. При попытке воспользоваться автозаполнением секретных полей возникает такой запрос.

Степень жесткости политики безопасности и частоту запросов вы определяете в настройке.

Стоит отметить, что при использовании браузера на чужом компьютере лучшим способом обеспечения безопасности данных остается выход из своего аккаунта.

Злоумышленники пытаются украсть пароли, чтобы получить доступ к личным данным пользователей или их электронным кошелькам. Если пароли хранятся в зашифрованном виде, то даже украв базу данных паролей, хакер не сможет ими воспользоваться. Чем лучше шифрование паролей, тем безопаснее ваше пребывание в интернете.

1. Шифрование паролей в браузере
2. Мастер-пароль
3. Запасной ключ шифрования

Шифрование паролей в браузере

Хранилище паролей шифруется с помощью алгоритма AES-256-GCM с использованием ключа . Алгоритм AES-256 считается надежным, агентство национальной безопасности США рекомендует его для защиты сведений, составляющих государственную тайну уровня Top Secret.

Но даже самый сложный алгоритм шифрования не защитит ваши пароли, если хакер узнает ключ шифрования. Мастер-пароль позволяет вам поставить на ключ шифрования мощную защиту.

• С мастер-паролем
• Без мастер-пароля

Мастер-пароль хранится только у вас в памяти и не может быть украден. С мастер-паролем вы можете не бояться:

• кражи хранилища паролей с компьютера ;
• потери паролей из-за изъятия или утери компьютера ;
• хранения синхронизированного хранилища на сервере Яндекса (шифрование организовано так, что даже Яндекс не сможет расшифровать ваши пароли).

Этот вариант защиты менее надежен, потому что:

• Любой человек, открыв Яндекс.Браузер на вашем компьютере , сможет легко просмотреть пароли в менеджере .
• Ключ шифрования защищается средствами операционной системы, а не мастер-паролем. Получив доступ к , хакеры могут украсть и расшифровать ваши пароли.
• При синхронизации Яндекс может получить доступ к паролям.

Мастер-пароль

Мастер-пароль обеспечивает дополнительную степень безопасности вашим паролям. После того как вы создадите мастер-пароль, браузер будет запрашивать его при попытке открыть хранилище паролей или подставить ранее сохраненный пароль от сайта в форму авторизации.

Вместо огромного количества паролей от сайтов вам достаточно будет запомнить всего один мастер-пароль. При этом пароли от сайтов будут лучше защищены. Доступ к хранилищу блокируется мастер-паролем, который невозможно украсть, так как он хранится только в вашей памяти.

1. Создать мастер-пароль
2. Изменить мастер-пароль
3. Удалить мастер-пароль
4. Частота запроса мастер-пароля
5. Если вы забыли мастер-пароль

Создать мастер-пароль

Примечание. Если у вас включена синхронизация, сразу же после создания мастер-пароля обновите Яндекс.Браузер на всех устройствах, где вы им пользуетесь. В противном случае браузер не сможет синхронизировать пароли.

Изменить мастер-пароль

Удалить мастер-пароль

Частота запроса мастер-пароля

Браузер запрашивает мастер-пароль при сохранении новых паролей, автоматической подстановке паролей в формы авторизации, а также при попытках открыть хранилище паролей. Вы можете отрегулировать частоту запроса мастер-пароля браузером:

Вы также можете отключить запрос мастер-пароля. Для этого отключите опцию Запрашивать мастер-пароль для доступа к паролям . В результате браузер перестанет запрашивать мастер-пароль для доступа к хранилищу паролей. При этом:

• Мастер-пароль не удаляется, а записывается в базу данных в зашифрованном виде. Ключ шифрования сохраняется на компьютере и защищается средствами операционной системы.
• Сохраненные ранее пароли остаются зашифрованными мастер-паролем. При сохранении нового пароля или расшифровке старого браузер использует старый мастер-пароль, не запрашивая его у пользователя.
• В процессе синхронизации все пароли отправляются на другие устройства в зашифрованном виде. На других устройствах эти пароли будут подставляться в формы авторизации, и для их расшифровки вам потребуется ввести мастер-пароль.
• Отключать запрос мастер-пароля на каждом из ваших устройств придется вручную. Так сделано из соображений безопасности - чтобы, например, пароли на устройстве, к которому имеет доступ кто-то посторонний, не стали ему доступны без вашего ведома.

Если вы забыли мастер-пароль

Если вы забыли мастер-пароль и у вас есть запасной ключ шифрования :

1. В форме ввода мастер-пароля нажмите кнопку Не помню пароль .
2. В открывшемся диалоговом окне установите переключатель в положение Сбросить мастер-пароль . Нажмите кнопку Продолжить .
3. Введите новый мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные , но легко запоминаемые пароли.
4. Введите новый мастер-пароль еще раз для подтверждения. Нажмите кнопку Продолжить .
5. На странице Яндекс.Паспорта введите пароль вашей учетной записи на Яндексе.
6. После этого мастер-пароль обновится, а все пароли в хранилище будут перешифрованы.

Если вы забыли мастер-пароль и запасного ключа шифрования у вас нет, браузер не сможет восстановить ваши пароли. Он перестанет их подставлять в формы авторизации, и вы не сможете просмотреть их в менеджере . Вам останется только удалить все пароли вместе с ключом шифрования. При этом, если вы используете пароль для вашей учетной записи на компьютере, его надо будет ввести, чтобы подтвердить права на удаление паролей.

Запасной ключ шифрования

Чтобы сбросить мастер-пароль, помимо запасного ключа, вам потребуется специальный файл. Он автоматически создается при первом вводе мастер-пароля и хранится локально. Поэтому даже Яндекс не может расшифровать ваши пароли.

В процессе восстановления доступа вы должны будете ввести пароль от вашего аккаунта на Яндексе. Вероятность того, что злоумышленник сумеет одновременно украсть ключ с сервера, файл с устройства и пароль от аккаунта на Яндексе, низка.

Чтобы создать запасной ключ шифрования:

Браузер сообщит о том, что создан запасной ключ шифрования.

Чтобы удалить запасной ключ шифрования, в настройках менеджера паролей нажмите ссылку Выключить возможность сброса мастер-пароля .

Как ни странно, но только 1% пользователей браузера используют специализированные расширения для хранения паролей (LastPass, KeePass, 1Password, ...). Безопасность паролей всех остальных пользователей зависит от браузера. Cегодня мы расскажем читателям Хабрахабра, почему наша команда отказалась от архитектуры защиты паролей из проекта Chromium и как разработала собственный менеджер паролей, который уже тестируется в бете. Вы также узнаете, как мы решили проблему сброса мастер-пароля без расшифровки самих паролей.

С точки зрения безопасности, на каждом сайта рекомендуется использовать свой уникальный пароль. Если злоумышленники украдут один пароль, то только к одному сайту они и получат доступ. Проблема в том, что запомнить десятки надёжных паролей очень сложно. Кто-то честно придумывает новые пароли и записывает их руками в блокнот (а потом теряет вместе с ним же), другие – используют один и тот же пароль на всех сайтах. Трудно сказать, какой из этих вариантов хуже. Решением проблемы для миллионов обычных пользователей может быть встроенный в браузер менеджер паролей, но его эффективность зависит от того, насколько он прост и надёжен. И в этих вопросах у предыдущего решения были пробелы, о которых мы и расскажем ниже.

Почему мы создаем новый менеджер паролей?

В текущей реализации менеджера паролей для Windows, унаследованной из Chromium, сохранённые пароли защищены браузером достаточно просто. Они зашифрованы средствами операционной системы (к примеру, на Windows 7 используется функция CryptProtectData, основанная на алгоритме AES), но хранятся не в изолированной области, а просто в папке профиля. Казалось бы, в этом нет проблемы, ведь данные зашифрованы, но ключ для расшифровки тоже хранится в операционной системе. Любая программа на компьютере может перейти в папку профиля браузера, взять ключ, локально расшифровать пароли, отправить их на сторонний сервер, и никто этого не заметит.

А ещё многие пользователи хотели бы, чтобы случайный человек, не обладающий специальной подготовкой, но получивший кратковременный доступ к браузеру (например, родственник или коллега по работе), не смог авторизоваться на важных сайтах с помощью сохранённых паролей.

Обе эти проблемы решаются с помощью мастер-пароля, которым защищаются данные, но который нигде не хранится. И это стало нашим первым требованием к новой архитектуре хранения паролей в Яндекс.Браузере. Но не единственным.

Каким бы безопасным ни был новый менеджер паролей, его популярность зависит от того, насколько просто им пользоваться. Напомним, что те же 1Password, KeePass и LastPass даже в сумме используют не более процента пользователей (хотя LastPass мы предлагаем в нашем встроенном каталоге дополнений). Или другой пример. Вот так в старой реализации Браузер предлагает сохранить пароль:

Опытные пользователи или согласятся, или откажутся, или сделают хоть что-то с этим уведомлением. Но в 80% случаев его просто не замечают. Многие пользователи даже не знают, что в браузере можно сохранять пароли.

Отдельно стоит сказать про функциональность. Сейчас даже добраться до списка своих паролей не так уж и просто. Нужно открыть меню, кликнуть по настройкам, перейти в дополнительные настройки, найти там кнопку управления паролями. И только тогда человек получит доступ к примитивному списку аккаунтов, которые нельзя отсортировать по логину, нельзя добавить текстовое примечание, отредактировать тоже нельзя. К тому же менеджер паролей должен помогать придумывать новые пароли.

И ещё кое-что. Для нас было важно, чтобы новая архитектура соответствовала принципу Керкгоффса, то есть, чтобы её надежность не зависела от знаний злоумышленников о применяемых алгоритмах. Криптосистема должна оставаться безопасной даже в том случае, когда им известно всё, кроме применяемых ключей.

Почему мы не взяли готовое решение?

Существуют продукты с открытым исходным кодом, которые поддерживают мастер-пароль и расширенную функциональность. Их можно было бы интегрировать в браузер, но они нам не подошли по ряду причин.

В первую очередь на ум приходит KeePass. Но его хранилище зашифровано целиком, а у нас в Браузере синхронизация работает построчно. А значит, надо либо спрашивать мастер-пароль при каждой синхронизации, либо шифровать записи раздельно. Второй вариант добрее к пользователям. Более того, для массового продукта важно, чтобы пользователь знал о возможности подставить сохранённый пароль до разблокировки базы мастер-паролем, поэтому часть информации должна оставаться незашифрованной.

У специализированных дополнений для работы с паролями есть возможность сбросить мастер-пароль, если пользователь его забыл. Но для этого нужно скачать, спрятать и не потерять резервный код или файл. Это нормально, когда речь идет об опытных пользователях, но это сложно для всех остальных. Поэтому нам нужно было придумать альтернативное решение. Спойлер: в итоге нам удалось найти решение, при котором мастер-пароль сбросить можно, но даже Яндекс не сможет получить доступ к базе. Но об этом чуть позже.

А ещё любое стороннее решение в любом случае пришлось бы серьезно дорабатывать, чтобы нативно интегрировать в браузер (переписать на C++ и Java) и сделать его достаточно простым для пользователей (полностью заменить весь интерфейс). Как бы удивительно это ни звучало, но написать новую архитектуру хранения и шифрования паролей проще, чем сделать всё остальное. Поэтому логичнее не пытаться связать два изначально несовместимых продукта в один, а доработать свой.

Новая архитектура с использованием мастер-пароля

В хранении самих записей нет ничего необычного. Мы используем надежный и быстрый алгоритм AES-256-GCM для шифрования паролей и примечаний, адреса и логины не шифруем для удобства применения, но подписываем для защиты от подмены. Похожим образом устроена схема хранилища в том же 1Password.

Самое интересное – это защита 256-битного ключа encKey, который необходим для расшифровки паролей. Это ключевой момент безопасности паролей. Если злоумышленник узнает этот ключ, то легко взломает всё хранилище независимо от сложности алгоритма шифрования. Поэтому защита ключа основана на следующих базовых принципах:

– Доступ к ключу шифрования блокируется мастер-паролем, который нигде не хранится.
– Ключ шифрования не должен быть математически связан с мастер-паролем.

В простых сервисах и приложениях ключ шифрования получают путем хэширования мастер-пароля, чтобы хоть так замедлить атаку перебором. Но математическая зависимость ключа от мастер-пароля всё же упрощает взлом, скорость которого в этом случае зависит лишь от надежности хэширования. Применение ферм из заточенных на взлом ASIC-процессоров сейчас уже не редкость. Поэтому в нашем случае ключ encKey не является производным от мастер-пароля и генерируется случайно.

Далее ключ encKey зашифровывается с помощью асимметричного алгоритма RSA-OAEP. Для этого Браузер создает пару ключей: открытый pubKey и закрытый privKey. Ключ encKey защищается с помощью открытого ключа, а расшифровать его можно только с помощью закрытого.

Открытый ключ pubKey защищать не нужно, потому что он не подходит для расшифровки, а вот с закрытым privKey история другая. Чтобы защитить его от кражи, доступ к нему блокируется согласно стандарту PKCS#8 с помощью парольной фразы unlockKey, которая в свою очередь является результатом хэширования мастер-пароля с помощью функции PBKDF2-HMAC-SHA256 (100 тысяч повторов; с добавлением соли и id хранилища). Если мастер-пароль случайно совпадает с уже украденным паролем от какого-либо сайта, добавление соли скроет этот факт и усложнит взлом. А благодаря многократному хэшированию достаточно длинного мастер-пароля трудоемкость взлома unlockKey сопоставима со взломом ключа encKey.

Зашифрованные пароли, зашифрованный ключ к ним encKey, зашифрованный закрытый ключ privKey и открытый ключ pubKey хранятся в профиле браузера и синхронизируются с другими устройствами пользователя.

Чтобы было проще разобраться во всём этом, приведем схему расшифровки паролей:

У подобной архитектуры с использованием мастер-пароля есть ряд преимуществ:

– 256-битный ключ шифрования хранилища генерируется случайно и обладает высокой криптостойкостью по сравнению с паролями, придуманными человеком.
– При брутфорсе мастер-пароля злоумышленник не узнает результат, если не пройдется по всей цепи (пароль-PBKDF2-RSA-AES). Это очень долго и очень дорого.
– Если функция хэширования будет скомпрометирована, мы в любой момент можем перейти на альтернативный вариант хэширования с сохранением обратной совместимости.
– Если злоумышленник узнает мастер-пароль, то сменить его можно без сложной и рискованной процедуры расшифровки всего хранилища, потому что ключ шифрования данных не связан с мастер-паролем, а значит, не скомпрометирован.
– Ключ шифрования хранится в зашифрованном виде. Ни Яндекс, ни злоумышленник, похитивший пароль от Яндекса, не смогут получить доступ к синхронизированным паролям, поскольку для этого нужен мастер-пароль, который нигде не хранится.

Но у варианта с мастер-паролем есть один «недостаток»: пользователь может забыть мастер-пароль. Это нормально, когда речь идет о специализированных решениях, которые используют опытные пользователи, хорошо осознающие риск. Но в продукте с многомиллионной аудиторией это неприемлемо. Если мы не предусмотрим резервный вариант, то многие пользователи Яндекс.Браузера либо откажутся от использования мастер-пароля, либо «потеряют» однажды все свои пароли, а виноват в этом будет Браузер (вы удивитесь, но именно Яндекс часто оказывается крайним в ситуации, когда человек забыл пароль от аккаунта). И придумать решение не так уж и просто.

Как сбросить мастер-пароль без раскрытия паролей?

В некоторых продуктах эта проблема решается с помощью хранения расшифрованных данных (или даже мастер-пароля) в облаке. Этот вариант для нас не подходил, потому что злоумышленник может украсть пароль от Яндекса, а вместе с ним и пароли от всех сайтов. Поэтому нам нужно было придумать такой способ восстановления доступа к хранилищу паролей, при котором никто, кроме самого пользователя, не смог бы это сделать. Сторонние менеджеры паролей предлагают для этого создать резервный файл, который пользователь должен самостоятельно хранить в надежном месте. Хорошее решение, но обычные пользователи такие резервные ключи будут неизбежно терять, поэтому у нас всё намного проще.

Ещё раз вспомним цепочку зависимостей ключей. Хранилище паролей зашифровано с помощью случайного ключа encKey, который нигде не хранится в явном виде. Этот ключ защищён с помощью закрытого ключа privKey, который также не хранится в явном виде и в свою очередь защищён с помощью сложного хэша от мастер-пароля. Когда человек забывает мастер-пароль, он фактически лишается возможности расшифровать ключ privKey. Это значит, что в качестве резервного варианта можно хранить дубликат ключа privKey. Но где? И как его защитить?

Если поместить расшифрованный privKey в облако, то безопасность паролей будет зависеть от аккаунта Яндекса. А ровно этого мы и не хотели допускать. Если же хранить его в явном виде локально, то вся защита с мастер-паролем теряет какой-либо смысл. Нет такого места, где можно было бы безопасно хранить этот ключ в явном виде. Значит, его надо шифровать. Для этого Браузер создает случайный 256-битный ключ, которым защищает дубликат privKey. Теперь самое интересное. Этот случайный ключ отправляется на хранение в облако Яндекс.Паспорта. А зашифрованный дубликат остается храниться в локальном профиле Браузера. Получается, что ни в облаке, ни на компьютере нет готовой пары для расшифровки паролей, и безопасность не страдает.

При таком варианте сбросить мастер-пароль можно было бы только там, где и создан дубликат ключа privKey. Мы же хотели добавить такую возможность и синхронизированным устройствам. Создавать резервный ключ на каждом устройстве вручную неудобно: можно случайно остаться с тем устройством на руках, на котором забыли создать дубликат. Отправлять зашифрованный дубликат на другие устройства с помощью синхронизации нельзя: в облаке уже хранится ключ к нему, и в целях безопасности им нельзя встречаться в одном месте. Поэтому зашифрованный дубликат privKey проходит через ещё один слой шифрования. В этот раз – с помощью хэша от мастер-пароля. Мастер-пароль не хранится в облаке, поэтому полученную «матрешку» уже можно смело синхронизировать. На других устройствах в момент первого ввода мастер-пароля дополнительный слой шифрования будет снят.

В итоге, когда пользователь забудет мастер-пароль, ему будет достаточно запросить сброс пароля через браузер и подтвердить свою личность с помощью пароля от Яндекса.

Браузер запросит ключ у Яндекс.Паспорта, расшифрует им дубликат ключа privKey, с его помощью расшифрует ключ от хранилища encKey, а дальше создаст новую пару pubKey и privKey, последний из которых будет защищён новым мастер-паролем. Хранилище паролей при этом не расшифровывается, что снижает риск потери данных. К слову, принудительно сменить encKey и перешифровать данные тоже можно: достаточно отключить и заново включить мастер-пароль в настройках.

Получается, что сбросить мастер-пароль сможет только сам пользователь и только на том устройстве , где он хотя бы раз его вводил. Конечно же, резервный ключ создавать не обязательно, если пользователь уверен в себе. Даже мастер-пароль можно не использовать, хотя мы и не рекомендуем от него отказываться.

Новая архитектура и мастер-пароль – не единственные изменения в новом менеджере. Как мы уже рассказывали выше, удобство в использовании и расширенные возможности важны не меньше.

Новый менеджер паролей

Прежде всего, мы отказались от незаметной серой панели с предложением сохранить пароль. Теперь пользователь увидит предложение рядом с полем пароля. Не заметить такое уже трудно.

Да и сам менеджер теперь не надо искать в настройках: кнопка доступна в главном меню. Список сохранённых аккаунтов теперь поддерживает сортировку по логину, адресу и примечанию. Мы также добавили редактирование записей.

Подсказка: примечания отлично подходят в качестве альтернативы меткам, потому что поддерживают поиск.

А ещё Браузер теперь помогает создавать уникальные пароли.

В первой бета-версии мы успели далеко не всё. В будущем мы поддержим экспорт и импорт паролей для совместимости с популярными сторонними решениями. Также у нас есть идея добавить настройки генератору паролей.

Мобильный менеджер паролей

Конечно же, новая логика и поддержка мастер-пароля появятся не только на компьютере, но и в версиях Яндекс.Браузера для Android и iOS. С небольшой адаптацией. К примеру, можно использовать не только мастер-пароль, но и отпечаток пальца. Мы также запретили программно делать скриншоты на странице со списком паролей – можно не бояться вредоносных приложений.

Сегодня новый менеджер паролей можно попробовать в

В самом начале установки Яндекс.Браузера вы видите сообщение о системе Protect, которая предназначена для сохранения ваших личных данных. В частности, там упоминается работа с паролями. Если вас это заинтересовало, то стоит узнать, как работает новый встроенный менеджер паролей в Яндекс.Браузере.

Как хранить пароли

Свой менеджер паролей Яндекс.Браузер получил в апреле 2018 года. Разумеется, и раньше была возможность сохранять пароли в настройках браузера, чтобы не вводить их вручную каждый раз при входе на конкретный сайт. Однако с апреля это не просто функция, а полноценная утилита внутри программы.

Доступ к нему предельно прост:

1. Откройте Настройки (кнопка-сэндвич в правом верхнем углу)
2. Выберите в выпадающем меню пункт «Менеджер паролей»

Перед вами откроется список всех паролей, сохранённых в вашем Яндекс.Браузере. Наверняка вы с удивлением обнаружите большое количество сайтов, на которых вы авторизовались последний раз достаточно давно. История помнит всё.

Чтобы посмотреть пароль к конкретному ресурсу, вам нужно:

• Долистать список сайтов до нужного вам
• Кликнуть по строке

• Нажать на иконку с глазом в строке «Пароль», чтобы вместо звёздочек увидеть настоящее содержимое

Важно отметить: все пароли в менеджере хранятся в открытом виде, а значит, любой пользователь сможет их посмотреть, если знает, как. Это ещё одна причина запаролить Яндекс.Браузер, что помешает нехорошим людям в ваше отсутствие получить доступ к личным данным.

В качестве довеска вы получаете ещё несколько приятных бонусов. Пытаясь авторизоваться на сайте, для которого сохранено несколько логинов, вы сможете легко выбрать из них нужный, даже если его не помнили. Все функции менеджера в реальном использовании доступны без захода в соответствующий раздел: предложения всплывают прямо там, где вы вводите или придумываете свои пароли.

Для отображения аккаунтов для входа нужно кликнуть на значек ключа и выбрать нужный логин

Данная функциональность реализована как в десктопной, так и в мобильной версии Яндекс.Браузера, однако мы рассмотрим десктопную. На июнь 2018 года в мобильной версии эта функция до сих пор сохраняет статус беты, так что лучше подождём финального релиза.

Создание надежного пароля

Уж сколько раз твердили миру, что нельзя использовать заезженные сочетания вроде QWERTY или 12345678! Тем не менее эти примитивные и легко взламываемые комбинации на первых местах в мировых рейтингах.

Не стоит также использовать какие-то личные данные: взломать вас захотят, скорее всего, не хакеры с другого конца мира, а люди, знающие вас лично. И они знают вашу дату рождения или свадьбы, имена детей и клички домашних животных, а то и более приватные вещи.

Поэтому пароль нужно придумывать по принципу «операции Ы» — чтобы никто не догадался. В идеале он должен представлять собой несвязный набор цифр и латинских букв в разных регистрах.

Проблема в одном: такой рандомный набор исключительно сложно запомнить. Поэтому некоторые продвинутые пользователи генерируют сочетания из двух частей – случайной или почти случайной (например, серии и номера потерянного когда-то паспорта), и тематически связанной с сайтом. Проблема в том, что злоумышленник из числа близких, подобрав пароль к какому-то одному сайту, легко поймёт логику и сможет так же легко ломать остальные.

Менеджер паролей Яндекса предлагает совершенно рандомные значения каждый раз, когда вы пытаетесь зарегистрироваться на каком-то ресурсе. При этом вручную подтверждать его не надо: набор символов автоматически копируется в поле «Подтвердить». Потом вы сможете извлечь его из соответствующей записи в менеджере.

Возможно, предложенный пароль вам не понравится. Там могут оказаться религиозно или идеологически неприемлемые сочетания цифр, хотя это маловероятно – варианты в основном состоят из букв. Или же буквы могут сложиться не вполне прилично. Автору статьи «повезло» в одну из первых попыток получить комбинацию, начинающуюся с «fuck».

Чтобы сгенерировать другой вариант, более приличный, нажмите на кнопку обновления справа от текущего.

Управление сохраненными аккаунтами

Хотя менеджер имеет достаточно скромный вид, он позволяет совершать большинство необходимых операций. Так, кликнув по строке какого-то сайта, вы сможете:

Сменить учётную запись. Полезно, если вам надо посетить какой-то сайт под другим именем и виду не подать, что вы там бывали. Если использовать основной аккаунт, то он автоматически залогиниться. В менеджере паролей вы можете прописать другие данные, чтобы автоматически заходить под другим аккаунтом. Главное – чтобы аккаунт существовал, а данные были корректные.

• Посмотреть пароль. Иногда это помогает его вспомнить.
• Скопировать. Это бывает нужно, чтобы авторизоваться на сайте через другой браузер или отправить его самому себе или кому-то ещё. Главное – не путайте окна чатов!
• Удалить запись. Иногда в памяти менеджера паролей можно встретить призраков. Автор этих строк, например, с удивлением обнаружил в списке даже аккаунты в социальных сетях, которые он давно удалил, как страшный сон. Чтобы было проще ориентироваться, можно рассортировать сохранённые учётки в алфавитном порядке по логину, кликнув на название колонки «Логин».
• Создать мастер-пароль. Он блокирует доступ к менеджеру для посторонних. Для этого вам нужно ввести имя пользователя своей операционной системы (для шифрования применяются средства Windows или OS X, а не собственные механизмы браузера) и задать пароль. При желании можно заменить произвольное выражение пин-кодом или привязать его к почтовой учётной записи.

Мастер-пароль не записывается нигде в браузере, поэтому риск его утечки минимален. А если вы его забудете сами – есть шанс восстановить его штатными средствами. Всё, что вам понадобится –ваши данные от аккаунта Яндекса и запасной ключ. Так что не забудьте придумать запасной.

Актуальные обзоры и тесты

Как сообщают сами разработчики, они отказались от стандартного механизма хранения паролей на движке Chromium, чтобы создать собственный, более удобный и безопасный. Действительно, к новому менеджеру паролей претензий нет (не считая склонности к крепким словечкам). Он использует многоступенчатое шифрование, умеет докопаться до самых старых данных, оснащён собственным генератором случайных комбинаций и степенями самозащиты.

Все обзоры сходятся на том, что менеджер паролей очень удобен, хотя и не уникален: в той же Opera хранилище похоже по функциональности и сути. Что же до тестов безопасности, то пока независимые исследования не проводились, но на первый взгляд всё выглядит достойно. Таким образом, если Яндекс.Браузер установлен у вас по умолчанию, то он способен заменить внешние программы вроде LastPass или Roboform.

Надёжные пароли и их защита от злоумышленников - основа безопасности в интернете. Новая версия помогает создавать стойкие пароли и защищает их с помощью мастер-пароля. Даже если устройство попадёт в чужие руки, ваши данные будут в безопасности.

Новые возможности

Важно использовать уникальные пароли на разных сайтах. Если злоумышленники украдут один пароль, то только к одному сайту они и получат доступ. Но создать и запомнить десятки паролей сложно, а записывать их на бумаге - рискованно. Теперь Яндекс.Браузер решает эту проблему. Он придумает уникальный пароль, надёжно сохранит его и предложит использовать при следующем входе на сайт.

Сохранённые пароли доступны в меню браузера, в новом разделе «Менеджер паролей». Их можно редактировать, сортировать и снабжать примечаниями, по которым будет легко найти то, что нужно. А если не забыть включить синхронизацию, то пароли будут доступны на всех ваших устройствах с Яндекс.Браузером.

Безопасность

Новый менеджер паролей стал не только удобнее, но и безопаснее. Теперь вы можете защитить свои пароли от любопытных глаз с помощью мастер-пароля. Он нигде не хранится, поэтому никто, кроме вас, не сможет расшифровать сохранённые пароли. Даже если злоумышленник узнает пароль от Яндекса или похитит ваш телефон, он не сможет получить доступ к паролям. На мобильных устройствах вместо мастер-пароля можно использовать отпечаток пальца, пин-код или жест.

Если вы случайно забудете мастер-пароль, то существует безопасный способ сбросить его без потери данных. Яндекс.Браузер предлагает создать запасной ключ. Он хранится в Браузере, но зашифрован. Для сброса мастер-пароля потребуется этот ключ, пароль от Яндекса и то устройство, на котором мастер-пароль хотя бы раз вводился. Проще говоря, сделать это сможете только вы, поэтому безопасность ваших паролей не пострадает.

Новый менеджер паролей уже доступен в Яндекс.Браузере для компьютеров и устройств на базе Android и iOS. Включите синхронизацию и храните ваши пароли в безопасности на любом устройстве.