Как заставить пароли работать?

Для того чтобы парольная политика хороша работала, она должна быть не только грамотно составлена, но и качественно доведена до персонала компании – ведь если о существовании закона никто не осведомлен, то какой от него может быть толк?

Доведение парольной политики (само собой разумеется, в рамках общей политики информационной безопасности организации) целесообразно провести в форме инструктажа с последующей сдачей персоналом мини-зачета по темам инструктажа. Как показывает практика, если после инструктажа не проводится проверка доносимых до сотрудников сведений, то эффективность такого мероприятия практически никакая. При этом даже нет особой необходимости сулить какие-то кары тем, кто не сдаст зачет – в большинстве компаний сам факт наличия зачета заставляет сотрудников мобилизоваться и подойти к нему ответственно.

На инструктаже необходимо сконцентрироваться на том, что должен сделать сам сотрудник для реализации политики информационной безопасности, а также на том, что ждет тех сотрудников, которые в этой реализации не пожелают принять участие. Заставлять сотрудников учить политику «от корки до корки» не только бесполезно, но даже и небезопасно, потому что многие из них (весьма, надо сказать, справедливо) воспримут подобное предложение как издевательство, и отдел информационной безопасности наживет врагов в их лице.

«Парольные» инструктажи можно и нужно периодически повторять – опять-таки, с проведением зачетов после них. Периодичность лучше выбирать не очень частую – вполне достаточно повторения раз в полгода.

О вреде непроверенных предположений

Думаю, все еще помнят новость о рекордной утечке паролей Adobe, которую у меня наконец-то нашлось время прокомментировать. На всякий случай, так как уже прошло какое-то время, напомню, в чем там всё дело.

В первом сообщении о краже паролей миллионов своих пользователей компания Adobe сказала, что гражданам нечего опасаться, потому что пароли зашифрованы. Пока сообщество не получило базу с паролями, фраза о «зашифрованных» паролях была непонятной. Можно было предположить, что Adobe имела в виду хеширование. Ведь алгоритмы хеширования тоже формально являются алгоритмами шифрования. В случае нормального хеширования с использованием соли можно было бы не опасаться, что злоумышленники расшифруют базу паролей.

http://www.xakep.ru/post/61554/default.asp

В общем, выяснилось, каким именно способом шифровали пароли, а дальше на помощь взломщикам пришла статистика:

Например, значение EQ7fIpT7i/Q= (base64) встречается 1 911 938 раз.
При этом
В последние годы проводилось немало статистических исследований парольных баз. Поэтому известно, что самый популярный пароль в интернете — 123456.
Это всё очень занимательно, но мы это всё знали и раньше. Что нам дает именно случай с Adobe? Что даже если ваш пароль хорош, и даже если сервис его хорошо зашифровал, это не гарантирует вам безопасность. Почему? Потому что тем больше информации утечёт, тем больше к ней можно будет применить статистических предположений.
Мне это всё напоминает вывод, который герой Айзека Азимова сделал в первой книге трилогии Академии (Основания). Чтобы предсказывать будущее, не нужно учесть абсолютно все связи во вселенной - достаточно взять планету-мегаполис, на которой фактически оказались существа со всей Вселенной.

По той же схеме, кстати, действуют алгоритмы Фейсбука, "волшебным" образом узнающие, где сделана та или иная фотография. В общем, не зря "большие данные" признаны одним из важнейших трендов в ИТ в последние годы. Потому что их анализ дает не только ключи  к кошелькам через рекламу, но и помогает в менее законных способах отъема тех самых денег...

Следуйте рекомендациям!

Существуют тысячи рекомендаций по информационной безопасности, выпущенных разными организациями. Понятно, что следовать каждой из них просто физически невозможно, но можно хотя бы постараться выбрать те из них, которые позволяют избежать максимально возможного числа ИБ-проблем и при этом сэкономить силы и деньги.

По моему глубокому убеждению, хороший безопасник всегда находится в поиске подобных рекомендаций, чтобы почерпнуть в них какие-то свежие идеи, которые могут пригодиться ему для расширения собственных требований к ИБ в компании, ну, или, во всяком случае, позволят узнать, что требуют от системы обеспечения ИБ его коллеги в других компаниях и даже странах.

К чему это я? К тому, что моя личная копилка подобных документов пополнилась новыми рекомендациями, что называется, Made in France:

Газета L'Express опубликовала меморандум, поступивший якобы от Кристофа Шонпи (Christophe Chantepy), руководителя аппарата премьер-министра Франции Жана-Марка Айро (Jean-Marc Ayrault), в котором приведены рекомендации членам правительства страны о безопасности использования мобильных телефонов.
Подробнее: http://www.securitylab.ru/news/444607.php

Сами рекомендации выглядят так:

• Пользоваться личными устройствами в корпоративных целях (BYOD) запрещено
• Вместо мобильных телефонов для голосовой связи нужно использовать стационарные, которые защищены технологией Thales' TEOREM
• Перед использованием смартфонов для чего либо, их необходимо защитить с технологиями ANSSI
• В ANSSI позаботятся о том, чтобы все данные были зашифрованы
• От TXT документов необходимо отказаться
• Данные даже низших уровней секретности необходимо передавать по безопасной электронной почте
• При поездке министра заграницу, его компьютер и телефон должны всегда находиться в одной комнате с ним
• Пароли должны состоять из 12-ти символов, среди которых буквы и цифры. Каждые 6 месяцев пароль нужно менять, на личных и рабочих устройствах должны использоваться различные комбинации
• Не нужно открывать вложения, если в их безопасности есть сомнения

Что могу сказать по их поводу? На мой взгляд, рекомендации вполне себе здравые. Особенно мне нравится запрет BYOD, который почему-то боятся вводить большое количество компаний и госорганизаций во всем мире, чтобы, не дай Бог, не обидеть ненароком "инициативных" работников, главная инициатива которых как раз и заключается в принесенном на рабочее место собственном устройстве.

Впрочем, среди хороших рекомендаций есть одна, которая мне не очень нравится. Она касается паролей. Посмотрие: если у них есть защищённые телефоны (а об этом нам говорят пп. 3 и 4 списка), топочему бы не организовывать двухфакторную аутентификацию? Почему бы кроме пароля (который меняется почему-то всего лишь раз в 6 месяцев) не обязать их использовать аппаратный токен и подтверждение по СМС? Хочешь работать - вставь токен, потом сможешь ввести пароль, после которого введёшь код из СМС. Думаю, что никто здесь не станет возражать, что такая схема будет куда эффективнее и безопаснее, чем так, которую предлагают сами французы.
Напоследок предлагаю немного пофантазировать. Давайте предположим, какие пункты будет включать список для наших министров? Жду ваших мнений в комментариях.

Отслеживание передачи паролей

Продолжим знакомство с практикой применения нашего замечательного и рвущего в пух и прах  любых конкурентов "Контура информационной безопасности SearchInform". Сегодня поговорим о том, как отслеживать передачу паролей от корпоративных  ресурсов третьим лицам.

В любой организации есть ряд ресурсов общего доступа (корпоративные базы 1С, файловый сервер с корпоративными документами и резервными копиями данных, и т.д.), к которым имеют доступ самый широкий круг сотрудников. Вместе с тем, доступ к подобным ресурсам людей «со стороны» может привести к более чем плачевным последствиям. Причиной несанкционированного доступа может стать не только злой умысел сотрудника, который специально передает пароль от такого ресурса своему сообщнику, но и банальная халатность. Ведь при пересылке идентификационных данных по незащищенным каналам существует риск того, что эти данные попадут в руки злоумышленников. Поэтому служба информационной безопасности должна отслеживать появление паролей от корпоративных информационных ресурсов в перехваченном корпоративном трафике.

При поиске переданных паролей удобно воспользоваться алертом с обычным фразовым поиском, выбрав в качестве поисковых запросов сами пароли, либо фразы «логин пароль» и «login password». Из всех каналов передачи информации наиболее вероятна утечка паролей по таким каналам, как электронная почта, Skype, ICQ, MSN, Jabber, HTTP. Риск утечки паролей через внешние носители информации или распечатываемые на принтере документы не слишком велик, однако для полной уверенности можно контролировать на предмет утечки паролей и эти каналы, хотя это увеличит нагрузку на базу.

В случае обнаружения утечки паролей необходимо провести срез активности пользователя для выяснения, являются ли его действия намеренным нарушением политики информационной безопасностью, или простой халатностью. Если, к примеру, пароли по незащищенным каналам пересылались новому сотруднику, необходимо разъяснить опасность подобного способа передачи информации.

P.S. Кстати, мы открыли свой учебный  центр, так что если вы хотите научиться действительно эффективно бороться  с утечками информации,  то милости просим!

Р. Идов,

ведущий аналитик компании SearchInform

Пароли не устраивают Гугл

Я уже не раз писал о том, что пароли своё уже отжили, и мы в скором времени станем свидетелями того, что они будут заменены на что-то более соответствующее духу и  потребностям эпохи. Но вот на что именно - вопрос обсуждаемый, хотя уже есть некоторые достаточно интересные варианты.

 

Достаточно интересную информацию о том какое  будущее аутентификации без паролей видит Гугл опубликовали на моем нелюбимом ресурсе для ИТ-снобов. В принципе, с этим постом можно даже рекомендовать познакомиться: http://habrahabr.ru/post/181918/. Вещи там  довольно любопытные: электронная татуировка и электронная  же таблетка, которая до 30 дней живет в желудке, питается за счет химической реакции собственной оболочки и соляной кислоты, и генерирует 18-битный сигнал.

В общем-то, достаточно интересно, что Гугл делает ставку на имплантируемые гаджеты. Хотя, в принципе, это довольно закономерно, потому что точно намного эффективнее привязки к сотовому телефону или даже к устройству а-ля Google Glass. Но тогда это не так уж далеко уходит от биометрической аутентификации, которая сегодня  обеспечивает более  чем приемлемый уровень надежности, но оставляет желать лучшего в плане своей стоимости.

Впрочем, желание Google создать технологию, которая была бы похожа на привычные всем по супермаркетам RFID-метки, понятно. Уж очень всё было бы привычно и знакомо, да и оборудования для неё уже завались. Кстати, весьма интересно, что RFID первоначально задумывались как способ клеймления крупного рогатого скота (пруфлинк), и лишь сейчас решили что-то похожее применить непосредственно на людях.

Что действительно радует во всей этой ситуации, так это то, что многие, в том числе и крупные корпорации поняли, что пароли уже своё отжили, и надо изобретать что-то более эффективное и качественное. И мы имеем все шансы на то, что скоро это всё-таки изобретут.

Р. Идов,

ведущий аналитик компании SearchInform

Как сделать пароли эффективными

Несмотря на то, что я неоднократно высказывался на этом блоге по поводу низкой эффективности парольной защиты, которую считаю морально устаревшей, нельзя не принять во внимание, что она очень и очень широко распространена во всем мире, и в обозримом будущем возможности полностью отказаться от неё не видно. Значит, нужно подумать над тем, как сделать так, чтобы пароли работали достаточно эффективно. Об этом и поговорим.

Серьезно улучшат ситуацию с информационной безопасностью в компании правильно внедренная парольная политика и запрет на использование в рабочих целях бесплатных почтовых сервисов. Не секрет, что зачастую вовсе не нужно быть асом взлома, чтобы подобрать пароль к учетной записи пользователя, дающей возможность «слить» важные документы из корпоративной сети. Пользователи просто обожают пароли в стиле «111», «йцукен», «ААА» и тому подобные. Поэтому совершенно необходимым этапом улучшения ситуации с информационной безопасностью является написание и внедрение парольной политики организации. Нередко пароли даже генерируются специальным программным обеспечением, а не придумываются самим пользователем. При этом для того, чтобы случайно утерянный пользователем или подсмотренный злоумышленником пароль не смог привести к краху всей системы безопасности организации, пароли периодически меняются.

К сожалению, эти меры хороши только до определенного порога, за которым лекарство превращается в смертельный яд. Дело в том, что человеческая память плохо подходит для запоминания комбинаций вида «gU3ms#6eJK&rf!+», а потому большая часть пользователей вынуждена записывать свои пароли на мобильных телефонах, в записных книжках и просто на случайных листках бумаги. Временами ситуация становится просто анекдотичной: на мониторе пользователя висит стикер с надписью «пароль такой-то». Таким образом, при первых признаках того, что пользователи имеют трудности с запоминанием своих паролей, имеет смысл пересмотреть политику безопасности в их отношении.

Р. Идов,

ведущий аналитик компании SearchInform

Когда умрут пароли?

Платежная система PayPal решила взять на себя на роль убийцы эры парольной аутентификации. По крайней мере, так заявил их директор по вопросам информационной безопасности Майкл Барретт на конференции Intertop.

На смену устаревшим паролям «пэйпаловцы» собираются поставить биометрическую аутентификацию, с использованием сканера отпечатков пальца или сетчатки глаза. По заверениям Баррета, массовая смерть парольной аутентификации начнется уже через несколько лет.

Перспектива, конечно, заманчивая. И если предположить, что завтра внезапно все пароли исчезнут, их заменит отпечаток пальца, а каждый пользователь получит по биометрическому сканеру, то об очень многих проблемах безопасности можно будет забыть. На какое-то время. 

Почему сейчас нам биометрическая аутентификация кажется такой надежной? Потому что она не получила широкого распространения. Это как классический миф о Linux, под который нет вирусов, но не потому, что их нереально написать, а потому, что этой ОС пользуется всего несколько процентов от всех пользователей.

Стоит только биометрической аутентификации набрать популярность, как тут же обнаружатся возможности для ее взлома и обхода. Прецеденты некачественно исполненных сканеров отпечатков пальцев уже есть. Кроме того, не стоит забывать, что введение биометрической аутентификации приведет к тому, что авторизация во всех  аккаунтах пользователя будет происходить с использованием одного и того же ключа (в данном случае – отпечатка пальца). А значит, один раз получив к нему доступ, станет реальным взлом сразу всех «учеток» пользователя, в том числе и связанных с финансами.

Поэтому не стоит специалистам так опрометчиво отправлять пароли на свалку истории. Дополнительный этап аутентификации еще никогда лишим не был, особенно если базовая система идентификации потенциально уязвима.  

Александр Вашкевич

Непопулярные меры

Иногда специалистам по информационной безопасности приходится прибегать к не очень популярным среди обычных пользователей мерам с целью на этих самых пользователей повоздействовать. Да чего там "иногда" - это, скажем прямо, совершенно обычное дело. Но иногда остается лишь диву даваться, на что идут безопасники в трудной ситуации. Хотя, не буду скрывать, тут есть чему поучиться.

Довольно популярный облачный сервис, предназначенный для хранения, синхронизации и поиска заметок, в том числе текстовых записей, веб-страниц, перечня покупок, фотографий и картинок Evernote сообщил от том, что была произведена атака на внутренние ресурсы компании.

По официальному заявлению, служба безопасности успела предотвратить кражу данных и на данный момент проводит тщательное расследование на предмет возможной утечки. В целях профилактики руководство компании пошло на  довольно необычный шаг и удалило все пароли пользователей в группе риска, оставив соответствующие извещение на главной странице сервиса и электронных ящиках потенциальных жертв. В настоящее время пользователям данного ресурса рекомендуется изменить пароли на отличные от ранее используемых, и следовать общим правилам безопасности.

С http://www.kv.by

Вообще, я думаю, что для подавляющего большинства сайтов было бы совсем не лишним взять на  вооружение регулярную практику принудительной замены паролей или даже обязательной генерации паролей самим сайтом. Потому что количество пользователей, использующих в качестве пароля сакраментальные "1", "password" и тому подобную чепуху, просто поражает воображение. Поэтому если пользователи не могут сами позаботиться о своей безопасности, то это должен делать сам сайт - как родитель, забирающий спички у маленького ребенка.

Думаю, что в обозримом будущем, по мере роста и взросления электронного общества в полном смысле этого словосочетания, мы станем свидетелями законодательного регулирования длины и сложности паролей. Впрочем, будет это, конечно не в ближайшие пару лет.

Р. Идов,

ведущий аналитик компании SearchInform

Без оглядки на безопасность

Когда система проектируется и реализуется без оглядки на вопросы информационной безопасности, то в процессе эксплуатации рано или поздно появляется ситуация, когда нужно срочно делать патчи и латать дырки. И несмотря на то, что огромное количество отрицательных примеров отлично показывает, что нет никакого смысла экономить на привлечении безопасников к проектированию систем, но, тем не менее, всё новые компании наступают на те же грабли. Не стала исключением и Mail.ru Group.

Давным давно, когда один пользователь аськи пересылал другому какой-то файл, их клиенты соединялись друг с другом напрямую через интернет и осуществляли передачу. Сейчас при пересылке файла сам файл закачивается на сервера, принадлежащие Mail.RU, а получателю отправляется только ссылка на такой файл. Ссылка выглядит как "http://files.icq.net/files/get?fileId=XXXXXX", где XXXXXX – это набор букв и цифр, указывающих на файл. Скачать конкретный файл можно, только в точности зная эту последовательность. Безопасно? Нет. Файлы по аське пересылают миллионы людей, и даже указывая случайные комбинации, можно легко получить доступ к файлам случайных пользователей.

Дальше тут,  с матом и фото пользователей "Аськи" в стиле "ню"

Про пересылку фотографий документов через сеть по любому незащищенному каналу можно говорить долго и со вкусом, но всё-таки даже в таких случаях те службы, где пользователь может сам контролировать судьбу своих данных (например, FTP'шник на своём персональном сайте) выглядят явно более предпочтительно, чем такие, как "аська" или файлообменники. Но речь сейчас, в общем-то, совсем не о том, что пользователи любят пересылать документы через ICQ, а о том, компания Mail.ru лажанулась. Нет, ЛАЖАНУЛАСЬ. Вот так.

Какие уроки можно извлечь из этого? Пересылать файлы нужно ТОЛЬКО по защищенным каналам (VPN - самое то), а если вдруг, не дай Бог, что-то важное необходимо передать по той же аське или, хуже того, по электронной почте, причем в адресе отправителя или получателя есть mail.ru, hotmail.com, gmail.com и прочие yandex.ru, то пересылать всё нужно только в запароленном архиве, причем пароль должен иметь длину не меньше десятка знаков, и не 1234567890, а что-то посерьезнее. Хотя и парольная защита - та еще гадость, но это уже совсем другой разговор.

В общем, как обычно, не стоит доверять ни владельцам сервиса, которым вы пользуетесь, ни тому, кому вы что-то пересылаете. Нужно три раза подумать, прежде чем что-то пересылать, потому что предосторожности лишними никогда не бывают.

Р. Идов,

ведущий аналитик компании SearchInform

И еще раз о парольной защите

Сколько раз я уже писал о паролях! Но тема поистине неисчерпаема, и в очередной раз появился повод написать о паролях. Поводом этим, конечно же, как вы уже наверняка догадались, послужила недавняя массовая утечка паролей из LinkedIn.

Какие пароли оказались, в который уже раз, самыми популярными среди тысяч пользователей? Правильно, самые простые и самые легко подбираемые. На первом месте - пароль link, на втором - 1234, на третьем - work. Скажите, вы удивлены? Лично я - нет. Потому что пользователь ленив, и если ему можно не придумывать какой-то сложный пароль, то он не будет его придумывать. С другой стороны, если заставлять пользователя запоминать сложный пароль, то тут можно и вовсе остаться без пользователей - конкуренция в Сети сегодня весьма и весьма ожесточенная.

Вот если была бы другая система аутентификации, то и проблемы бы не было. Конечно, сегодня говорить о массовом переходе пользователей какой-либо социальной сети на другую систему аутентификации, но, согласитесь, было бы намного проще обходиться без паролей. И подсказка уже есть - многие сайты используют аутентификацию с помощью SMS. Да, это сложнее и дороже в реализации, но гораздо проще в использовании.

Думаю, что вскоре SMS вытеснят традиционную парольную аутентификацию, особенно в таких массовых и популярных сайтах, как соцсети. Как скоро это будет? Сказать сложно. Но, думаю, что в пределах лет пяти всё это произойдет.

Р. Идов,

аналитик компании SearchInform

Закономерный вывод

Недавно натолкнулся на интересную новость, суть которой, по большому счету, сводится к тому, что альтернативы сложным паролям, которые предлагаются для использования на мобильных устройствах, так же плохи, как и сами пароли. Собственно, что и требовалось доказать: подход к аутентификации необходимо менять в корне, потому что косметические изменения никаких плодов уже принести просто неспособны.

Новость полностью можно прочитать здесь. Двумя словами можно пересказать её следующим образом: если использовать вместо нелюбимых всеми сложных паролей какие-либо фразы, которые, вроде бы, содержат достаточное количество энтропии для того, чтобы их было сложно подобрать, в реальности даже достаточно скромный словарь дает возможность взломать залпом тысячи аккаунтов.

В своё время я рассуждал в этом блоге о том, почему пароли не так хороши, как нам всем хотелось бы. Пожалуй, можно говорить о том, что недостатки характерны для всей той защиты, которая базируется на каких-либо кодовых словах или вообще текстовых данных. Но, повторюсь, с этими недостатками приходится мириться, потому что альтернативы либо чрезвычайно дороги, либо ещё менее эффективны. Что, как говорится, и требовалось доказать...

Р. Идов,

аналитик компании SearchInform

Правильным путем идем, товарищи?

Очень интересную новость донесли до широкой общественности разработчики браузера Chrome. Они озаботились качеством пользовательских паролей, и для благой цели его повышения предложили довольно интересное, хотя, на мой взгляд, и несколько противоречивое нововведение - генератор паролей.

Не секрет, что подавляющее большинство паролей, используемых людьми при регистрации на сайтах, имеет вид "123", "qwerty" или что-то в том же духе. Вполне понятно, что такие пароли и запомнить проще, чем "идеологически правильный" "oK3,d(m92mKIns$2sdn!n92", но именно из-за них сегодня наблюдается разгул спама в социальных сетях и прочие негативные явления, связанные с похищением пользовательских аккаунтов злоумышленниками.

Генераторы и запоминальщики паролей - вещь довольно распространённая и далеко не новая, и большинство из них давно умеют интегрироваться со многими браузерами, а не только с "Хромом". Но от этого больше хороших паролей не становится - напротив, можно сказать, что с каждым новым массовым похищением аккаунтов количество примитивных паролей, обнародуемых злоумышленниками, только возрастает.

Сама идея парольной аутентификации, к сожалению, изживает себя, однако из-за дороговизны альтернатив (в первую очередь, биометрии) пока перехода на них не наблюдается. Это, конечно, не лучшим образом отражается на безопасности, но "костыли" в виде таких генераторов паролей тоже вряд ли будут способны спасти ситуацию.

Так что, к сожалению, труд разработчиков гуглобраузера, скорее всего, пропал напрасно - даже очень хороший генератор паролей не переделает пользователя, который плевать хотел на эту вашу безопасность.

Р. Идов,

аналитик компании SearchInform

Иронии псто

 «192.168.1.1, логин: login, пароль: password…и вот я в админке соседского tp-link'а. Что бы сделать?», - типичные мысли юного кулхацкера, по счастливой случайности нарвавшегося на практически «халявный» вай-фай. Порой из таких вырастают серьёзные гуру, порой вырастает чудо в перьях, гораздое кричать «форточки масдай». О последних о хочу сегодня повести беседу. А точнее об их паролях. 

Не так давно широко известный в узких кругах ресурс Antichat.ru был взломан и в сеть «утекли» логины и пароли пользователей. Надо отдать должное администрации форума. После взлома была включена привязка к IP-адресу при авторизации для всех пользователей. Но вот сама база, выложенная в открытый доступ, позволила всем желающим попробовать свои силы в брутфорсе.

Известный эксперт Брайан Кребс получил файл с профилями, личными сообщениями и хэшами паролей от 41 037 аккаунтов форума, взял видеокарту EVGA GTX 295, программу для брутфорса Hashcat под CUDA и за 18 дней подобрал аж 44% паролей. Небольшой статистикой, кстати, тоже поделился:

Сам эксперт с некоторой долей иронии пишет, что российские «хакеры» не очень-то сильны в выборе паролей. Около 4500 паролей использовались пятью или большим количеством пользователей.

Но можете ли вы сами похвастаться сложным паролем к своим аккаунтам? Вы никогда не использовали в пароле дату своего рождения? Или русское слово, набранное в другой раскладке? Например rjkj,jr (который от бабушки ушёл) – с виду вполне надёжный пароль. Но только с виду. В нём один регстр, нет цифр, нет спецсимволов. С точки зрения брутфорса такой пароль весьма лего взломать.

Недаром любой грамотный безопасник вам скажет «хороший пароль – тот, который вы не в состоянии запомнить». Да и в интернете хватает советов и методик по придумыванию более-менее устойчивых к взлому паролей.

Как же быть? Лет 5 назад мой хороший друг-разработчик из северной столице просвещал меня в таких вещах с помощью программы, которую разрабатывал. Этот менеджер паролей  на данный момент был загружен более 28 млн. раз. Принцип работы, грубо говоря, сводился к тому, что пользователь хранит все свои сложные пароли внутри этого менеджера. Вход в программу также осуществляется через ввод пароля. Таким образом, человеку достаточно выучить лишь один действительно сложный пароль, а все остальные в зашифрованном виде за него будет хранить программа.

Такой способ кажется мне весьма удобным. Но что думаете вы? Действительно ли нужно использовать сложные пароли везде и как их хранить? Может вы знаете лёгкий способ придумать себе сложный пароль? Насколько безопасно использовать один и тот же пароль на различных ресурсах?

Алексей Дрозд,

аналитик компании SearchInform