«Менеджер паролей — если взломают это одно место, разве не конец всему?» Вот честный ответ на самую частую тревогу, начиная с того, как это работает. Без шагов атаки — только почему это безопасно и как выбрать подходящий именно вам.
Что защищает шифрование и какие риски остаются
Страх реален: если взломают это одно место, может утечь всё. Шифрование с нулевым разглашением снимает большую его часть.
Из этого следует одно практическое правило: сделайте мастер-пароль длинным, уникальным и никогда не покидающим устройство. Слабый оставляет простор для офлайн-перебора украденного хранилища со временем. Оцените его силу проверкой надёжности пароля.
MFA защищает от несанкционированного входа в аккаунт, но не останавливает подбор пароля к украденным зашифрованным данным. Безопасность устройства, браузера и приложений тоже необходима. Модель угроз провайдера также рассматривает компрометацию устройств и доставку веб-клиента.
Три защиты, которые реально помогают
Здесь больше ценности, чем «хранилище, которое не надо запоминать».
Выделяется устойчивое к фишингу автозаполнение. Людям трудно распознать почти идентичный поддельный домен, но менеджер не заполнит, пока не совпадёт зарегистрированный домен — так «хм, не заполняется» становится для вас подсказкой, что сайт поддельный. У ручного копирования из таблицы ничего этого нет.
Облако vs локально — выбор по применению
Перечисленные здесь продукты используют шифрование на устройстве. Для каждого продукта и его настроек проверяйте состав зашифрованных данных, способы восстановления и условия безопасности синхронизации и резервных копий. Одно из главных различий — кто управляет синхронизацией.
Облако (Bitwarden / 1Password)
- Автосинхронизация и совместное использование на всех устройствах
- Пути резервного копирования и восстановления встроены
- Содержимое остаётся зашифрованным (провайдер не может его прочитать)
- Низкое трение = легко продолжать пользоваться — подходит большинству
Локально (KeePass и т. п.)
- Вы сами размещаете зашифрованный файл (.kdbx) на Drive и т. п.
- Для тех, кто хочет нулевого участия провайдера
- Синхронизация и резервные копии — ваша ответственность
- Сначала офлайн, полностью ручное управление
Оба сделаны безопасно. Выбирайте по тому, чем будете продолжать пользоваться. Простой инструмент, которым вы пользуетесь ежедневно, защищает вас лучше идеального, который вы забросите.
Как безопасно выбрать (чек-лист)
Нулевое разглашение (шифрование на стороне устройства)
MFA для входа в аккаунт менеджера паролей
Есть путь восстановления
Покрывает каждое ваше устройство
Как начать и перенести
Выберите один и установите
Сделайте мастер-пароль длинным и уникальным
MFA для аккаунта менеджера паролей, почты восстановления и важных аккаунтов
Импортируйте существующие пароли, затем сначала обновите слабые
Удалите копии открытым текстом навсегда
Переходите на passkey там, где поддерживается
Специализированный менеджер, встроенный в систему или браузер
Помимо облачных и локальных менеджеров есть третий вариант: хранилище паролей, встроенное в ОС или браузер.
| Специализированный (облако) | Специализированный (локально) | Встроенный в ОС (приложение «Пароли» на iPhone, Google Password Manager) | |
|---|---|---|---|
| Стоимость | Бесплатный тариф или платный | Бесплатно (KeePass и др.) | Без доплаты |
| Устройства | Работает на Windows, Mac, iPhone и Android | Синхронизацию настраиваете сами | В основном устройства и браузер одного производителя |
| Совместный доступ для семьи или команды | Сильная сторона | Требует усилий | Частично |
| Предупреждения об утечках и повторном использовании | Есть (зависит от продукта и тарифа) | Через плагины | Есть |
| Кому подходит | Разные платформы, совместный доступ | Тем, кто хочет сам управлять синхронизацией | Всё на устройствах одного производителя |
Встроенные хранилища тоже дают каждому сервису свой пароль, если пользоваться генерацией и автозаполнением. Перейти на специализированный менеджер, когда понадобится работать на разных платформах, — вполне нормальный порядок.
Как проверить свои настройки
Не останавливайтесь на установке. Один раз проверьте эти настройки.
Проверьте, как выводится ключ (KDF)
Чем тяжелее функция выведения ключа (KDF), превращающая мастер-пароль в ключ, тем труднее перебрать украденный шифртекст. В Bitwarden откройте в веб-приложении «Settings» → «Security» → «Keys» (настройки → безопасность → ключи); по умолчанию это PBKDF2 SHA-256 с 600 000 итераций, также доступен Argon2id. Для старых аккаунтов убедитесь, что настройка соответствует сегодняшней рекомендации.
Храните данные для восстановления вне менеджера паролей
1Password помимо мастер-пароля использует 34-символьный Secret Key, напечатанный в вашем Emergency Kit. В Bitwarden запишите код восстановления двухэтапного входа. Не храните ни то, ни другое только внутри хранилища; распечатайте и держите в определённом месте дома.
Проверьте MFA на самом менеджере паролей
Предпочитайте passkey, аппаратный ключ или приложение-аутентификатор, а не SMS (→ руководство по MFA).
Проверьте время автоблокировки
Убедитесь, что расширение для браузера и приложения блокируются после периода бездействия или при закрытии браузера. На ПК, которым пользуется вся семья, ставьте короткое время.
Частые ошибки и как их исправить
- Тот же мастер-пароль, что и в другом сервисе: утечка там раскрывает ключ к вашему хранилищу. Мастер-пароль нельзя использовать больше нигде.
- Коды восстановления или Emergency Kit хранятся только внутри хранилища: если доступ потерян, до них не добраться. Держите копию снаружи, например на бумаге.
- Сохранение паролей в браузере оставлено включённым после переезда: пароли оказываются в двух местах, а старые остаются. После переезда отключите сохранение в браузере и удалите то, что там хранится.
- Отходить от устройства с разблокированным хранилищем: установите короткую автоблокировку.
Реальный пример: что осталось защищённым при взломе провайдера
В декабре 2022 года LastPass сообщила, что атакующий скопировал резервную копию данных хранилищ клиентов. По словам компании, имена пользователей на сайтах, пароли, защищённые заметки и данные для автозаполнения форм оставались зашифрованными 256-битным AES и могли быть расшифрованы только ключом, выведенным из мастер-пароля каждого пользователя.
В том же уведомлении также говорилось:
- Адреса сайтов (URL) в хранилище находились в незашифрованной части данных
- Скопирована и информация об аккаунтах: названия компаний, имена конечных пользователей, адреса электронной почты, платёжные адреса, номера телефонов и IP-адреса, с которых подключались клиенты
- При настройках по умолчанию (PBKDF2 со 100 100 итерациями) и сильном мастер-пароле подобрать его было бы крайне сложно
Вывод: дизайн с нулевым разглашением защищает содержимое, но в конечном счёте решают сила вашего мастер-пароля и настройка выведения ключа. Кроме того, знание того, на каких сайтах у вас есть аккаунты, может использоваться для фишинговых писем от их имени. Если провайдер сообщает о взломе, подумайте о смене мастер-пароля и паролей важных аккаунтов.
Взгляд этого сайта: защитите мастер-пароль и MFA на хранилище и выберите инструмент, которым будете пользоваться
На этом сайте мы никогда не держим секреты (пароли, ключи, реквизиты подключения) открытым текстом — ни в общих документах, ни в коде — и управляем повседневными входами в менеджере паролей. В дополнение к длинному уникальному мастер-паролю и подходящим настройкам шифрования мы используем MFA против несанкционированного входа. Отдельно проверяем обновления устройств и приложений, автоблокировку и хранение данных для восстановления. Выбирайте инструмент с учётом и условий безопасности, и возможности пользоваться им постоянно.
Читать дальше
- Проверка утечек: Как проверить, не утёк ли ваш пароль (Have I Been Pwned)
- Хранение: безопасное хранение паролей (хватит открытого текста)
- Как это работает: как сервис должен их хранить (хеширование + соль)
- Двухэтапная: руководство по многофакторной аутентификации (MFA)
- Без пароля: что такое passkey (переходите там, где поддерживается)
- Со стороны разработчика: изъяны в дизайне сброса пароля (на английском) — сильный пароль не поможет, если слабое место — сброс
- База: базовый чек-лист безопасности
- Инструмент: проверка надёжности пароля
- Данные: как люди на самом деле хранят пароли (данные опросов)
- После утечки: как удалить историю браузера, файлы cookie и сохранённые пароли (Chrome, Safari, Edge, Firefox)
Источники
- LastPass, «Notice of Recent Security Incident» (22 декабря 2022 года): blog.lastpass.com
- Bitwarden Help, «Encryption Key Derivation»: bitwarden.com
- Bitwarden, «Security Whitepaper», модель угроз: bitwarden.com
- 1Password Support, «About your Secret Key»: support.1password.com
- NIST, «SP 800-63B-4» (август 2025 года), разрешение менеджеров паролей и вставки: pages.nist.gov
История обновлений
- 2026-10-20: Уточнены границы гарантий при утечке зашифрованных данных и различия между MFA, стойкостью к расшифровке и безопасностью устройства. Эта ограниченная правка не означает повторную проверку всех ранее приведённых данных об инцидентах и функций продуктов.