Менеджер паролей


Менеджер паролей — программное обеспечение, которое помогает пользователю работать с паролями и PIN-кодами. У подобного программного обеспечения обычно имеется местная база данных или файлы, которые содержат зашифрованные данные пароля. Многие менеджеры паролей также заполняют за пользователя автоматически поля в формах авторизации (обычно это реализовано как расширение браузера).

Менеджеры паролей могут также использоваться как защита от фишинга. В отличие от людей, программа менеджер паролей может обращаться с автоматизированным скриптом логина невосприимчиво к визуальным имитациям, которые похожи на веб-сайты, то есть, перейдя по сомнительной ссылке на фишинговый сайт менеджер паролей не подставит логин-пароль в формы ввода, а пользователь поймёт, что сайт является подделкой. С этим встроенным преимуществом использование менеджера паролей выгодно, даже если у пользователя имеется всего несколько паролей, которые он помнит. Однако не все менеджеры паролей могут автоматически обращаться с более сложными процедурами идентификации, наложенными многими банковскими веб-сайтами.

Менеджеры паролей обычно используют выбранный пользователем основной пароль, или секретную фразу (passphrase), чтобы сформировать ключ, используемый для зашифровки хранимых паролей. Этот основной пароль должен быть достаточно сложным, чтобы устоять при атаках злоумышленников (например полный перебор).

Если основной пароль будет взломан, то будут раскрыты все хранимые в базе данных программы пароли. Это демонстрирует обратную связь между удобством использования и безопасностью: единственный пароль может быть более удобен, но если он будет взломан, то поставит под угрозу все хранимые пароли.

Основной пароль может также быть атакован и обнаружен при использовании кейлоггера или акустического криптоанализа (acoustic cryptanalysis). Такая угроза может быть снижена путём использования виртуальной клавиатуры, как, например, в KeePass.

Некоторые менеджеры паролей включают генератор паролей. Сгенерированные пароли могут быть отгадываемыми, если менеджер пароля не использует криптографически безопасный генератор случайных чисел.