Сохранение паролей в браузере: плюсы, минусы и скрытые риски

Встроенная функция сохранения паролей есть у многих браузеров: Google Chrome, Яндекс Браузере, Mozilla Firefox, Microsoft Edge, Safari. С ней можно не запоминать множество комбинаций учетных данных для авторизации на разных сайтах.

Но нужно учитывать ограничения и скрытые риски безопасности, которые могут привести к утечке конфиденциальной информации.

Как работает встроенный менеджер паролей

При первом вводе логина и пароля на каком-либо сайте браузер обычно предлагает сохранить их. В случае согласия вводить их вручную больше не придется. При повторном посещении сайта браузер автоматически распознает поля формы и подставляет сохраненную комбинацию. Аналогично можно настроить автозаполнение другой информации: номеров телефонов, адреса, реквизитов банковских карт. Но следует учитывать: чем больше данных будет разрешено сохранять браузеру, тем серьезнее могут быть последствия при получении доступа к устройству посторонних лиц.

Сохраненные данные обычно хранятся в системных папках на устройстве в зашифрованном виде.

Конкретный механизм шифрования зависит от операционной системы и браузера, но сам ключ привязывается к текущей учетной записи пользователя. Именно поэтому при входе в систему данные расшифровываются автоматически. С одной стороны, это обеспечивает быструю подстановку данных, с другой — создает дополнительные риски.

Преимущества использования встроенной функции

Встроенные менеджеры паролей обеспечивают базовый уровень безопасности и дают ряд преимуществ для повседневного использования:

• Удобство и экономия времени. Не нужно запоминать множество учетных данных, вручную вводить длинные комбинации. Автозаполнение также экономит время, избавляет от опечаток, проблем с неправильной раскладкой клавиатуры.
• Уникальность паролей. Можно отказаться от использования одного и того же пароля на разных сайтах. Большинство браузеров также умеют генерировать комбинации из случайных символов при регистрации на новых ресурсах. Если один такой уникальный пароль попадет в утечку, мошенники не смогут его использовать для входа на другие сайты.
• Бесплатность. Функция доступна сразу после установки браузера и не требует оплаты подписок или установки стороннего софта.
• Кроссплатформенность. При использовании единого аккаунта браузера и включенной синхронизации доступ к данным сохраняется на разных устройствах. Например, пароль, сохраненный на компьютере, становится также доступен на смартфоне или планшете.
• Базовая защита от фишинга. Автозаполнение связано с конкретным адресом сайта. Если пользователь случайно попадет на мошеннический сайт-двойник, браузер не подставит данные для входа автоматически, поскольку адрес поддельной страницы отличается от оригинала.
• Проверка на утечки. Современные браузеры могут проверять сохраненные учетные данные на наличие в известных базах утечек и предупреждать пользователя о необходимости их заменить.

Недостатки и скрытые риски встроенного менеджера паролей

Ограничения касаются мелких неудобств при работе с разными браузерами и пользователями.

Но есть и более серьезные риски, касающиеся кражи личной информации и вирусных атак.

Привязка к одному браузеру и ограничения в управлении

Пароли, сохраненные в одном браузере, не появляются автоматически при переходе в другой. Например, при переходе с Chrome на Firefox потребуется импортировать данные или заново сохранять учетные данные.

Встроенный антивирус Windows (Defender): хватает ли его для базовой защиты домашнего компьютера?

Кроме того, для встроенной функции не предусмотрена возможность разграничивать доступ для разных пользователей или безопасно делиться данными с членами семьи, как в специализированных менеджерах. Из-за этого иногда приходится передавать данные другими способами (через мессенджеры, электронную почту), что создает дополнительные точки утечки.

Риск взлома учетной записи

С одной стороны,синхронизация удобна, поскольку позволяет пароль, сохраненный на компьютере, использовать и на телефоне. Но она требует особого внимания к защите главной учетной записи браузера. Если злоумышленник получит данные для авторизации, он может зайти в учетную запись на любом своем устройстве.

После этого у него будет доступ ко всем сохраненным данным, что приведет к потере контроля над соответствующими аккаунтами в разных сервисах.

Риск физического доступа и экспорта данных

Безопасность браузерного хранения паролей во многом зависит от защиты самого компьютера или смартфона. Если оставить устройство без присмотра разблокированным или использовать слабый пароль, украсть данные будет очень легко.

Любой человек сможет зайти в настройки браузера и увидеть все данные в открытом виде.

Особенно опасно оставлять разблокированное устройство без присмотра в общественных местах, офисе или другом месте, где к нему могут получить физический доступ посторонние.

А функция экспорта позволяет практически мгновенно скопировать все пароли из браузера в обычный текстовый файл.

Кража данных стилерами

Стилеры (Stealers) — вредоносные программы, созданные для кражи учетных данных (включая данные автозаполнения, сохраненные банковские карты, сессионные cookie-файлы). Они сканируют стандартные системные папки, потом расшифровывают информацию и отправляют ее на сервер злоумышленникам.

Для заражения устройства часто достаточно случайно скачать вредоносный файл под видом полезной программы, документа или очередного обновления приложения.

Как снизить риски при браузерном хранении паролей

Отказываться от встроенного менеджера паролей необязательно. Снизить риски поможет соблюдение несложных правил безопасности:

• Не сохранять критически важные пароли. Данные для входа от онлайн-банков, основной электронной почты и аккаунта на портале «Госуслуги» и прочих важных сервисов лучше не доверять браузерам. Их безопаснее держать в памяти или в защищенном менеджере паролей.
• Защищать само устройство. На компьютере и смартфоне должен быть установлен надежный пароль, PIN-код или биометрическая аутентификация (Touch ID / Face ID). Автоматическую блокировку устройства также лучше не отключать.
• Защищать учетную запись браузера.Если используется синхронизация, основную учетную запись необходимо защищать уникальным паролем и многофакторной аутентификацией.
• Включить двухфакторную аутентификацию. На всех важных сервисах нужно включить подтверждение входа через push-уведомления, приложения-аутентификаторы (Яндекс.Ключ, Google Authenticator) или SMS. В этом случае, даже если вирус-стилер украдет пароль из браузера, мошенники не смогут зайти в аккаунт без второго фактора.
• Использовать дополнительную защиту базы данных (при наличии). Например, в Mozilla Firefox предусмотрен Primary Password, который включает отдельную защиту в браузере для сохраненных учетных данных. Он будет запрашиваться при первом вводе пароля в каждом сеансе.
• Регулярно обновлять ПО и использовать надежный антивирус. Обновления браузера и операционной системы закрывают найденные уязвимости, которыми могут воспользоваться злоумышленники. А антивирус блокирует попытки запуска вредоносных программ.

Когда сохранение паролей лучше отключить

В некоторых случаях лучше полностью отказаться от использования встроенной функции сохранения паролей. Например, при использовании любых чужих устройств (в интернет-кафе, отеле, библиотеке). Даже при однократном сохранении учетных данных на таком компьютере они могут остаться в профиле браузера, откуда их смогут извлечь другие пользователи.

Аналогичное правило действует:

• Для общих и служебных компьютеров. Если устройством пользуются несколько человек под одной системной учетной записью, автозаполнение делает личные аккаунты доступными для всех коллег или членов семьи.
• Перед ремонтом и продажей устройства. Кроме отключения автозаполнения, нужно выйти из учетных записей, удалить сохраненные данные и отключить синхронизацию, иначе файлы базы легко восстановят.
• Для владельцев старых или необновляемых устройств. Если для операционной системы больше не выпускаются обновления безопасности, они становятся более легкой мишенью для взлома и кражи данных.

Для большинства пользователей использование встроенной функции при условии правильной настройки и соблюдения рекомендаций по безопасности может быть более надежным вариантом, чем повторное использование одного пароля на разных сайтах или хранение данных в обычных заметках и текстовых файлах.

Подписывайтесь на «Заметки сисадмина», ставьте лайк и пишите в комментариях, пользуетесь ли вы менеджером сохранения паролей?