Сегодня мы разберем, как хранить пароли, чтобы это было безопасно. Сервисов с каждым годом становится все больше, пароли сложнее, а держать все в голове становится все труднее и труднее. Все мы привыкли хранить пароли в браузере и наш браузер с любезностью предлагает их сохранить. Но хранение паролей в браузере не самая лучшая идея. Когда я работал в информационной безопасности, то я писал скрипт который проходился по всем учетным записям и вытаскивал локальные базы данных с хранением паролей, логинами и адресами где этот пароль был сохранен. Тем самым я получал доступ к сайту и в браузере Chromium еще и к логину на этом сайте. В firefox же логин тоже зашифрован, как и пароль. Да, пароль зашифрован, но сам факт наличия таких записей и даже пароля (хоть и в зашифрованном виде), не есть хорошо. Разумеется я это использовал без дешифровки пароля и без злого умысла, а в рамках проверки по безопасности предприятия и в последующем блокировки хранения паролей в браузерах. Почитав форумы, я выяснил, что ключ для шифрования у каждого лежит где-то рядом, в его домашней директории (это было 2-3 года назад, может уже поменялось, но тогда было так). Если подключить сюда нейронку, я думаю это не составит труда, найти ключ и уже не дешифровать, а расшифровать пароль. По этому хранить пароли в браузере, особенно от важных сервисов - это все равно что повесить щеколду на дверь, притом с обратной стороны (ну ладно, шучу, с внутренней :D). Сейчас я покажу и расскажу, как поставить хороший, Английский замок на вашу дверь в хранение ваших паролей.
Сразу хочу сказать, что все мои статьи касаются свежей Astra Linux 1.8, но KeePassXC можно поставить официально на 1.7 и на 1.8. На 1.6 пакета нету и поставить я увы без танцев с бубном не смог. Не смог из-за отсутствия библиотек, но и поставить эти библиотеки я тоже не смог. По этому пришлось собирать их из исходников, а потом ставить пакет от 1.7 KeePassXC на 1.6. Итог, полностью рабочий KeePassXC на 1.6, но нужны танцы. Данный скрипт я писал пару лет назад, по этому если что-то поменялось, то может быть, но он по сей день работает как автомат Калашникова.
Для начала, давайте глянем традиционный менеджер паролей от Яндекс.Браузера.
Вводим мастер-пароль.
После ввода пароля, мы получаем доступ ко всем паролям, которые запоминал и сохранял браузер.
Теперь перейдем к KeepassXC.
Самое что интересное, он есть в репозиториях Astra Linux 1.7 и в 1.8.
Старее конечно, чем на официальном сайте. На момент написания статьи, актуальная версия 2.7.12, а доступна на 1.8 2.7.4, а вот на 1.7 дела обстоял еще хуже, там версия 2.3.4
Загрузить KeepassXC можно и с официального сайта.
У KeepassXC есть много аналогов, к примеру сейчас потихоньку набирает популярность другой менеджер паролей PearPass.
У него есть преимущество - это P2P (Peer to Peer)
Данная технология помогает синхронизировать с ПК на телефон все пароли. Не в автоматическом режиме, а вручную, по требованию. Но все же не вручную забивать в телефоне и на компьютере.
Но его я рассматривать не стал из-за отсутствия расширений для браузеров для нашего региона. Сами знаете почему так. В случае с KeePassXC никаких ограничений. Да и коммьюнити у него больше и многие гиганты поддерживаю конвертацию с KeePassXC.
Приступим к установке.
Установка KeepassXC
Установка проста для 1.7 и 1.8.
sudo apt install keepassxc -y
Появится он в «Пуск» → «Инструменты» → «KeePassXC»
Настройки KeePassXC
Нажимаем «Создать новую базу данных».
Настраиваем параметры шифрования, тут все индивидуально.
Далее нам нужно придумать мастер-пароль для разблокировки к базе данных.
Этот пароль вы будете вводить по несколько раз на дню, по этому советую не простой, но и не сложный. Что-то среднее.
KeePassXC нам предлагает самим придумать название базы (файлика с базой) и место, куда мы его сохраним. Я предлагаю создать скрытыю директорию по типу .kk и в ней уже .k.kdbx но это вам решать.
У меня же дополнительно настроен файл, если этот файл изменить, удалить или переместить, то даже завладев мастер-пароль от базы, он ее не откроет без этого файла. Эта настройка Файл-ключ, но можно и аппаратный ключ использовать.
После создания базы, у нас откроется рабочее окно программы с пустой базой.
Теперь нам нужно настроить синхронизацию с браузером, мы же хотим чтобы пароли сами подставлялись в браузер. Вот тут кстати можно этого не делать, так как мы опять будем завязаны на браузер, нежели вручную копировать с менеджера паролей. Но я не настолько параноик, по этому я настрою синхронизацию.
Открываем настройки KeePassXC.
Ставим необходимые чекбоксы. Я же для себя сделал запуск программы при старте системы и в свернутом виде (как это делают много программ, а тут это нужно делать вручную :D Какая ирония).
Под 1.8 советую настроить иконку для трея, а так же действие при закрытии программы, чтобы не закрывалась, а сворачивалась.
Выведем KeePassXC на видное место в трее иконок, так как будем обращаться к ней часто.
Теперь самое интересное - это интеграция.
Переходим на вкладку в параметрах на «Интеграция с браузером».
Выбираем браузер с которым привыкли работать. Так как я использую Яндекс.браузер, а он построен на базе Chomium, то выбирать я буду его.
Находим расширение KeePassXC (можно через яндекс расширения найти, он перебросит на Chromium расширения), либо можно вручную скачать с официального сайта или воспользоваться этой ссылкой.
Нажимаем «Установить»
После установке, у нас появится значок где адресная строка (в случае и с яндекс браузером).
Горит он неактивным, так как нужно настроить связь с приложением на компьютере.
Кликаем на него и в появившемся окне нажимаем «Подключиться»
Задаем любое название соединению.
После нажатия кнопки «Сохранить и разрешить доступ», иконка загорелась зеленым. Связь установлена.
Если нажать на нее еще раз, то можно перейти в настройки.
Теперь давайте сохраним логин и пароль от авторизации в KeePassXC. При активной иконки в браузере и в трее (без замочка), можно авторизовываться и сохранять пароли.
Как видим, появилась напротив логина иконка KeePassXC, только она горит серым. Видно, что нету для данного сайта и поля никаких записей в базе данных, по этому горит серым.
Теперь нажимаем Войти.
После отправки формы (неважно, успешная она или нет), то KeePassXC сразу предлагает сохранить логин и пароль в программу.
После этого, достаточно выйти из учетной записи и не вводить логин и пароль, а просто нажать зеленую кнопку.
То есть KeePassXC сам предлагает заполнить за меня поля: Логин и Пароль.
После нажатия, сработало автозаполнения формы, а так же появилась запись в базе данных.
Вот так мы храним теперь пароли не в браузере, а локально на компьютере.
В KeePassXC по мимо банального сохранения паролей, можно оставлять заметки, описания, настраивать пин-коды итд. Это достаточно мощный и крутой инструмент. Есть свои минусы, по типу синхронизации базы с паролями между устройствами. Есть один лайфхак. Самый идеальный способ, если у Вас настроено облако и есть постоянный доступ к нему с любого устройства, то можно хранить файл там и подключить на всех устройствах файл из облака. Тогда ваши пароли будут всегда актуальными на всех устройствах, но хранить пароли в облаке, пускай и в хорошо зашифрованной базе - тоже не есть хорошо. Если и хранить в облаке, то лучше уж в Nextcloud через wireguard, но это уже совсем другая история.
Храните пароли правильно, удачи!