Коротка відповідь: Спільна таблиця паролів або повідомлення в Teams підведе вже за першої кадрової зміни — ніхто не зможе сказати, хто що встиг скопіювати, тому доведеться змінювати все. Корпоративний менеджер паролів зберігає їх у зашифрованому сховищі та надає доступ групам людей, а не розсилає паролі в повідомленнях. Для невеликої компанії без власного ІТ-відділу на практиці є три розумні варіанти: Bitwarden (відкритий вихідний код, можна розгорнути на власному сервері), 1Password (адміністратор може відновити доступ у разі забутого пароля) і Keeper (детальні правила ролей і передавання сховища після звільнення працівника). Початкове налаштування в невеликій компанії займає один день, а звикання працівників — кілька тижнів.
Чому спільна таблиця паролів одного дня стане проблемою
У більшості невеликих компаній ситуація схожа: файл hesla.xlsx на спільному диску, нотатка в OneNote або закріплене повідомлення в командному чаті. Це працює роками — доки не трапиться одна з чотирьох ситуацій.
Хтось звільняється. У цей момент ви не зможете з’ясувати, що саме знала ця людина. Вона відкривала таблицю сотню разів, могла її скопіювати, сфотографувати телефоном або надіслати додому. Єдина відповідальна реакція — змінити всі паролі в компанії, а для кількох десятків сервісів це означає цілий день роботи й майже напевно перебої, адже хтось забуде про обліковий запис, який використовує програма для виставлення рахунків. Якщо ви вже опинилися в такій ситуації, скористайтеся інструкцією зі статті ваш айтішник звільнився — як перебрати корпоративну ІТ-інфраструктуру; цей текст пояснює, як надалі такої ситуації уникнути.
Ніхто не знає, хто до чого має доступ. Таблиця не веде журналу. Ви не з’ясуєте, хто й коли її відкривав, чи переписала бухгалтерка також дані для входу в панель керування сайтом і хто передав пароль від інтернет-магазину зовнішньому дизайнеру. Без цього після інциденту неможливо визначити його масштаб — а саме про масштаб насамперед запитає страхова компанія.
Один пароль використовується всюди. Таблиця спонукає людей запам’ятовувати паролі, а отже — робити їх короткими й використовувати повторно. Тоді один зламаний пароль із витоку в не пов’язаному з компанією сервісі відкриває корпоративну пошту, банк і бухгалтерію. Про подальший розвиток такого інциденту розповідає стаття програма-вимагач у компанії: перші 24 години.
Файл розмножується. Його копіюють на робочий стіл, додають до листа, зберігають у завантаженнях. За кілька років з’являється кілька версій у різних місцях, і деякі з них досі містять чинні паролі. Навіть якщо захистити файл паролем, цей пароль знатимуть усі, кому потрібен доступ до його вмісту.
Як працює менеджер паролів
Принцип простий, і його варто зрозуміти ще до вибору конкретного продукту.
Сховище шифрується на вашому пристрої, а не в постачальника. Дані шифруються на вашому комп’ютері ще до надсилання. У документації з безпеки Bitwarden описує це як наскрізне шифрування AES-256 із формуванням ключа з головного пароля за допомогою PBKDF2 або Argon2id. При цьому головний пароль і ключі на сервери не надсилаються. Таку саму модель — професійною мовою «zero knowledge» — використовують 1Password і Keeper. На практиці це означає: той, хто викраде дані із серверів постачальника, отримає зашифрований пакет, а не паролі.
Для входу потрібні один головний пароль і другий фактор. Головний пароль (master password) — єдиний, який потрібно пам’ятати, тому він має бути довгим: радше фразою, ніж словом. До нього додається другий фактор: застосунок у телефоні, апаратний ключ або вхід за допомогою корпоративного облікового запису.
Розширення браузера заповнює пароль лише на правильному домені. У Bitwarden для кожного запису зберігається адреса, а типовий режим порівняння — «базовий домен»: пароль, збережений для google.com, буде запропоновано на accounts.google.com, але не на google.net. На шахрайській сторінці, яка виглядає як форма входу до банку, але працює на іншому домені, розширення нічого не пропонує — не тому, що розпізнало шахрайство, а тому, що домен не збігається. Ця відсутність реакції — важливий сигнал: якщо пароль не пропонується там, де завжди пропонувався, це не несправність, а попередження.
Спільний доступ — не розсилання. Пароль не надсилають людині в повідомленні, а додають до групи записів, доступ до якої мають певні користувачі. Якщо пароль змінюється, він оновлюється відразу для всіх.
Bitwarden проти 1Password проти Keeper
Усі три продукти добре відомі, мають корпоративні тарифи й оплачуються щомісяця за кожного користувача. Ціни змінюються, тому завжди перевіряйте їх на сайті виробника; нижче наведено порівняння властивостей, які від тарифів не залежать.
| Властивість | Bitwarden | 1Password | Keeper |
|---|---|---|---|
| Вихідний код, розгортання | Код доступний для перегляду на GitHub; продукт можна розгорнути на власному сервері, а платні функції активуються ліцензією, прив’язаною до чинної підписки | Закритий код, хмарна служба виробника | Закритий код, хмарна служба виробника |
| Як розподіляється доступ | Організація → колекції; їх призначають окремим користувачам і групам, а вкладеність потрібна лише для впорядкування (права не успадковуються) | Сховища (vaults) + власні групи за проєктом, відділом або місцем роботи | Спільні папки + команди + ролі |
| Рівні дозволів | Для колекції (читання, редагування та інші дії відповідно до ролі) | Для сховища: View, Create, Edit, Archive і Delete Items | Can Manage Users / Can Manage Records / обидва дозволи / жодного, а також enforcement policies для створення та спільного доступу |
| Вхід через корпоративний обліковий запис (SSO) | Login with SSO, SAML 2.0 і OIDC у тарифі Enterprise; також SCIM provisioning | Unlock with SSO лише в тарифі Business (Entra ID, Okta, Google Workspace, JumpCloud, Duo, OneLogin, Ping, Auth0); учасники групи Owners не можуть розблоковувати сховище через SSO, щоб не втратити доступ до системи | Keeper SSO Connect, SAML 2.0 — AD FS, Entra ID, Okta, Google Workspace, Ping, JumpCloud та інші |
| Аудит і звіти | Організаційні звіти: розкриті, повторно використані та слабкі паролі, сайти без шифрування, відсутність двофакторної автентифікації, Member Access | Журнал аудиту з історією за 365 днів (групи, записи, спільний доступ, зміни MFA), звіти про команду та пристрої, Watchtower | Advanced Reporting & Alerts — реєструються доступ, редагування, надання спільного доступу та видалення у спільних папках |
| Звільнення працівника | Видалення або призупинення учасника припиняє його доступ до колекцій | Видалення з груп і сховищ | Видалення з команди автоматично скасовує доступ до папки; Account Transfer Policy передає все сховище іншому користувачеві |
| Забутий головний пароль | Адміністратор скидає облікові дані, але лише учасникам, яких заздалегідь зареєстрували в програмі відновлення | Відновлення запускає власник, адміністратор або група з дозволом Recover Accounts; користувач отримує новий Secret Key | Відновлювальна фраза з 24 слів (BIP39), створена під час реєстрації облікового запису; Keeper не має до неї доступу й не зможе допомогти з відновленням |
Як вибрати між ними
Bitwarden має сенс, якщо ви хочете мати доступ до вихідного коду або зберігати дані на власному сервері. Самостійне розгортання безкоштовне, але для платних функцій потрібна ліцензія, прив’язана до чинної підписки. Крім того, це сервер, який хтось має оновлювати й резервувати. Якщо в компанії немає такої людини, використовуйте хмару виробника, а відкритий код сприймайте як гарантію прозорості.
1Password варто вибрати там, де потрібно враховувати, що люди забувають паролі. Для відновлення облікового запису адміністратором користувачеві не потрібно заздалегідь щось записувати. Проте право на відновлення повинні мати щонайменше дві людини — документація прямо звертає на це увагу, адже інакше компанія втратить доступ, щойно його втратить єдиний адміністратор.
Keeper доречний там, де є багато ролей і потрібно точно визначити, хто може створювати записи, надавати до них спільний доступ і передавати їх далі. Політика передавання облікового запису найбільше відповідає тому, що власники компаній мають на увазі під словами «я хочу бути впевненим, що після звільнення працівника матиму до всього доступ». Однак її потрібно ввімкнути заздалегідь, а після передавання обліковий запис буде видалено.
Корпоративні функції, заради яких усе це впроваджується
Корпоративний тариф відрізняється від особистого трьома визначальними можливостями.
Спільні колекції за командами. Бухгалтерія бачить банк і бухгалтерське програмне забезпечення, відділ продажів — CRM та інтернет-магазин, маркетинг — соціальні мережі й аналітику. Ніхто, крім адміністраторів, не бачить усього. Розподіл за ролями — не бюрократія, а спосіб зменшити шкоду, якщо один обліковий запис потрапить до чужих рук.
Скасування доступу однією дією. Після звільнення достатньо видалити людину з організації або команди — змінювати паролі не потрібно. Саме цим менеджер паролів відрізняється від таблиці, де доводиться змінювати їх усі.
Звіти про слабкі й повторно використані паролі. Bitwarden і 1Password можуть перевірити сховище та показати, де один пароль використовується в кількох сервісах, де пароль закороткий і які паролі були виявлені у витоках даних. Після впровадження запустіть такий звіт хоча б один раз — після імпорту з браузерів список зазвичай виявляється несподівано довгим.
Якщо на вашу компанію поширюється закон про кібербезпеку та NIS2, вам доведеться документально підтверджувати облік і відкликання доступів. Сам по собі менеджер паролів не забезпечить відповідність вимогам, але без нього підтвердити цю частину взагалі неможливо.
Що показав витік у LastPass
Варто чесно зазначити, що менеджер паролів теж є ціллю для атак. 22 грудня 2022 року LastPass опублікував оновлення щодо інциденту, який розпочався в серпні 2022 року в середовищі розробки й продовжився в листопаді у хмарному сховищі. За даними компанії, зловмисник скопіював резервну копію даних клієнтів, зокрема резервну копію сховищ. Вона містила незашифровані адреси сайтів, тоді як імена користувачів, паролі, захищені нотатки й дані з форм були зашифровані за допомогою AES-256. За твердженням LastPass, компанія не знає й не зберігає головний пароль.
Висновки актуальні незалежно від вибраного інструмента. Головний пароль має бути довгим і ніде більше не використовуватися — після витоку резервної копії лише його надійність захищає вміст від зловмисника. І метадані теж є інформацією: перелік адрес показує, якими сервісами користується компанія, а цього достатньо для цільового фішингу.
Міграція: як вона відбувається
Цей порядок дій добре зарекомендував себе в компаніях із кількістю працівників до п’ятдесяти.
1. Зберіть усе, що маєте. Складіть перелік сервісів: електронна пошта, банк, бухгалтерія, інтернет-магазин, CRM, домен, хостинг, соціальні мережі, VPN, камери, принтери. Зазвичай їх більше, ніж будь-хто припускає. Для кожного зазначте, хто ним користується.
2. Експортуйте паролі з браузерів. У Chrome відкрийте chrome://password-manager/settings і виберіть завантаження файлу. У результаті ви отримаєте CSV, який можна імпортувати до сховища. Цей файл містить звичайний читабельний текст. Документація Bitwarden прямо вимагає видалити його після імпорту, зокрема очистити кошик. Не надсилайте файл електронною поштою чи в чаті.
3. Створіть структуру колекцій до запрошення користувачів. Називайте колекції за напрямами роботи, а не за іменами людей. «Бухгалтерія», «Сайт та інтернет-магазин», «Інфраструктура» переживуть кадрові зміни; «Паролі Петра» — ні.
4. Впроваджуйте за командами. Почніть із команди, яка має найбільше спільних доступів, — зазвичай це адміністрування сайту й бухгалтерія. Одна команда, один тиждень, збір зауважень, а потім наступна команда. Запуск для всієї компанії за один день часто закінчується появою двох систем обліку замість однієї.
5. Вимкніть збереження паролів у браузері. Інакше нові паролі й надалі зберігатимуться там, а сховище застаріватиме. Після завершення імпорту видаліть паролі з браузера.
6. Подбайте про головний пароль до того, як хтось його забуде. Цей крок найчастіше пропускають, хоча саме його наслідки найболючіші. У Bitwarden учасників потрібно заздалегідь зареєструвати в програмі відновлення — без цього адміністратор не зможе скинути їхній пароль. У 1Password право на відновлення повинні мати щонайменше дві людини. У Keeper під час реєстрації користувач отримує відновлювальну фразу з 24 слів; якщо він втратить її та забуде пароль, не допоможе навіть служба підтримки виробника. Роздрукуйте фразу та зберігайте її разом із документами компанії.
7. Зафіксуйте процедуру звільнення письмово. Кого потрібно видалити, з яких колекцій, хто це перевіряє та в який строк. Без такої процедури колишній працівник може залишатися в організації місяцями.
8. Через місяць запустіть звіти. Перевірте слабкі, повторно використані й скомпрометовані паролі та змініть усе, що знайде звіт. Водночас стане зрозуміло, чи справді люди користуються інструментом.
Наостанок — дві помилки. Спільне використання одного облікового запису кількома людьми (типовий приклад — «kancelar@») позбавляє журналювання сенсу, адже з журналу неможливо визначити, хто саме що робив. Де це можливо, створіть кожному окремий обліковий запис. І менеджер паролів — це не резервна копія: він захищає доступи, а не дані. Про те, що входить до кожного рівня обслуговування ІТ, розповідає стаття скільки коштує обслуговування ІТ для невеликої компанії.
Потрібна допомога
ITHOPE (Брно) допомагає компаніям вибирати та впроваджувати менеджери паролів з урахуванням кількості працівників і напрямів роботи: ми створимо структуру колекцій, імпортуємо паролі з браузерів і старих таблиць, налаштуємо відновлення головного пароля так, щоб компанія не могла втратити доступ, і підготуємо процедуру звільнення, якої реально дотримуватися. Це доповнює звичайне обслуговування ІТ та резервне копіювання; інші послуги представлені в розділі ІТ для компаній. Зверніться до нас — ми з’ясуємо, чим користується ваша компанія, і скажемо, чи достатньо базового тарифу, чи варто впровадити SSO.
Джерела
- Bitwarden Security Whitepaper
- About Collections (Bitwarden)
- Account recovery administration (Bitwarden)
- URI match detection (Bitwarden)
- Import from Chrome (Bitwarden)
- Recover accounts (1Password)
- Unlock with SSO (1Password)
- Account Transfer Policy (Keeper)
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).