Менеджеры паролей: как работают и безопасны ли

Что такое менеджер паролей?

Менеджер паролей — программа, которая генерирует, хранит и подставляет ваши пароли ^[2]. Он может быть встроен в браузер или телефон либо представлять собой отдельное приложение стороннего разработчика ^[1]. Вы открываете его одним основным паролем (его часто называют мастер-паролем), поэтому запоминать нужно лишь один надёжный пароль ^[2].

Главное преимущество в том, что для каждого сервиса можно использовать уникальный пароль, ведь запоминать их больше не нужно ^[1]. Это важно, потому что повторно используемые пароли распространяют ущерб. NCSC поясняет: если один аккаунт скомпрометирован, хакер может попробовать тот же пароль на других ваших аккаунтах ^[1].

Большинство менеджеров также предлагает ^[1]:

• Генерацию паролей: создание надёжного уникального пароля для каждого аккаунта.
• Автозаполнение: ввод пароля за вас, что также помогает против фишинга, поскольку пароль подставляется только на правильном сайте.
• Синхронизацию: доступ к паролям на всех ваших устройствах.
• Предупреждения об утечках: оповещение, если сохранённый пароль оказался в утечке.

Рекомендуют ли их органы по кибербезопасности?

Да. CISA, агентство кибербезопасности США, советует хранить все пароли в менеджере паролей и защищать хранилище надёжной парольной фразой ^[3]. Рекомендации NIST 2025 года идут дальше в отношении сайтов: сервисы обязаны разрешать менеджеры паролей и автозаполнение и должны разрешать вставку паролей ^[4].

Как менеджер паролей защищает пароли?

Сохранённые пароли находятся в зашифрованном файле, который называется хранилищем. Опубликованный технический документ Bitwarden о безопасности — один из подробных примеров того, как облачный менеджер его защищает ^[5]:

1. Мастер-пароль усиливается функцией формирования ключа — по умолчанию PBKDF2-SHA256 с 600000 итераций, — в результате чего создаётся ключ шифрования. Пользователи могут вместо этого выбрать Argon2id ^[5].
2. Хранилище шифруется на вашем устройстве алгоритмом AES-256 до того, как что-либо будет загружено ^[5].
3. Мастер-пароль и полученные из него ключи шифрования никогда не отправляются на серверы Bitwarden и не хранятся там; сервер получает лишь хеш мастер-пароля, который используется для проверки входа ^[5].
4. Серверы хранят и синхронизируют данные хранилища только в зашифрованном виде, и, по словам Bitwarden, её сотрудники не могут видеть ваши пароли ^[5].

Такую схему часто рекламируют как шифрование с нулевым разглашением (zero-knowledge): компания не должна иметь возможности прочитать ваше хранилище, даже если её серверы взломаны. Исследователи отмечают, что заявления поставщиков подразумевают защиту даже от полностью вредоносного сервера ^[6]. Усиление ключа замедляет каждую попытку подобрать мастер-пароль, поэтому длинный мастер-пароль так важен на случай кражи зашифрованного хранилища; исследователи указывали на слабые мастер-пароли и малое число итераций у старых аккаунтов LastPass ^[9].

А как же менеджеры паролей в браузерах и телефонах?

По словам NCSC, можно безопасно позволить браузеру или операционной системе сохранять пароли на ваших собственных устройствах, и такую возможность предлагают Chrome, Edge и Safari ^[1]. Приложение Apple «Пароли», появившееся в iOS 18, хранит пароли, ключи доступа, пароли Wi-Fi и коды проверки. Оно также предупреждает о паролях, которые легко угадать, которые используются повторно или были обнаружены в известных утечках данных ^[10]. NCSC отмечает, что пароли, сохранённые в браузере, защищены не лучше, чем ваши устройства и аккаунты, поэтому держите автоматические обновления безопасности включёнными ^[1].

Безопасны ли менеджеры паролей?

Менеджеры паролей сосредотачивают ваши секреты в одном месте, поэтому их безопасность проверялась публично — и злоумышленниками, и исследователями. Два случая стоит знать.

Что произошло при утечке LastPass?

В августе 2022 года злоумышленники проникли в LastPass в ходе двух связанных инцидентов. Во втором из них они воспользовались уязвимостью в ПО медиасервера на личном компьютере старшего инженера и установили кейлоггер, чтобы украсть его мастер-пароль ^[8]. Это дало им ключи, необходимые для загрузки резервной базы данных LastPass ^[8]. В декабре 2025 года Управление комиссара по информации Великобритании (ICO) оштрафовало LastPass на 1,2 млн фунтов стерлингов. Регулятор установил, что компания не внедрила достаточно надёжных мер безопасности ^[8]. Пострадали до 1,6 млн пользователей в Великобритании. Были похищены имена, адреса электронной почты, номера телефонов и сохранённые URL-адреса сайтов ^[8].

ICO не нашло доказательств того, что пароли клиентов были расшифрованы ^[8]. Отдельно, в 2023 году, исследователи безопасности связали более 150 жертв и кражи криптовалюты на сумму свыше 35 млн долларов с сид-фразами, хранившимися в LastPass. Они предполагали, что слабые мастер-пароли украденных хранилищ взламывались офлайн ^[9]. Исследователи признали, что, вероятно, не могут окончательно связать кражи с утечкой, поэтому это остаётся подозрением, а не подтверждённым выводом ^[9].

Что выяснило исследование ETH Zurich 2026 года?

Исследователи из ETH Zurich и Университета итальянской Швейцарии (Università della Svizzera italiana, USI) проверили, выдерживают ли заявления четырёх облачных менеджеров о «нулевом разглашении» ситуацию, когда сервер компании полностью вредоносен, например после взлома ^[6]. Они представили 12 различных атак на Bitwarden, 7 — на LastPass, 6 — на Dashlane и 6 — на 1Password ^[6]. Большинство из них позволяет восстановить пароли, а самые опасные ведут вплоть до полной компрометации всех хранилищ организации ^[6].

Важен контекст. Атаки предполагают, что злоумышленник уже контролирует серверы поставщика ^[7]. Многим из них затем требуются обычные действия пользователя, например вход или синхронизация; другим — такие действия, как совместный доступ или ротация ключей ^[7]. Исследователи сообщили о своих выводах поставщикам, и исправления готовятся ^[6]. Dashlane заявила, что удалила устаревшую криптографию, лежавшую в основе самой серьёзной проблемы, а LastPass оспорила часть оценки серьёзности ^[7]. Исследователи отметили, что не могут исключить, что продвинутые злоумышленники уже знают об этих слабостях ^[7].

Так стоит ли всё-таки пользоваться менеджером?

Официальная рекомендация по-прежнему — да. И NCSC ^[1], и CISA ^[3] рекомендуют менеджеры паролей, поскольку для большинства людей альтернатива — повторное использование слабых паролей. Уроки этих случаев: выбирайте надёжный мастер-пароль, включайте двухэтапную проверку и своевременно обновляйте программу ^[1][3].

Чем менеджеры паролей отличаются от других способов хранения паролей?

Каждый подход по-своему уравновешивает удобство и риски. NCSC допускает запись паролей в блокнот для некоторых людей, например тех, кому для управления аккаунтами нужна помощь родственников, поскольку злоумышленнику понадобился бы физический доступ ^[1]. Однако центр предупреждает, что некоторые банки запрещают записывать пароли, что любой, у кого есть доступ к блокноту, может их скопировать и что вы лишаетесь защиты автозаполнения от фишинговых сайтов ^[1]. CISA не рекомендует сохранять пароли в файле на компьютере ^[2].

Как выбрать и настроить менеджер паролей?

По словам NCSC, лучший менеджер паролей — тот, который отвечает вашим потребностям и которым вам удобнее всего пользоваться ^[1]. Стоит учесть, работает ли он на всех ваших устройствах и операционных системах, можно ли управлять генерируемыми паролями, будете ли вы платить или пользоваться бесплатной версией, а также дополнительные функции, например совместный доступ к паролям или оповещения об утечках ^[1]. Главное преимущество стороннего менеджера перед браузерным — синхронизация между разными браузерами и устройствами ^[1].

1. Создайте надёжный мастер-пароль. CISA рекомендует пароли длиной не менее 16 символов — случайные или в виде парольной фразы из 4–7 не связанных между собой слов ^[2] — и указывает, что пароль от хранилища должен быть длинным, уникальным и случайным ^[3].
2. Включите двухэтапную проверку для менеджера. По словам NCSC, она не пустит преступников, даже если они узнают ваш основной пароль ^[1].
3. Настройте восстановление. На случай, если вы забудете основной пароль, многие менеджеры предлагают подсказки или экстренный доступ через доверенных лиц ^[1]. Настройте это заранее.
4. Замените слабые пароли. Проверьте существующие пароли и замените все, которые не являются длинными, уникальными и случайными, на сгенерированные менеджером ^[3].
5. Избегайте общих компьютеров. Никогда не сохраняйте пароли в браузере общего или публичного компьютера ^[1].
6. Добавляйте ключи доступа там, где они есть. NCSC теперь рекомендует ключи доступа как первый вариант входа, а там, где их нет, — надёжные пароли и двухэтапную проверку ^[11]. Многие менеджеры хранят и ключи доступа; NCSC называет такие инструменты менеджерами учётных данных ^[12].

Какие правила для паролей сейчас рекомендуют официальные руководства?

Документ NIST SP 800-63B-4, окончательно утверждённый в 2025 году, изменил давние правила для паролей на сайтах и в сервисах таким образом, что это удобно для менеджеров паролей ^[4]:

• Пароли, используемые как единственный фактор, должны содержать не менее 15 символов; пароли, используемые вместе с другим фактором, — не менее 8 ^[4].
• Сервисы должны допускать пароли длиной не менее 64 символов ^[4].
• Сервисы не должны навязывать правила состава, например требовать сочетания разных типов символов ^[4].
• Сервисы не должны принуждать к периодической смене паролей, но обязаны требовать смены при наличии признаков компрометации ^[4].
• Новые пароли должны проверяться по списку распространённых, ожидаемых или скомпрометированных паролей ^[4].
• Сервисы обязаны разрешать менеджеры паролей и автозаполнение и должны разрешать вставку ^[4].

Эти правила относятся к сервисам, а не непосредственно к вам. Они упрощают менеджеру генерацию и подстановку длинных случайных паролей.

Что ждёт менеджеры паролей дальше?

Менеджеры паролей превращаются в универсальные менеджеры учётных данных. Приложение Apple «Пароли» уже хранит ключи доступа и коды проверки наряду с паролями ^[10]. NCSC ожидает, что, пока ключи доступа распространяются, люди продолжат пользоваться паролями там, где ключей доступа ещё нет, управляя ими с помощью менеджера паролей ^[11][12].

Исследование 2026 года также усилило давление на заявления поставщиков о безопасности. Исследователи рекомендуют по умолчанию подключать новых пользователей с самой современной криптографией и давать существующим клиентам выбор, переходить ли на неё ^[7]. Полная версия статьи, последний раз пересмотренная в августе 2026 года, включает дополнительные результаты по 1Password ^[6].

Это общая информация о безопасности, а не рекомендация конкретного продукта. Прежде чем доверить менеджеру свои аккаунты, изучите опубликованную документацию по его безопасности и историю обновлений.