leviathan 29 июл 2011 в 19:00

Популярные менеджеры паролей в сравнении

5 мин

350K

Информационная безопасность *

+74

122

Комментарии 122

lightman 29 июл 2011 в 19:13

Использую KeePass, ибо такое интимное дело как хранение личных паролей стоит доверять лишь открытым программам.

Yizahi 29 июл 2011 в 22:12

Тот факт, что программа идет с открытыми исходными кодами означает только что там нет зловредных «закладок» от самих разработчиков (и только если хоть один человек сам просмотрел эти исходники, а не понадеялся на «гуру»). На дыры в коде его открытость никак не влияет в сравнении с проприетарным ПО.
И уж совсем никак не влияет на дыры в других программах (Адоб, Винда, Офис и т.п.) через которые к вам и прийдет 0-day кейлоггер и считает ввод с клавиатуры.

KeePess отличная программа, но не нужно быть фанатиком в стиле Столмана.

sol1tude 30 июл 2011 в 06:55

тот факт, что пароли сами не «сольются» на сервера разработчиков, уже огромный плюс опенсорсных менеджеров паролей.
по поводу 0-day кейлоггера: не все пользуются windows.

НЛО прилетело и опубликовало эту надпись здесь

Kwull 30 июл 2011 в 09:07

А что мешает скомпилить самому?

НЛО прилетело и опубликовало эту надпись здесь

ArtRoman 30 июл 2011 в 19:05

На том же андроиде, не обязательно ставить из маркета – можно самому скомпилировать (предварительно скачав sdk, который даже установки не требует) и установить на аппарат.

НЛО прилетело и опубликовало эту надпись здесь

ArtRoman 1 авг 2011 в 19:34

Так причём тут маркеты? Либо им доверяем, либо нет. Если нет, то если нужна прога — качаем исходники, собираем, профит.

НЛО прилетело и опубликовало эту надпись здесь

Kwull 30 июл 2011 в 10:26

Быть параноиком так уж до конца :)
Может у когото в ДНК закладки заложены и человек сам по какойто кодовой фразе все пароли расскажет

Kwull 30 июл 2011 в 10:42

А в-общем, довольно не реально написать идеальную программу, в которой можно было бы быть уверененным на все 100%, не важно open source или нет. В мире всё взаимосвязанно, в том числе и в компьютерном (железо, OS, soft, сеть, ...) — закладка или ошибка может быть везде.

С моей точки зрения, уж если доверять комуто свои пароли так уж точно не облачному сервису, разве что ты сам перед отправкой всё шифруешь.

Как уже писали выше keepass отличная программа. И мне она нравится не из-за того что она open source и можно проверить код, а из-за того что существует огромное количество плагинов к ней и если мне чего либо в ней не хватает, то поборов свою лень, я смогу добавить в неё то что мне нужно будет.

sol1tude 30 июл 2011 в 09:18

Вы же не сравниваете количество кода здесь, причем на .net, и количество сишного кода в freebsd?

rbatoon89 12 авг 2011 в 10:18

В последней версии KeePass есть функция ввода пароля через «Secure Desktop», т.е. большинство кейлогеров теперь не страшно))

PrettySweetie 29 июл 2011 в 19:16

Галерея Safari Extensions показывает, что есть еще менеджер паролей Mitto и RoboForm расширение для Safari на Windows

leealex 29 июл 2011 в 19:18

Здесь еще не хватает StickyPassword или в обертке от Касперского Kaspersky Password Manager. Пользуюсь платной версией StickyPassword и на мой взгляд она превосходит перечисленные в этом обзоре продукты, кроме LastPass, по тому, что не пользовался и не могу сравнить.

leealex 29 июл 2011 в 19:20

Единственным недостатком можно считать отсутствие поддержки линукса и мака.

ergil 30 июл 2011 в 11:07

«Он был бы замечательным бегуном, но был один недостаток. У него не было ног»

НЛО прилетело и опубликовало эту надпись здесь

crea7or 29 июл 2011 в 19:41

Я вообще ничего не заметил про безопасность.

Bloodlettinger 31 июл 2011 в 17:47

Про безопасность достаточно:
1. алгоритм шифрования указан для всех решений
2. упоминается о возможности включения преобразования ключа, для защиты от брутфорса
3. рассказывается о месте хранения базы, локально(в каталоге с по или в любом выбранном месте, например в dropbox), в облаке.
4. указывается про открытые и закрытые исходники (можно сделать вывод о гипотетической опасности увода паролей разработчиками у по с закрытым кодом)
Этой информации более чем достаточно, что бы сделать вывода о пезопасности

leviathan 29 июл 2011 в 19:47

Добавил способы шифрования баз, место их хранения и заметку про недавний взлом LastPass.

sol1tude 30 июл 2011 в 06:58

Добавьте, пожалуйста, еще информацию о том, умеют ли эти программы генерировать стойкие пароли. Например, keepass умеет.

sgzmd 30 июл 2011 в 07:24

все умеют. ЛастПасс и 1Пассворд точно умеют.

roman_tik 29 июл 2011 в 20:01

Такжe существуют сторонние программы, работающие с базами KeePass — под Linux и Mac OS X, например, KeePassX.

Важное замечание: KeePassX совместим только с базами KeePass 1.x, но не с базами KeePass 2.x
И, как мне кажется, KeePassX тут следовало рассмотреть как отдельную программу, базирующуюся на кодовой ветке KeePass 1.x.

НЛО прилетело и опубликовало эту надпись здесь

MagNet 30 июл 2011 в 06:21

KeePass тоже Twofish(256) поддерживает

EvgeniyKirov 29 июл 2011 в 21:31

А KeePass 2 для Linux выглядит как кошмар.

skobkin 31 июл 2011 в 12:25

Для хранения паролей — нормально.

roman_tik 29 июл 2011 в 20:05

А почему способ синхронизации базы через Dropbox указан только для программы 1Password? Что мешает использовать репликацию через тот же Dropbox (и иные аналогичные сервисы) для файлов-баз других программ (например, для KeePass и KeePassX)?

leviathan 29 июл 2011 в 20:10

В 1Password Dropbox интегрирован в программу, достаточно указать данныe доступа и ПО все делает самостоятельно. Про то, что синхронизация в KeePass возможна (в том числе и через DropBox) написано в тексте.

Kanvi 29 июл 2011 в 22:30

Так и делаю, синхронизирую kdb-файл через Dropbox и использую KeePassX на Ubuntu и KeePassDroid на Android.

НЛО прилетело и опубликовало эту надпись здесь

malicious 2 авг 2011 в 11:41

А у меня еще ключевой файлик на флешке :-)

GreenAngel 29 июл 2011 в 20:58

У оперы свой менеджер паролей есть.
Не полноценный, правда, но есть.

AlexQ 29 июл 2011 в 22:28

unwand.exe

dimmaq 30 июл 2011 в 05:23

Мастер-пароль?

ArtRoman 30 июл 2011 в 19:01

А если мастер-пароль?

ArtRoman 30 июл 2011 в 19:02

виноват(

Svyatov 29 июл 2011 в 21:05

Вместе с удобством, хранение базы на серверах также представляет собой риск: не так давно LastPass был взломан, и владельцы сервиса в обязательном порядке заставили всех клиентов сменить их мастер-пароли.

А можно пруфлинк? Насколько мне известно была зафиксирована лишь аномальная активность на одном из серверов, про взлом речи не было. После этого пароли _рекомендовали_ сменить и даааалеко не всем клиентам. Меня, например, менять мастер-пароль никто не заставлял и даже не рекомендовал.

leviathan 29 июл 2011 в 22:06

Пруфлинка не нашел, изменил текст. Извиняюсь, если ввел в заблуждение.

НЛО прилетело и опубликовало эту надпись здесь

serf 29 июл 2011 в 21:05

Думаю прикупить usb fingerprint сканер, и начать использовать с ним keepass. Получится подружить keepass + fingerprint сканер, у кого-то был опыт?

НЛО прилетело и опубликовало эту надпись здесь

serf 30 июл 2011 в 13:45

Это я понимаю, при физическом доступе недругов всегда найдется способ обойти защиту, будь то подделка правильного ввода (или даже не подделка, я ведь рядом), терморектальный криптоанализ и тд. или вы имели ввиду подделку правильного ввода удаленно (трояном)?

Но моя цель немного другая. Просто не хочу вводить пароль постоянно. Также не хочу хранить файл ключ, хотя этот вариант более удобен, но украсть файл с флешки проще чем мой палец. Нужна защита от троянов, допустим сперли базу и чтобы сделать с ней ничего не могли без моего пальца :) Пока хз подойдет ли для этого keepass, буду разбираться.

НЛО прилетело и опубликовало эту надпись здесь

serf 30 июл 2011 в 14:33

Думаю в наших краях будет проще вломиться в квартиру со всеми вытекающими, чем караулить мою кружку на работе и проводить с ней различные манипуляции. Наверно любите фантастику, и шпионские боевики? :)

Пока по старинке буду использовать пароль, но fingerprint не отбрасываю.

samlowry 31 июл 2011 в 08:53

А где была? Я на нашёл, нашёл только пачку статей про надёжность сканеров, завис на 20 минут. Подскажете?

SkySy 29 июл 2011 в 21:06

Недавно заметил странную особенность у lastpass. Решил там сменить свой логин, т.е. email. Сменил, и думаю, а что будет если я попытаюсь залогиниться из хрома с помощью их расширения. Попробовал, расширение выдало мне, что такой email не найден, но при этом заполнило все формы! Получается, что это расширение хранит все пароли у вас на компьютере.

Svyatov 29 июл 2011 в 21:38

Конечно хранит. Чтобы не было зависимости от интернета. На каждом компьютере, где используется lastpass хранится локальная копия паролей.

SkySy 29 июл 2011 в 22:04

Пусть хранит, ладно, но зачем заполнять формы при неправильном вводе логина и пароля. Вот в чем вопрос

EvgeniyKirov 30 июл 2011 в 13:28

А зачем мне мои пароли, когда нет интернета?

Вот падение самого LastPass — это дааа…

WAYS 29 июл 2011 в 21:07

LastPass поддерживает Symbian.

НЛО прилетело и опубликовало эту надпись здесь

consalt 29 июл 2011 в 21:38

А как интегрировать keepass в Оперу? Не нашел на в экстеншенах оперы ни на сайте keepass расширени.

leviathan 29 июл 2011 в 22:08

Расширения нет, но KeePass вроде умеет вводить пароли через AutoType.

mime 29 июл 2011 в 22:12

он не интегрируется, просто умеет сам заполнять поля по хоткею.

Tesla 30 июл 2011 в 06:39

Я юзаю js, который добавляет название домена в title страницы. Коряво, но хоть как-то работает =\

Lungo 29 июл 2011 в 21:42

>LastPass был взломан, и владельцы сервиса в обязательном порядке заставили всех клиентов сменить их мастер-пароли

Не заставляли они, а рекомендовали поменять, если пароль недостаточно надежный. Я, например, не менял

stalkerxxl 29 июл 2011 в 22:05

в таблице не хватает колонки «блокнотик с ручкой»

lightman 29 июл 2011 в 22:17

Недавно в интернете?
Эх, молодые мои годы… Все мы проходим через этот этап. Сначала блокнотик с ручкой, потом *.txt файлик на компьютере и только уж потом, умудрённые опытом, мы заводим программы для хранения паролей.

А на самом деле это неплохая идея: сразу перескочить на последний этап, минуя предыдущие. Попробуйте, вам понравится :)

LordOfFrost 2 авг 2011 в 03:41

И наивысшая стадия надежности — хранение большей части паролей в голове.
Если, конечно, память позволяет.

lightman 2 авг 2011 в 06:58

Голова как носитель, к сожалению, неустойчива к внешним негативным воздействиям, бывает же амнезия в результате несчастного случая.

Vokabre 29 июл 2011 в 22:21

С шифрованием у блокнотика беда!

stalkerxxl 29 июл 2011 в 22:27

у врачей- с шифрованием все в порядке… они сами иногда свой почерк разобрать не могут =-)))

Vokabre 29 июл 2011 в 22:30

Ненадёжная получается база, тогда нужно минимум два блокнотика для сверки записей!

sgtpep 29 июл 2011 в 22:35

Важная особенность 1Password не отражена. Хранилище (называется agile keychain) представляет из себя папку с html-файлом, который можно открыть в любом браузере (в т.ч. Opera Mobile) и получить полноценный 1Password-интерфейс. Ничто не мешает эту папку синхронизировать через Dropbox и открывать на том же мобильнике.

leviathan 29 июл 2011 в 22:58

Спасибо, добавил информацию.

farcaller 30 июл 2011 в 07:06

И еще одна удобная особенность: интеллектуальное заполнение данных кредиток.

Кроме того в 1P можно хранить лицензионные данные для ПО. Ну и хранение «абстрактных» файлов, например приватных ключей.

НЛО прилетело и опубликовало эту надпись здесь

Ohytos 30 июл 2011 в 00:48

SPB Wallet
256-bit AES, интеграция с IE и Firefox, файл с паролями можно синхронизировать через Dropbox
Клиенты для Win, Mac, WinMobile, Symbian S60, Android, iOS

BiOM 30 июл 2011 в 06:13

Поддерживаю. Подсел на SPBWallet еще во времена пользования pocketPC с Windows Mobile 2003. С тех пор наросла большая база паролей и куда-то мигрировать уже и не думаю.
Добавлю — синхронизация через Gmail. Как следствие, копия базы всегда есть и в вашем ящике на гмыле, в качестве бекапа.

lair 2 сен 2011 в 16:58

Все в ней хорошо (сам пользуюсь), кроме одного — тормозов разработчиков. Нет ни плагина под актуальные версии FF, ни нормального приложения для iPad.

ValdikSS 30 июл 2011 в 02:59

Попробуйте SuperGenPass. Ничего нигде не хранит, а генерирует пароль на основе мастер-пароля и домена.

AstonMartin 30 июл 2011 в 03:48

А если домена нет? Не обязательно ведь пароли должны быть только к сайтам.

Busla 30 июл 2011 в 07:48

Ну введи вместо домена название программы — никаких проблем :-)

AstonMartin 30 июл 2011 в 07:54

Ага, а потом через годик я и не вспомню как я писал название программы: с заглавными буквами или нет, с пробелами или нет, в какой раскладке.
А ведь пароли еще нужны для доступа к серверам, к зашифрованным контейнерам и тд.
Вообщем, не удобный способ.

skobkin 31 июл 2011 в 12:35

Я думал себе такое написать, а потом вспомнил, что от одного сайта может быть несколько паролей и еще куча случаев-исключений. Поэтому не стал браться.

НЛО прилетело и опубликовало эту надпись здесь

max_rip 30 июл 2011 в 14:43

А потом флешку кто-то украдет/потеряется/поломается.

Ivanhoe 30 июл 2011 в 05:42

Использую Password Safe, к которой приложил руку Брюс Шнайер.

MagNet 30 июл 2011 в 06:27

Ещё для KeePass есть куча плагинов:
keepass.info/plugins.html

Marfapr 30 июл 2011 в 06:29

KeePass при помощи плагинов можно автоматически синхронизировать между компьютерами

AFC 30 июл 2011 в 06:53

Может для RoboForm и LastPass сделать две колонки (бесплатная/платная версии)? А то получается что LastPass весь такой белый и пушистый, а по факту — большая часть возможностей доступна только по платной подписке.

dom1n1k 30 июл 2011 в 07:37

Несколько лет назад я устраивал свой мини-тест менеджеров паролей. На первом месте для меня была не уйма поддерживаемых алгоритмов шифрования (хотя само по себе это плюс), а удобство. Для этого класса программ интуитивность и ненавязчивость интерфейса крайне важны, там даже один лишний клик будет раздражать. А некоторые софтописатели, к сожалению, пытаются сделать чуть-ли не парольную 1С-Бухгалтерию, как-будто я пароли только и буду, что по папочкам раскладывать и систематизировать по 10 параметрам.

В итоге остановился на Personal Passworder.
Просто, удобно, понятно, ненавязчиво. Но при этом весь жизненно важный функционал в наличии.

AstonMartin 30 июл 2011 в 12:50

Он, похоже, только под Windows? В современных реалиях нужно как минимум поддерживать работу на мобильных платформах.

dom1n1k 30 июл 2011 в 13:12

Мм… Видимо, да, только под Win.
Мобильными платформами не интересовался в виду ненужности лично мне.

Да и вообще, у меня есть ощущение (возможно, ошибочное — не навязываю), что десктопный и мобильный миры вообще слабо пересекаются в смысле софта. И там, и сям свои собственные оптимальные решения.

Lucky_Student 30 июл 2011 в 09:35

Предпочитаю запоминать все пароли, тренирую память.
Да и в нужный момент, они всегда под рукой. Вне зависимости от того, откуда я выйду в интернет (компьютер/ноутбук/телефон/планшет) и вне зависимости от того, какая платформа там будет.

dozent 30 июл 2011 в 14:22

на все-все сайты? пароли из букв, цифр и спецзнаков? нереально =))

ishua 30 июл 2011 в 15:35

Молодость зеленость ;) у человека наверно еще нет паролей которые вбивал 1-3 года назад, и не пользовался три года, а потом попробуй вспомни…

Lucky_Student 30 июл 2011 в 19:16

У меня есть пароли, которые я придумал еще в 2004 году и я их помню.
Все они для меня что-то значат.

А у Вас либо короткая память, либо Вы просто привыкли пользоваться программами, которые все запоминают за Вас.

ishua 2 авг 2011 в 06:13

У меня куча паролей которые я придумал в 199Х и даже не смотря на то что не пользуюсь ими, помню. Телефон моих школьных знакомых, с которыми я не разговаривал 10 лет, я все еще могу вспомнить. Это не меняет того факта, что если я придумал пароль, вбил его два раза в жизни, и на два года ушел от этой железки, то есть 90% вероятность, что этот пароль я не вспомню.

Есть конечно способ использовать один пароль на все, но вы же сами знаете ответ?:)

dmitriykardash 30 июл 2011 в 10:23

Пользуюсь Kaspersky Password Manager, но огорчает что разработчики не обновляют вовремя плагины автозаполнения к браузерам и приходится им постоянно долбить в саппорт. Так же у него есть портабл версия которая одним кликом синхронизируется на любой компьютер.

НЛО прилетело и опубликовало эту надпись здесь

leviathan 30 июл 2011 в 12:08

Возможно, у вас феноменальная память. Но я даже нe представляю себе, как я смог бы хранить все мои пароли в голове — на данный момент в моей базе KeePass 114 записей, из них подавляющее большинство длиннее 20 символов, со всеми возможными классами символов.

НЛО прилетело и опубликовало эту надпись здесь

leviathan 30 июл 2011 в 13:13

Завидую :)

НЛО прилетело и опубликовало эту надпись здесь

dozent 30 июл 2011 в 14:24

ну ладно заливать уже))

НЛО прилетело и опубликовало эту надпись здесь

track 30 июл 2011 в 13:07

Тут самое важное не оказаться в ситуации, когда в старости вы будете по прежнему помнить ваши 540 паролей из десятка случайных цифробукв, зато забывать снимать штаны в туалете. Человеческая память это конечный ресурс.

НЛО прилетело и опубликовало эту надпись здесь

KAFLAN 30 июл 2011 в 11:33

И все равно, ничего лучше Password Commander'а, даже спустя 3-года после остановки его разработки, так и не вышло. Печаль.

maratfmu 30 июл 2011 в 13:07

Полностью поддерживаю. Как жаль что дальнейшая разработка его не видётся.

taldy 1 авг 2011 в 13:23

А вы пробовали KeePass? Я в свое время думал на него переехать именно потому что Password Commander не поддерживается, да и корни у них вроде общие, но так и не переехал. Вы пробовали, он хуже Password Commander-а?

KAFLAN 1 авг 2011 в 15:33

У KeePass и Password Commander'а общих корней быть не может, Password Commander разрабатывался с нуля Анваром Хусяиновым и Сергеем Пономаренко на Delphi, далее разработку проекта продолжила компания Атис (atis.ru), в которой я имел честь работать в смежном отделе, сейчас де факто проектом владеет Илья Ванявкин, и насколько мне известно имеет планы на его развитие, так что возможно для нас еще не все потеряно. Проблематика развития Password Commander'а в том что развивать платформу на нативном WinAPI и Delphi крайне не дешевое удовольствие. А KeePass насколько я понял Open Source проект и полностью написан на управляемом коде (C#).

По поводу сравнения KeePass с PasswordCommander'ом, с точки зрения юзера писал еще Экслер. Но тут нужен более глубокий анализ, которого я не проводил. Сходу могу сказать что Password Commander «чист» с точки зрения нашего законодательства, в нем не используются алгоритмы шифрования с ключем более стойким чем 48-ми битный. Необходимый уровень безопасности обеспечивается за счет плагинов шифрования от сторонних разработчиков, которые скачиваются отдельно от Password Commander'а. По идеи, что бы применять тот же KeePass в госорганах нужно либо получить соотвествующую лицензию на право применения алгоритмов шифрования оперирующих ключём длиннее 48-бит, либо сделать как Password Commander. Только вот не уверен что адаптация под Российские (любую другие) законодательные тонкости входит в планы разработчиков. Да и не факт что это так уж актуально.

P.S. В деталях мог напутать. Давно это было.

noma4i 30 июл 2011 в 12:04

1Password — лучший для мака вариант. Интелектуальная система для заполнения как кредит-карточек, так и паролей на сайты. Любой менеджер паролей можно оценивать по удобству использования хранимой в нем информации. Если для заполнения данных кредитки на сайте мне нужно сделать больше одного действия, то что-то с менеджером паролей не то.