Как создать мастер пароль в яндекс браузере
Мастер-пароль – это уникальная возможность защитить свои сохраненные пароли от посторонних лиц. Его работа заключается в том, что сохранение нового пароля или доступ к менеджеру паролей доступен только при введении специального шифра, который создается пользователем. Несмотря на то, что функция довольно обширно защищает данные, она нередко вызывает недовольства.
Во-первых, мастер-пароль нужно регулярно вводить, если пользователь хочет войти в «Менеджер паролей» или сохранить новый пароль. Во-вторых, если его забыть, то можно потратить уйму сил на восстановление. Если вы хотите всего этого избежать, то читайте далее. В сегодняшней статье мы рассмотрим, как отключить мастер пароль в Яндекс браузере.
На компьютере
Отключение мастер-пароля происходит через настройки браузера. Чтобы это сделать, воспользуемся следующей инструкцией:
Такими не простыми манипуляциями мы можем деактивировать мастер-пароль в браузере. Если вы захотите снова создать пароль, то может сделать это всё в той же вкладке «Пароли и карты».
Далее мы рассмотрим, как выполнить данную процедуру с помощью смартфона.
На телефоне
Деактивация мастер-пароля на карманном девайсе осуществляется точно также, как и на компьютере. Рассмотрим на примере ниже.
- Запускаем на смартфоне приложение Яндекс браузер и нажимаем на кнопку с тремя точками справа от строки запроса.
- В отобразившемся окне открываем во вкладку «Настройки», в которой осуществляются основные действия с параметрами браузера.
- Листаем страницу примерно до середины, где должен быть раздел «Личные данные». Как раз-таки в нем и находится нужная нам функция под названием «Удалить мастер пароль», нажимаем на нее.
- Вводим свой старый пароль, либо нажимаем на кнопку «Не помню пароль», если вы его забыли. Затем нажимаем на кнопку «Подтвердить».
Таким образом, мы можем легко избавиться от дополнительного пароля. Сделать это, как видите, совсем не сложно и каждому под силу. Больше у вас не должно возникать вопросов как отключить мастер пароль в Яндекс браузере.
Злоумышленники пытаются украсть пароли, чтобы получить доступ к личным данным пользователей или их электронным кошелькам. Лучше хранить пароли в зашифрованном виде — тогда хакер не сможет воспользоваться паролями, даже если украдет их.
Шифрование паролей в Браузере
Хранилище паролей шифруется с помощью алгоритма AES-256-GCM с использованием ключа. Алгоритм AES-256 считается надежным, Агентство национальной безопасности США рекомендует его для защиты сведений, составляющих государственную тайну уровня Top Secret.
Но даже самый сложный алгоритм шифрования не защитит ваши пароли, если хакер узнает ключ шифрования. Мастер-пароль позволяет вам поставить на ключ шифрования мощную защиту.
Ключ шифруется с помощью мастер-пароля. Если вы забыли мастер-пароль, вы можете его сбросить с помощью запасного ключа шифрования.
Мастер-пароль не хранится на устройствах, поэтому его нельзя украсть. Вы можете не бояться:
хранения синхронизированных данных на сервере Яндекса (шифрование организовано так, что даже Яндекс не сможет расшифровать ваши пароли).
Этот вариант защиты менее надежен, потому что:
Любой человек, открыв Яндекс Браузер на вашем компьютере, сможет легко просмотреть пароли в менеджере.
Ключ шифрования защищается средствами операционной системы, а не мастер-паролем. Получив доступ к компьютеру, хакеры могут украсть и расшифровать ваши пароли.
Если вы не задали мастер-пароль, то для доступа к паролям Браузер будет запрашивать пароль от вашей учетной записи в операционной системе (при его наличии). Это относится к следующим действиям:
Действие | Правильный ввод системного пароля | Неправильный ввод системного пароля |
---|---|---|
Копирование пароля | Пароль копируется в буфер обмена | Пароль не копируется |
Изменение пароля | Открывается окно редактирования пароля | Пароль остается без изменений |
Создание мастер-пароля | Открывается окно создания мастер-пароля | Мастер-пароль не создается |
Действие | Правильный ввод системного пароля | Неправильный ввод системного пароля |
---|---|---|
Копирование пароля | Пароль копируется в буфер обмена | Пароль не копируется |
Изменение пароля | Открывается окно редактирования пароля | Пароль остается без изменений |
Создание мастер-пароля | Открывается окно создания мастер-пароля | Мастер-пароль не создается |
Это дополнительная мера безопасности, позволяющая убедиться, что за компьютером владелец, а не посторонний. Функция работает в Браузере для Windows и macOS .
Подробнее о шифровании паролей см. документ Шифрование паролей в Яндекс Браузере.
Мастер-пароль
Мастер-пароль обеспечивает дополнительную степень безопасности вашим паролям. После того как вы создадите мастер-пароль, Браузер будет запрашивать его при попытке открыть хранилище паролей или подставить ранее сохраненный пароль от сайта в форму авторизации.
Вместо огромного количества паролей от сайтов вам достаточно будет запомнить всего один мастер-пароль. При этом пароли от сайтов будут лучше защищены. Доступ к хранилищу блокируется мастер-паролем, который невозможно украсть, так как он не хранится на устройствах.
Создать мастер-пароль
Если вы используете пароль для вашей учетной записи на компьютере, введите его в окне запроса системного пароля.
Введите мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
Чтобы восстановить доступ к хранилищу, если вы забудете мастер-пароль, создайте запасной ключ шифрования.
Теперь сохранить пароль для сайта в Браузере и открыть менеджер можно будет только после ввода мастер-пароля. Мастер-пароль не сохраняется ни на компьютере, ни на сервере. Сохраняется лишь зашифрованный с его помощью ключ.
Изменить мастер-пароль
Введите новый мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
После этого зашифрованный с помощью мастер-пароля ключ шифруется заново и при следующей синхронизации передается на другие устройства. Мастер-пароль не сохраняется ни на компьютере, ни на сервере.
Удалить мастер-пароль
После этого Браузер перестанет запрашивать мастер-пароль для доступа к паролям. Во время синхронизации мастер-пароль удалится на других устройствах.
Частота запроса мастер-пароля
Браузер запрашивает мастер-пароль при сохранении новых паролей, автоматической подстановке паролей в формы авторизации, а также при попытках открыть хранилище паролей. Вы можете отрегулировать частоту запроса мастер-пароля Браузером:
В поле Запрашивать мастер-пароль для доступа к паролям и картам выберите нужную частоту: после перезапуска Браузера, после блокировки компьютера, раз в час или раз в 5 минут. Чем чаще запрашивается мастер-пароль, тем надежнее защита хранилища.
Вы также можете отключить запрос мастер-пароля. Для этого отключите опцию Запрашивать мастер-пароль для доступа к паролям и картам . Браузер перестанет запрашивать мастер-пароль для доступа к хранилищу паролей. При этом:
Мастер-пароль не удаляется, а записывается в базу данных в зашифрованном виде. Ключ шифрования сохраняется на компьютере и защищается средствами операционной системы.
Сохраненные ранее пароли остаются зашифрованными мастер-паролем. При сохранении нового пароля или расшифровке старого Браузер использует старый мастер-пароль, не запрашивая его у пользователя.
Во время синхронизации все пароли отправляются на другие устройства в зашифрованном виде. На них эти пароли будут подставляться в формы авторизации, и для их расшифровки вам потребуется ввести мастер-пароль.
Отключать запрос мастер-пароля на каждом из ваших устройств придется вручную. Это сделано для вашей безопасности — чтобы кто-то посторонний, даже если получит доступ к одному из ваших устройств, не воспользовался паролями.
Если вы забыли мастер-пароль
Если вы забыли мастер-пароль и у вас есть запасной ключ шифрования:
Введите новый мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
Если вы забыли мастер-пароль и запасного ключа шифрования у вас нет, Браузер не сможет восстановить ваши пароли. Он перестанет их подставлять в формы авторизации, и вы не сможете посмотреть их в менеджере. Вам останется только удалить все пароли вместе с ключом шифрования. Если вы используете пароль для вашей учетной записи на компьютере, его надо будет ввести, чтобы подтвердить права на удаление паролей.
Запасной ключ шифрования
Если вы забыли мастер-пароль, то сможете восстановить пароли, только если у вас есть запасной ключ шифрования. Для его создания нужна синхронизация.
Чтобы сбросить мастер-пароль, помимо запасного ключа, вам потребуется специальный файл. Он автоматически создается при первом вводе мастер-пароля и хранится локально. Поэтому даже Яндекс не может расшифровать ваши пароли.
В процессе восстановления доступа вы должны будете ввести пароль от вашего Яндекс ID. Вероятность того, что злоумышленник сумеет одновременно украсть ключ с сервера, файл с устройства и пароль от Яндекс ID, низка.
Чтобы создать запасной ключ шифрования:
Примечание. Если синхронизация в Браузере была отключена, на экране появится окно для ее включения. Введите логин и пароль вашего Яндекс ID и нажмите Включить синхронизацию .
Браузер сообщит о том, что создан запасной ключ шифрования.
Чтобы удалить его, в настройках менеджера паролей нажмите Выключить возможность сброса мастер-пароля .
Злоумышленники пытаются украсть пароли, чтобы получить доступ к личным данным пользователей или их электронным кошелькам. Лучше хранить пароли в зашифрованном виде — тогда хакер не сможет воспользоваться паролями, даже если украдет их.
Шифрование паролей в Браузере
Хранилище паролей шифруется с помощью алгоритма AES-256-GCM с использованием ключа. Алгоритм AES-256 считается надежным, Агентство национальной безопасности США рекомендует его для защиты сведений, составляющих государственную тайну уровня Top Secret.
Но даже самый сложный алгоритм шифрования не защитит ваши пароли, если хакер узнает ключ шифрования. Мастер-пароль позволяет вам поставить на ключ шифрования мощную защиту.
Ключ шифруется с помощью мастер-пароля. Если вы забыли мастер-пароль, вы можете его сбросить с помощью запасного ключа шифрования.
Мастер-пароль не хранится на устройствах, поэтому его нельзя украсть. Вы можете не бояться:
хранения синхронизированных данных на сервере Яндекса (шифрование организовано так, что даже Яндекс не сможет расшифровать ваши пароли).
Этот вариант защиты менее надежен, потому что:
Любой человек, открыв Яндекс Браузер на вашем компьютере, сможет легко просмотреть пароли в менеджере.
Ключ шифрования защищается средствами операционной системы, а не мастер-паролем. Получив доступ к компьютеру, хакеры могут украсть и расшифровать ваши пароли.
Если вы не задали мастер-пароль, то для доступа к паролям Браузер будет запрашивать пароль от вашей учетной записи в операционной системе (при его наличии). Это относится к следующим действиям:
Действие | Правильный ввод системного пароля | Неправильный ввод системного пароля |
---|---|---|
Копирование пароля | Пароль копируется в буфер обмена | Пароль не копируется |
Изменение пароля | Открывается окно редактирования пароля | Пароль остается без изменений |
Создание мастер-пароля | Открывается окно создания мастер-пароля | Мастер-пароль не создается |
Действие | Правильный ввод системного пароля | Неправильный ввод системного пароля |
---|---|---|
Копирование пароля | Пароль копируется в буфер обмена | Пароль не копируется |
Изменение пароля | Открывается окно редактирования пароля | Пароль остается без изменений |
Создание мастер-пароля | Открывается окно создания мастер-пароля | Мастер-пароль не создается |
Это дополнительная мера безопасности, позволяющая убедиться, что за компьютером владелец, а не посторонний. Функция работает в Браузере для Windows и macOS .
Подробнее о шифровании паролей см. документ Шифрование паролей в Яндекс Браузере.
Мастер-пароль
Мастер-пароль обеспечивает дополнительную степень безопасности вашим паролям. После того как вы создадите мастер-пароль, Браузер будет запрашивать его при попытке открыть хранилище паролей или подставить ранее сохраненный пароль от сайта в форму авторизации.
Вместо огромного количества паролей от сайтов вам достаточно будет запомнить всего один мастер-пароль. При этом пароли от сайтов будут лучше защищены. Доступ к хранилищу блокируется мастер-паролем, который невозможно украсть, так как он не хранится на устройствах.
Создать мастер-пароль
Нажмите → Пароли и карты .
Если вы используете пароль для вашей учетной записи на компьютере, введите его в окне запроса системного пароля.
Введите мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
Чтобы восстановить доступ к хранилищу, если вы забудете мастер-пароль, создайте запасной ключ шифрования.
Теперь сохранить пароль для сайта в Браузере и открыть менеджер можно будет только после ввода мастер-пароля. Мастер-пароль не сохраняется ни на компьютере, ни на сервере. Сохраняется лишь зашифрованный с его помощью ключ.
Изменить мастер-пароль
Нажмите → Пароли и карты .
Введите новый мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
После этого зашифрованный с помощью мастер-пароля ключ шифруется заново и при следующей синхронизации передается на другие устройства. Мастер-пароль не сохраняется ни на компьютере, ни на сервере.
Удалить мастер-пароль
Нажмите → Пароли и карты .
После этого Браузер перестанет запрашивать мастер-пароль для доступа к паролям. Во время синхронизации мастер-пароль удалится на других устройствах.
Частота запроса мастер-пароля
Браузер запрашивает мастер-пароль при сохранении новых паролей, автоматической подстановке паролей в формы авторизации, а также при попытках открыть хранилище паролей. Вы можете отрегулировать частоту запроса мастер-пароля Браузером:
Нажмите → Пароли и карты .
В поле Запрашивать мастер-пароль для доступа к паролям и картам выберите нужную частоту: после перезапуска Браузера, после блокировки компьютера, раз в час или раз в 5 минут. Чем чаще запрашивается мастер-пароль, тем надежнее защита хранилища.
Вы также можете отключить запрос мастер-пароля. Для этого отключите опцию Запрашивать мастер-пароль для доступа к паролям и картам . Браузер перестанет запрашивать мастер-пароль для доступа к хранилищу паролей. При этом:
Мастер-пароль не удаляется, а записывается в базу данных в зашифрованном виде. Ключ шифрования сохраняется на компьютере и защищается средствами операционной системы.
Сохраненные ранее пароли остаются зашифрованными мастер-паролем. При сохранении нового пароля или расшифровке старого Браузер использует старый мастер-пароль, не запрашивая его у пользователя.
Во время синхронизации все пароли отправляются на другие устройства в зашифрованном виде. На них эти пароли будут подставляться в формы авторизации, и для их расшифровки вам потребуется ввести мастер-пароль.
Отключать запрос мастер-пароля на каждом из ваших устройств придется вручную. Это сделано для вашей безопасности — чтобы кто-то посторонний, даже если получит доступ к одному из ваших устройств, не воспользовался паролями.
Если вы забыли мастер-пароль
Если вы забыли мастер-пароль и у вас есть запасной ключ шифрования:
Введите новый мастер-пароль длиной не менее 6 символов. Рекомендуем использовать сложные, но легко запоминаемые пароли.
Если вы забыли мастер-пароль и запасного ключа шифрования у вас нет, Браузер не сможет восстановить ваши пароли. Он перестанет их подставлять в формы авторизации, и вы не сможете посмотреть их в менеджере. Вам останется только удалить все пароли вместе с ключом шифрования. Если вы используете пароль для вашей учетной записи на компьютере, его надо будет ввести, чтобы подтвердить права на удаление паролей.
Запасной ключ шифрования
Если вы забыли мастер-пароль, то сможете восстановить пароли, только если у вас есть запасной ключ шифрования. Для его создания нужна синхронизация.
Чтобы сбросить мастер-пароль, помимо запасного ключа, вам потребуется специальный файл. Он автоматически создается при первом вводе мастер-пароля и хранится локально. Поэтому даже Яндекс не может расшифровать ваши пароли.
В процессе восстановления доступа вы должны будете ввести пароль от вашего Яндекс ID. Вероятность того, что злоумышленник сумеет одновременно украсть ключ с сервера, файл с устройства и пароль от Яндекс ID, низка.
Чтобы создать запасной ключ шифрования:
Нажмите → Пароли и карты .
Яндекс Браузер позволяет вам легко просматривать, изменять и удалять свои пароли.
Сохранить пароль
Если вы вводите пароль без логина, Браузер предложит выбрать логин из ранее сохраненных.
Если вы ранее создали мастер-пароль, введите его. Мастер-пароль используется в алгоритме шифрования и надежно защищает хранилище паролей, так как помните его только вы.
Автоматически созданный пароль трудно взломать, потому что он представляет собой случайный набор букв, цифр и знаков препинания. Запоминать его не нужно — менеджер будет подставлять его в форму автоматически, а при желании вы всегда сможете этот пароль просмотреть. Чтобы защитить пароли в хранилище, используйте мастер-пароль.
Чтобы сгенерировать пароль:
В выпадающем списке нажмите сгенерированный пароль. Он появляется автоматически, как только Браузер распознает форму регистрации или смены пароля.
В открывшемся окне введите адрес сайта, логин и пароль для авторизации. Чтобы проконтролировать, правильный ли пароль вы ввели, нажмите значок .
Совет. Аналогичным образом можно сохранить в менеджере паролей СНИЛС, номер паспорта и другую конфиденциальную информацию. После синхронизации данные будут доступны со всех ваших устройств. За безопасность данных можно не беспокоиться — они хранятся в зашифрованном виде. Подробнее см. статью « Как зашифровать любую важную информацию в Браузере » .
Посмотреть, изменить или удалить пароль
Примечание. Чтобы быстро открывать менеджер паролей, нажмите → Настройки → Интерфейс и включите опцию Показывать на панели инструментов кнопку быстрого доступа к паролям и картам . Кнопка появится рядом с Умной строкой .
На экране появится список сайтов, для которых вы сохранили пароли. Найдите среди них нужный сайт. Если их слишком много, в левом верхнем углу в поле Поиск паролей начните вводить адрес сайта — список справа сократится.
- Посмотреть
- Изменить
- Удалить
В открывшемся окне в поле Пароль нажмите значок .
Примечание. Если вы не задали мастер-пароль, а ваша учетная запись в операционной системе защищена паролем, то Браузер запросит системный пароль.
В поле Пароль напишите новый. Чтобы проконтролировать, правильно ли вы его ввели, нажмите значок .
Примечание. Если вы не задали мастер-пароль, а ваша учетная запись в операционной системе защищена паролем, то Браузер запросит системный пароль.
Совет. Если вы удалили пароль по ошибке, то сразу можете его вернуть. В левом нижнем углу менеджера паролей нажмите Восстановить . Если вы перезагрузите страницу или перейдете на другую вкладку, то не сможете вернуть пароль.
Изменить настройки менеджера
Сохранять пароли по умолчанию — если вы отключите опцию, Браузер не будет сохранять введенные пароли, но станет подставлять в формы авторизации ранее созданные пароли.
Автоматически заполнять формы авторизации — если вы отключите опцию, Браузер не будет подставлять логины и пароли в формы авторизации. Если опция включена, вы можете разрешить Браузеру подставлять в формы логины и пароли либо только логины.
Разрешить сайтам сохранять пароли в браузере для автоматической авторизации . Некоторые сайты (поддерживающие CredentialManager API) позволяют входить без пароля. Для авторизации достаточно нажать значок и выбрать логин. Если вы хотите запретить автоматическую авторизацию, отключите опцию.
Показывать на панели инструментов кнопку быстрого доступа к паролям и картам — если вы включите опцию, то сможете открывать пароли и карты нажатием по значку .
Отключить менеджер паролей
Примечание. Даже если вы отключите менеджер паролей на компьютере, на других устройствах он продолжит работать.
Если вы используете сторонний менеджер паролей и не хотите, чтобы Браузер сохранял и подставлял пароли:
Если вы создали мастер-пароль, введите его для доступа к хранилищу. Если вы забыли мастер-пароль, нажмите левой кнопкой мыши в любом месте экрана за пределами окна.
Браузер перестанет сохранять пароли, подставлять их в формы авторизации и запрашивать мастер-пароль для доступа к хранилищу. Ранее введенные пароли сохранятся на компьютере в зашифрованном виде и станут доступны, если вы снова включите менеджер паролей.
Для этого в настройках менеджера нажмите Включить менеджер паролей .
Отключить автоматическое сохранение паролей
Пароль не сохраняется
Проверьте, присутствует ли в правой части Умной строки значок . Он означает, что вы заблокировали файлы cookie на этой странице. Если присутствует:
Проверьте, присутствует ли сайт с проблемой в списках Только для сеанса или Запрещены . Если он там есть, наведите на него указатель мыши и нажмите ссылку Разрешить .
Восстановить удаленные пароли
В целях безопасности пароли хранятся на сервере в зашифрованном виде. Поэтому даже Яндекс не может расшифровать ваши пароли.
Если вы удалили пароли на одном из своих устройств, то можно попробовать восстановить их с другого. Это получится, если устройство еще не получило от сервера информацию об удалении паролей. Например, оно не синхронизируется, отключено или с момента удаления паролей прошло немного времени:
- На мобильном устройстве
- На компьютере
Подождите, пока данные с устройства добавятся на сервер.
Яндекс Браузер позволяет вам легко просматривать, изменять и удалять свои пароли.
Сохранить пароль
Если вы вводите пароль без логина, Браузер предложит выбрать логин из ранее сохраненных.
Если вы ранее создали мастер-пароль, введите его. Мастер-пароль используется в алгоритме шифрования и надежно защищает хранилище паролей, так как помните его только вы.
Автоматически созданный пароль трудно взломать, потому что он представляет собой случайный набор букв, цифр и знаков препинания. Запоминать его не нужно — менеджер будет подставлять его в форму автоматически, а при желании вы всегда сможете этот пароль просмотреть. Чтобы защитить пароли в хранилище, используйте мастер-пароль.
Чтобы сгенерировать пароль:
Нажмите появившийся значок .
В выпадающем списке нажмите сгенерированный пароль. Он появляется автоматически, как только Браузер распознает форму регистрации или смены пароля.
Нажмите → Пароли и карты .
В открывшемся окне введите адрес сайта, логин и пароль для авторизации. Чтобы проконтролировать, правильный ли пароль вы ввели, нажмите значок .
Совет. Аналогичным образом можно сохранить в менеджере паролей СНИЛС, номер паспорта и другую конфиденциальную информацию. После синхронизации данные будут доступны со всех ваших устройств. За безопасность данных можно не беспокоиться — они хранятся в зашифрованном виде. Подробнее см. статью « Как зашифровать любую важную информацию в Браузере » .
Посмотреть, изменить или удалить пароль
Примечание. Чтобы быстро открывать менеджер паролей, нажмите → Настройки → Интерфейс и включите опцию Показывать на панели инструментов кнопку быстрого доступа к паролям и картам . Кнопка появится рядом с Умной строкой .
Нажмите → Пароли и карты .
На экране появится список сайтов, для которых вы сохранили пароли. Найдите среди них нужный сайт. Если их слишком много, в левом верхнем углу в поле Поиск паролей начните вводить адрес сайта — список справа сократится.
- Посмотреть
- Изменить
- Удалить
В открывшемся окне в поле Пароль нажмите значок .
Примечание. Если вы не задали мастер-пароль, а ваша учетная запись в операционной системе защищена паролем, то Браузер запросит системный пароль.
В поле Пароль напишите новый. Чтобы проконтролировать, правильно ли вы его ввели, нажмите значок .
Примечание. Если вы не задали мастер-пароль, а ваша учетная запись в операционной системе защищена паролем, то Браузер запросит системный пароль.
Совет. Если вы удалили пароль по ошибке, то сразу можете его вернуть. В левом нижнем углу менеджера паролей нажмите Восстановить . Если вы перезагрузите страницу или перейдете на другую вкладку, то не сможете вернуть пароль.
Изменить настройки менеджера
Нажмите → Пароли и карты .
Сохранять пароли по умолчанию — если вы отключите опцию, Браузер не будет сохранять введенные пароли, но станет подставлять в формы авторизации ранее созданные пароли.
Автоматически заполнять формы авторизации — если вы отключите опцию, Браузер не будет подставлять логины и пароли в формы авторизации. Если опция включена, вы можете разрешить Браузеру подставлять в формы логины и пароли либо только логины.
Разрешить сайтам сохранять пароли в браузере для автоматической авторизации . Некоторые сайты (поддерживающие CredentialManager API) позволяют входить без пароля. Для авторизации достаточно нажать значок и выбрать логин. Если вы хотите запретить автоматическую авторизацию, отключите опцию.
Показывать на панели инструментов кнопку быстрого доступа к паролям и картам — если вы включите опцию, то сможете открывать пароли и карты нажатием по значку .
Отключить менеджер паролей
Примечание. Даже если вы отключите менеджер паролей на компьютере, на других устройствах он продолжит работать.
Если вы используете сторонний менеджер паролей и не хотите, чтобы Браузер сохранял и подставлял пароли:
Нажмите → Пароли и карты .
Если вы создали мастер-пароль, введите его для доступа к хранилищу. Если вы забыли мастер-пароль, нажмите левой кнопкой мыши в любом месте экрана за пределами окна.
Браузер перестанет сохранять пароли, подставлять их в формы авторизации и запрашивать мастер-пароль для доступа к хранилищу. Ранее введенные пароли сохранятся на компьютере в зашифрованном виде и станут доступны, если вы снова включите менеджер паролей.
Для этого в настройках менеджера нажмите Включить менеджер паролей .
Отключить автоматическое сохранение паролей
Нажмите → Пароли и карты .
Надёжные пароли и их защита от злоумышленников — основа безопасности в интернете. Новая версия Яндекс.Браузера помогает создавать стойкие пароли и защищает их с помощью мастер-пароля. Даже если устройство попадёт в чужие руки, ваши данные будут в безопасности.
Новые возможности
Важно использовать уникальные пароли на разных сайтах. Если злоумышленники украдут один пароль, то только к одному сайту они и получат доступ. Но создать и запомнить десятки паролей сложно, а записывать их на бумаге — рискованно. Теперь Яндекс.Браузер решает эту проблему. Он придумает уникальный пароль, надёжно сохранит его и предложит использовать при следующем входе на сайт.
Сохранённые пароли доступны в меню браузера, в новом разделе «Менеджер паролей». Их можно редактировать, сортировать и снабжать примечаниями, по которым будет легко найти то, что нужно. А если не забыть включить синхронизацию, то пароли будут доступны на всех ваших устройствах с Яндекс.Браузером.
Безопасность
Новый менеджер паролей стал не только удобнее, но и безопаснее. Теперь вы можете защитить свои пароли от любопытных глаз с помощью мастер-пароля. Он нигде не хранится, поэтому никто, кроме вас, не сможет расшифровать сохранённые пароли. Даже если злоумышленник узнает пароль от Яндекса или похитит ваш телефон, он не сможет получить доступ к паролям. На мобильных устройствах вместо мастер-пароля можно использовать отпечаток пальца, пин-код или жест.
Если вы случайно забудете мастер-пароль, то существует безопасный способ сбросить его без потери данных. Яндекс.Браузер предлагает создать запасной ключ. Он хранится в Браузере, но зашифрован. Для сброса мастер-пароля потребуется этот ключ, пароль от Яндекса и то устройство, на котором мастер-пароль хотя бы раз вводился. Проще говоря, сделать это сможете только вы, поэтому безопасность ваших паролей не пострадает.
Новый менеджер паролей уже доступен в Яндекс.Браузере для компьютеров и устройств на базе Android и iOS. Включите синхронизацию и храните ваши пароли в безопасности на любом устройстве.
Как ни странно, но только 1% пользователей браузера используют специализированные расширения для хранения паролей (LastPass, KeePass, 1Password, . ). Безопасность паролей всех остальных пользователей зависит от браузера. Cегодня мы расскажем читателям Хабрахабра, почему наша команда отказалась от архитектуры защиты паролей из проекта Chromium и как разработала собственный менеджер паролей, который уже тестируется в бете. Вы также узнаете, как мы решили проблему сброса мастер-пароля без расшифровки самих паролей.
С точки зрения безопасности, на каждом сайта рекомендуется использовать свой уникальный пароль. Если злоумышленники украдут один пароль, то только к одному сайту они и получат доступ. Проблема в том, что запомнить десятки надёжных паролей очень сложно. Кто-то честно придумывает новые пароли и записывает их руками в блокнот (а потом теряет вместе с ним же), другие – используют один и тот же пароль на всех сайтах. Трудно сказать, какой из этих вариантов хуже. Решением проблемы для миллионов обычных пользователей может быть встроенный в браузер менеджер паролей, но его эффективность зависит от того, насколько он прост и надёжен. И в этих вопросах у предыдущего решения были пробелы, о которых мы и расскажем ниже.
Почему мы создаем новый менеджер паролей?
А ещё многие пользователи хотели бы, чтобы случайный человек, не обладающий специальной подготовкой, но получивший кратковременный доступ к браузеру (например, родственник или коллега по работе), не смог авторизоваться на важных сайтах с помощью сохранённых паролей.
Обе эти проблемы решаются с помощью мастер-пароля, которым защищаются данные, но который нигде не хранится. И это стало нашим первым требованием к новой архитектуре хранения паролей в Яндекс.Браузере. Но не единственным.
Каким бы безопасным ни был новый менеджер паролей, его популярность зависит от того, насколько просто им пользоваться. Напомним, что те же 1Password, KeePass и LastPass даже в сумме используют не более процента пользователей (хотя LastPass мы предлагаем в нашем встроенном каталоге дополнений). Или другой пример. Вот так в старой реализации Браузер предлагает сохранить пароль:
Опытные пользователи или согласятся, или откажутся, или сделают хоть что-то с этим уведомлением. Но в 80% случаев его просто не замечают. Многие пользователи даже не знают, что в браузере можно сохранять пароли.
Отдельно стоит сказать про функциональность. Сейчас даже добраться до списка своих паролей не так уж и просто. Нужно открыть меню, кликнуть по настройкам, перейти в дополнительные настройки, найти там кнопку управления паролями. И только тогда человек получит доступ к примитивному списку аккаунтов, которые нельзя отсортировать по логину, нельзя добавить текстовое примечание, отредактировать тоже нельзя. К тому же менеджер паролей должен помогать придумывать новые пароли.
И ещё кое-что. Для нас было важно, чтобы новая архитектура соответствовала принципу Керкгоффса, то есть, чтобы её надежность не зависела от знаний злоумышленников о применяемых алгоритмах. Криптосистема должна оставаться безопасной даже в том случае, когда им известно всё, кроме применяемых ключей.
Почему мы не взяли готовое решение?
Существуют продукты с открытым исходным кодом, которые поддерживают мастер-пароль и расширенную функциональность. Их можно было бы интегрировать в браузер, но они нам не подошли по ряду причин.
В первую очередь на ум приходит KeePass. Но его хранилище зашифровано целиком, а у нас в Браузере синхронизация работает построчно. А значит, надо либо спрашивать мастер-пароль при каждой синхронизации, либо шифровать записи раздельно. Второй вариант добрее к пользователям. Более того, для массового продукта важно, чтобы пользователь знал о возможности подставить сохранённый пароль до разблокировки базы мастер-паролем, поэтому часть информации должна оставаться незашифрованной.
У специализированных дополнений для работы с паролями есть возможность сбросить мастер-пароль, если пользователь его забыл. Но для этого нужно скачать, спрятать и не потерять резервный код или файл. Это нормально, когда речь идет об опытных пользователях, но это сложно для всех остальных. Поэтому нам нужно было придумать альтернативное решение. Спойлер: в итоге нам удалось найти решение, при котором мастер-пароль сбросить можно, но даже Яндекс не сможет получить доступ к базе. Но об этом чуть позже.
А ещё любое стороннее решение в любом случае пришлось бы серьезно дорабатывать, чтобы нативно интегрировать в браузер (переписать на C++ и Java) и сделать его достаточно простым для пользователей (полностью заменить весь интерфейс). Как бы удивительно это ни звучало, но написать новую архитектуру хранения и шифрования паролей проще, чем сделать всё остальное. Поэтому логичнее не пытаться связать два изначально несовместимых продукта в один, а доработать свой.
Новая архитектура с использованием мастер-пароля
В хранении самих записей нет ничего необычного. Мы используем надежный и быстрый алгоритм AES-256-GCM для шифрования паролей и примечаний, адреса и логины не шифруем для удобства применения, но подписываем для защиты от подмены. Похожим образом устроена схема хранилища в том же 1Password.
Самое интересное – это защита 256-битного ключа encKey, который необходим для расшифровки паролей. Это ключевой момент безопасности паролей. Если злоумышленник узнает этот ключ, то легко взломает всё хранилище независимо от сложности алгоритма шифрования. Поэтому защита ключа основана на следующих базовых принципах:
– Доступ к ключу шифрования блокируется мастер-паролем, который нигде не хранится.
– Ключ шифрования не должен быть математически связан с мастер-паролем.
В простых сервисах и приложениях ключ шифрования получают путем хэширования мастер-пароля, чтобы хоть так замедлить атаку перебором. Но математическая зависимость ключа от мастер-пароля всё же упрощает взлом, скорость которого в этом случае зависит лишь от надежности хэширования. Применение ферм из заточенных на взлом ASIC-процессоров сейчас уже не редкость. Поэтому в нашем случае ключ encKey не является производным от мастер-пароля и генерируется случайно.
Далее ключ encKey зашифровывается с помощью асимметричного алгоритма RSA-OAEP. Для этого Браузер создает пару ключей: открытый pubKey и закрытый privKey. Ключ encKey защищается с помощью открытого ключа, а расшифровать его можно только с помощью закрытого.
Зашифрованные пароли, зашифрованный ключ к ним encKey, зашифрованный закрытый ключ privKey и открытый ключ pubKey хранятся в профиле браузера и синхронизируются с другими устройствами пользователя.
Чтобы было проще разобраться во всём этом, приведем схему расшифровки паролей:
У подобной архитектуры с использованием мастер-пароля есть ряд преимуществ:
– 256-битный ключ шифрования хранилища генерируется случайно и обладает высокой криптостойкостью по сравнению с паролями, придуманными человеком.
– При брутфорсе мастер-пароля злоумышленник не узнает результат, если не пройдется по всей цепи (пароль-PBKDF2-RSA-AES). Это очень долго и очень дорого.
– Если функция хэширования будет скомпрометирована, мы в любой момент можем перейти на альтернативный вариант хэширования с сохранением обратной совместимости.
– Если злоумышленник узнает мастер-пароль, то сменить его можно без сложной и рискованной процедуры расшифровки всего хранилища, потому что ключ шифрования данных не связан с мастер-паролем, а значит, не скомпрометирован.
– Ключ шифрования хранится в зашифрованном виде. Ни Яндекс, ни злоумышленник, похитивший пароль от Яндекса, не смогут получить доступ к синхронизированным паролям, поскольку для этого нужен мастер-пароль, который нигде не хранится.
Но у варианта с мастер-паролем есть один «недостаток»: пользователь может забыть мастер-пароль. Это нормально, когда речь идет о специализированных решениях, которые используют опытные пользователи, хорошо осознающие риск. Но в продукте с многомиллионной аудиторией это неприемлемо. Если мы не предусмотрим резервный вариант, то многие пользователи Яндекс.Браузера либо откажутся от использования мастер-пароля, либо «потеряют» однажды все свои пароли, а виноват в этом будет Браузер (вы удивитесь, но именно Яндекс часто оказывается крайним в ситуации, когда человек забыл пароль от аккаунта). И придумать решение не так уж и просто.
Как сбросить мастер-пароль без раскрытия паролей?
В некоторых продуктах эта проблема решается с помощью хранения расшифрованных данных (или даже мастер-пароля) в облаке. Этот вариант для нас не подходил, потому что злоумышленник может украсть пароль от Яндекса, а вместе с ним и пароли от всех сайтов. Поэтому нам нужно было придумать такой способ восстановления доступа к хранилищу паролей, при котором никто, кроме самого пользователя, не смог бы это сделать. Сторонние менеджеры паролей предлагают для этого создать резервный файл, который пользователь должен самостоятельно хранить в надежном месте. Хорошее решение, но обычные пользователи такие резервные ключи будут неизбежно терять, поэтому у нас всё намного проще.
Ещё раз вспомним цепочку зависимостей ключей. Хранилище паролей зашифровано с помощью случайного ключа encKey, который нигде не хранится в явном виде. Этот ключ защищён с помощью закрытого ключа privKey, который также не хранится в явном виде и в свою очередь защищён с помощью сложного хэша от мастер-пароля. Когда человек забывает мастер-пароль, он фактически лишается возможности расшифровать ключ privKey. Это значит, что в качестве резервного варианта можно хранить дубликат ключа privKey. Но где? И как его защитить?
Если поместить расшифрованный privKey в облако, то безопасность паролей будет зависеть от аккаунта Яндекса. А ровно этого мы и не хотели допускать. Если же хранить его в явном виде локально, то вся защита с мастер-паролем теряет какой-либо смысл. Нет такого места, где можно было бы безопасно хранить этот ключ в явном виде. Значит, его надо шифровать. Для этого Браузер создает случайный 256-битный ключ, которым защищает дубликат privKey. Теперь самое интересное. Этот случайный ключ отправляется на хранение в облако Яндекс.Паспорта. А зашифрованный дубликат остается храниться в локальном профиле Браузера. Получается, что ни в облаке, ни на компьютере нет готовой пары для расшифровки паролей, и безопасность не страдает.
При таком варианте сбросить мастер-пароль можно было бы только там, где и создан дубликат ключа privKey. Мы же хотели добавить такую возможность и синхронизированным устройствам. Создавать резервный ключ на каждом устройстве вручную неудобно: можно случайно остаться с тем устройством на руках, на котором забыли создать дубликат. Отправлять зашифрованный дубликат на другие устройства с помощью синхронизации нельзя: в облаке уже хранится ключ к нему, и в целях безопасности им нельзя встречаться в одном месте. Поэтому зашифрованный дубликат privKey проходит через ещё один слой шифрования. В этот раз – с помощью хэша от мастер-пароля. Мастер-пароль не хранится в облаке, поэтому полученную «матрешку» уже можно смело синхронизировать. На других устройствах в момент первого ввода мастер-пароля дополнительный слой шифрования будет снят.
В итоге, когда пользователь забудет мастер-пароль, ему будет достаточно запросить сброс пароля через браузер и подтвердить свою личность с помощью пароля от Яндекса.
Браузер запросит ключ у Яндекс.Паспорта, расшифрует им дубликат ключа privKey, с его помощью расшифрует ключ от хранилища encKey, а дальше создаст новую пару pubKey и privKey, последний из которых будет защищён новым мастер-паролем. Хранилище паролей при этом не расшифровывается, что снижает риск потери данных. К слову, принудительно сменить encKey и перешифровать данные тоже можно: достаточно отключить и заново включить мастер-пароль в настройках.
Получается, что сбросить мастер-пароль сможет только сам пользователь и только на том устройстве, где он хотя бы раз его вводил. Конечно же, резервный ключ создавать не обязательно, если пользователь уверен в себе. Даже мастер-пароль можно не использовать, хотя мы и не рекомендуем от него отказываться.
Новая архитектура и мастер-пароль – не единственные изменения в новом менеджере. Как мы уже рассказывали выше, удобство в использовании и расширенные возможности важны не меньше.
Новый менеджер паролей
Прежде всего, мы отказались от незаметной серой панели с предложением сохранить пароль. Теперь пользователь увидит предложение рядом с полем пароля. Не заметить такое уже трудно.
Да и сам менеджер теперь не надо искать в настройках: кнопка доступна в главном меню. Список сохранённых аккаунтов теперь поддерживает сортировку по логину, адресу и примечанию. Мы также добавили редактирование записей.
Подсказка: примечания отлично подходят в качестве альтернативы меткам, потому что поддерживают поиск.
А ещё Браузер теперь помогает создавать уникальные пароли.
В первой бета-версии мы успели далеко не всё. В будущем мы поддержим экспорт и импорт паролей для совместимости с популярными сторонними решениями. Также у нас есть идея добавить настройки генератору паролей.
Мобильный менеджер паролей
Конечно же, новая логика и поддержка мастер-пароля появятся не только на компьютере, но и в версиях Яндекс.Браузера для Android и iOS. С небольшой адаптацией. К примеру, можно использовать не только мастер-пароль, но и отпечаток пальца. Мы также запретили программно делать скриншоты на странице со списком паролей – можно не бояться вредоносных приложений.
Сегодня новый менеджер паролей можно попробовать в бета-версии Яндекс.Браузера для Windows и macOS (версия для Linux традиционно собирается на базе стабильного кода, поэтому выйдет чуть позже). В ближайшее время он также заработает в альфа-версии Браузера для Android (а ещё через некоторое время появится и в бете для iOS).
Мы постоянно ищем баланс между простым, но надежным инструментом для миллионов пользователей и расширенными возможностями для тех, кому они нужны. Пожалуйста, поделитесь с нами видением идеального менеджера паролей, который именно вы хотели бы видеть в браузере.
И ещё кое-что. Мы приглашаем специалистов в области безопасности помочь нам найти уязвимости в новом менеджере паролей в рамках программы "Охота за ошибками". С вашей помощью менеджер паролей станет ещё безопаснее. Спасибо!
Читайте также: