Пароли и 2FA: замок, который почему-то не запирают
Стикеры под клавиатурой, один пароль на всё, 123456 на сервере — кажется мелочью и разгильдяйством сотрудников. А на деле это первая дверь, через которую заходят. Разберём, почему слабые пароли опасны, как закрыть проблему менеджером паролей и двухфакторкой и какие правила должны быть в компании.
Пароль под клавиатурой
В очень многих компаниях пароли выглядят так: стикер под клавиатурой, а на нём пароль от компьютера, от 1С и от почты — и все три одинаковые.
И так не у одного сотрудника, а у всех подряд. У кого-то стикер на мониторе, у кого-то в блокноте на столе, у кого-то пароль 123456, у кого-то имя и год рождения, у кого-то вообще пустой. А ведь на этих паролях держится доступ к серверу, 1С, почте, VPN — ко всему, что есть в компании.
И вот эти же люди через час спросят: «А зачем нам безопасность? Да кому мы нужны?»
И эта глава — про пароли. Про то, почему бардак с паролями не мелочь, а одна из главных дыр в безопасности, и что с этим делать.
Пароли — первая линия обороны
В большинстве небольших компаний этой линии просто нет: одинаковые пароли на всём, стикеры под клавиатурами, 123456 на сервере. Причём это скорее правило, чем единичные случаи.
Типичная картина в малом бизнесе: пароль от компьютера, 1С и почты записан на стикере под клавиатурой, и все три — одинаковые. У соседних сотрудников так же. Где-то 123456, где-то имя и год рождения, где-то пустой пароль.
А на этих же паролях держится доступ к серверу, почте, VPN, 1С — ко всему, что есть в компании. Разберём, почему слабые пароли — это серьёзно, как закрыть вопрос менеджером паролей и двухфакторкой и какие правила стоит прописать.
«Ну кто будет подбирать мой пароль?»
Кажется, что пароль — формальность. Ну какая разница, 123456 или что-то сложное? Кто вообще будет его подбирать?
А подбирать будет вовсе не человек. Это делает бот — программа, которая автоматически перебирает пароли тысячами в секунду. Для неё 123456 — даже не задача. Это первое, что она пробует: списки самых популярных паролей давно известны и проверяются в первую очередь.
Цифры приблизительные и зависят от того, чем подбирают, но порядок именно такой: короткий простой пароль уходит мгновенно. И главное — на шкале вправо двигает в первую очередь длина, а уже потом «крякозябры».
Имя и год рождения? Подбирается очень быстро. Название компании с цифрами? Аналогично. Всё, что кажется вам «ну это же не совсем простой пароль», для автоматического перебора — семечки.
А когда бот подобрал пароль к серверу, почте или VPN — всё, он внутри. Дальше шифровальщик, кража данных или ваш сервер начинает атаковать других. И вы об этом можете даже не узнать.
Слабый пароль подбирается за секунды
Пароль кажется формальностью ровно до того момента, пока не вспомнишь одну вещь: подбирает его не человек руками. Это делает бот — автоматически и пачками.
Перебором занимается бот — автоматика, которая проверяет пароли тысячами в секунду. Для неё 123456 — первое, что идёт в ход: словари популярных паролей известны, и перебор по ним занимает секунды. Имя с годом рождения или название компании с цифрами подбираются почти так же быстро.
Цифры приблизительные и зависят от того, чем подбирают, но порядок именно такой: короткий простой пароль уходит мгновенно. И главное — на шкале вправо двигает в первую очередь длина, а уже потом «крякозябры».
Как только бот подобрал пароль к серверу, почте или VPN — он уже внутри, причём заходит как обычный легальный пользователь. Дальше — шифровальщик, кража данных или ваш сервер начинает атаковать других. И заметить это можно далеко не сразу.
Три типичные ошибки с паролями
Эти три встречаются практически у каждого нового клиента.
Один пароль на всё
Один и тот же пароль на компьютере, в 1С, в почте, в VPN, в банке. Взломали что-то одно — получили доступ ко всему сразу. Это как один ключ от квартиры, машины, офиса и сейфа одновременно: потерял — потерял всё.
Простой пароль, который легко подобрать
123456, qwerty, имя и год рождения, название компании с цифрами. Всё это перебирается ботом за минуты, а то и секунды. Кажется, что «ну это же не совсем простой пароль», а на деле он в первых строчках любого списка для перебора.
Сложный пароль, но на бумажке
Человек послушал советы, сделал сложный пароль из двадцати символов — и записал его на стикере под клавиатурой. Или на мониторе, или в блокноте на столе. Пароль вроде сложный, но лежит в открытом доступе для любого, кто зашёл в кабинет: уборщица, курьер, уволенный сотрудник, посетитель.
Три типичные ошибки с паролями
Практически полный набор у каждого нового клиента до наведения порядка.
Один пароль на всё
Один пароль на компьютере, в 1С, почте, VPN, банке. Утёк он с одного слабого сервиса — открылись сразу все: у злоумышленника на руках универсальный ключ ко всему.
Слабый пароль под перебор
123456, qwerty, имя с годом рождения, название компании с цифрами. Всё это в первых строчках словарей для перебора и подбирается за секунды-минуты. То, что пароль кажется вам «не совсем простым», на его реальную стойкость не влияет.
Стойкий пароль на физическом носителе
Сложный пароль, записанный на стикере, мониторе или в блокноте на столе. Вся его сложность бесполезна, если он лежит на виду: пароль видит любой, кто зашёл в кабинет, — от уборщицы до уволенного сотрудника.
Проблема не в людях, а в отсутствии системы
Люди пишут пароли на стикерах не потому, что глупые. А потому, что запомнить десять разных сложных паролей невозможно.
У человека пароль от компьютера, от 1С, от почты, от VPN, от интернет-банка, от CRM, от облака, от портала поставщика. И каждый должен быть сложным и уникальным? Серьёзно?
И конечно, он запишет их на бумажке или сделает везде одинаковый. И не потому что разгильдяй — просто у него нет нормального инструмента для работы с паролями. Проблема не в людях. Проблема в том, что система не выстроена. А дальше — про то, как её выстроить.
Корень проблемы — не дисциплина, а инструмент
Стикеры и одинаковые пароли — это следствие того, что нет инструмента. И разгильдяйство сотрудников тут ни при чём.
У обычного сотрудника десяток учёток: компьютер, 1С, почта, VPN, банк, CRM, облако, порталы поставщиков. Требовать, чтобы для каждой он держал в голове свой сложный пароль, — нереально.
И что в итоге — либо пишет на бумажке, либо делает один пароль на всё. По-другому в ситуации, когда инструмента нет, и не получится. А лечится это нормальным инструментом — призывы «быть внимательнее» не помогут. Про инструмент дальше.
Менеджер паролей: помнить нужно один
Идея простая. Вместо десяти паролей, которые надо держать в голове, вы помните один — мастер-пароль от менеджера. А остальные менеджер хранит за вас.
Менеджер сам генерирует сложные уникальные пароли для каждого сервиса и подставляет их автоматически, когда нужно войти. Никаких стикеров, никаких блокнотов, никакого «один пароль на всё». Человек помнит один мастер-пароль — и через него получает доступ ко всем остальным.
Наша рекомендация — Vaultwarden. Это свободная реализация Bitwarden, которую можно бесплатно развернуть на своей инфраструктуре. Ваши пароли хранятся у вас, а не на чужом сервере. Есть расширения для браузеров, мобильные приложения, удобный интерфейс.
А для бизнеса особенно важно: можно сделать общие хранилища паролей для отделов, чтобы доступ к общим сервисам не зависел от одного человека. Уволился сотрудник — отключили его от хранилища, сменили общие пароли. Всё под контролем.
Менеджер паролей вместо памяти и стикеров
Принцип простой: человек помнит один мастер-пароль, а остальные лежат в зашифрованном виде и подставляются сами. На каждый сервис — свой сложный пароль, и ничего не надо держать в голове.
Менеджер сам генерирует случайные стойкие пароли под каждый сервис и подставляет их при входе. Одним махом уходят три проблемы: одинаковые пароли, слабые пароли и бумажки.
Рекомендуемый вариант — Vaultwarden, свободная серверная реализация, совместимая с клиентами Bitwarden. Разворачивается на своей инфраструктуре — база паролей остаётся внутри периметра, а не у внешнего провайдера. Поддерживаются браузерные расширения и мобильные клиенты.
Для компании главное — общие (командные) хранилища: доступ к общим сервисам не завязан на одного человека. Уволился сотрудник — отключили его от хранилища и сменили общие пароли. Быстро и по понятной схеме.
Двухфакторка: даже если пароль украли
Это когда для входа нужен не только пароль, но и что-то ещё: код из приложения на телефоне, SMS или аппаратный ключ. Смысл простой: даже если пароль украли или подобрали, без второго фактора войти не получится.
Где двухфакторка нужна обязательно — это критичные точки, через которые чаще всего и заходят:
Важно помнить: двухфакторку поддерживает не каждый сервис — где-то её просто нет. Там, где есть, включайте её в первую очередь на административных доступах и критичных точках — серверы, панели, банк. А нагружать двухфакторкой всех рядовых сотрудников подряд для малого бизнеса смысла нет.
2FA: пароль украли — войти всё равно не вышло
Для входа нужен не только пароль, но и второй фактор: код из приложения (TOTP), SMS или аппаратный ключ. Даже если пароль украли — одного его уже мало, чтобы войти.
Обязательна везде, где есть критичный доступ:
2FA поддерживается не везде — часть сервисов её просто не умеет. Где есть — включаем приоритетно на административном доступе и критичных точках (серверы, панели, банк, почта руководства). Навязывать 2FA всем рядовым пользователям в малом бизнесе смысла нет: рост трения и лишняя точка отказа перевешивают пользу.
По надёжности второго фактора: приложение-аутентификатор (TOTP) или аппаратный ключ предпочтительнее SMS, который уязвим к перехвату и угону номера.
Парольная политика: записанные правила
В компании должны быть конкретные правила работы с паролями — записанные, понятные требования. А полагаться на то, что каждый догадается сам, — не вариант.
Минимальный набор требований выглядит так:
А если у вас есть домен — парольная политика настраивается централизованно. Минимальная длина, сложность, срок действия задаются один раз и работают для всех. Не нужно ходить и уговаривать каждого сотрудника — требования применяются сами.
Парольная политика — зафиксированная, а не подразумеваемая
Правила работы с паролями должны быть прописаны явно, а не жить в головах по принципу «ну это же и так понятно».
Базовый набор требований:
Если есть домен — политика раздаётся централизованно: минимальная длина, сложность, срок действия и история паролей задаются один раз на уровне домена и применяются ко всем сами, без ручной настройки на каждом компьютере.
Наши принципы — применительно к паролям
Пароли — это первая линия обороны, и на неё ложатся все четыре принципа.
Четыре принципа — применительно к паролям
Те же четыре принципа — теперь применительно к паролям.
«А что насчёт …?»
Вопросы про пароли, которые задают чаще всего.
Резонный вопрос: ну подберут Петин пароль — и что, кому нужен его компьютер? На самом деле нужен. И вот почему — целых пять причин.
1. Петин компьютер — это дверь внутрь. Боту не нужен именно Петя, ему нужна любая лазейка в вашу сеть. Подобрал Петин пароль — оказался внутри, а оттуда уже идёт к серверу, 1С и общим папкам. Петя тут не цель — Петя тут вход.
2. От имени Пети рассылают заразу. Получив доступ к его почте и мессенджерам, злоумышленник пишет клиентам и коллегам от Петиного имени. А письму от знакомого Пети верят и открывают вложения — так зараза расходится дальше.
3. У Пети доступов больше, чем кажется. Продажник — это база клиентов в CRM, переписка и договоры в почте, часто доступ в 1С. Это коммерческая тайна и персональные данные клиентов — есть что украсть, слить или зашифровать.
4. Через слабое звено добираются до сильного. Аккаунт обычного Пети — стартовая точка, чтобы потом дотянуться до прав администратора. А если у Пети ещё и один пароль на всё — взломали его компьютер, считай получили доступ и к остальному.
5. Шифровальщику всё равно, чей это компьютер. Запустившись под Петей, он зашифрует всё, до чего Петя дотягивается по сети — общие папки, сетевые диски. Один слабый пароль рядового сотрудника — и под ударом вся общая информация компании.
Поэтому «да кому я нужен» работает на уровне отдельного сотрудника ровно так же плохо, как на уровне компании. Слабых звеньев не бывает «неважных».
Облачный проще: ничего не нужно разворачивать и обслуживать, зарегистрировался и пользуешься. Минус — ваши пароли (в зашифрованном виде) лежат на чужом сервере.
Свой Vaultwarden сложнее в запуске, зато база паролей остаётся полностью у вас. Если есть кому обслуживать ИТ — берите Vaultwarden. Если совсем некому — нормальный платный облачный менеджер тоже достойный вариант, это в любом случае в разы лучше стикеров.
Опасение понятное, но на практике риск «всех яиц в одной корзине» с лихвой перекрывается тем, что исчезают стикеры, одинаковые и слабые пароли. База менеджера зашифрована, а мастер-пароль нигде не хранится — без него содержимое бесполезно.
Чтобы корзина была действительно крепкой: сделайте мастер-пароль длинным и надёжным и включите двухфакторку на сам менеджер. Тогда даже доступ к базе ничего не даст без второго фактора.
Отключить его от общего хранилища и сменить общие пароли к сервисам, к которым он имел доступ, плюс заблокировать его личные учётки. Если общие пароли хранились в общем хранилище — это делается за пару минут.
Именно поэтому общие пароли держат в общем хранилище, а не «в голове у Васи» и не на его личном стикере. Иначе после увольнения придётся вспоминать, к чему вообще у него был доступ.
Раньше так советовали, но сейчас подход изменился: частая принудительная смена скорее вредит. Люди начинают делать password1, password2, password3 или дописывать месяц — и пароли становятся предсказуемыми. Плюс растёт число стикеров.
Современная рекомендация: длинный уникальный пароль (а лучше сгенерированный менеджером) плюс двухфакторка. А менять — при увольнении сотрудника или подозрении, что пароль утёк. То есть по делу, а не по календарю.
Сразу важная оговорка: большинство паролей вообще не нужно придумывать и запоминать — их генерирует и хранит менеджер паролей. Придумывать руками стоит только те один-два, что вы реально вводите руками: мастер-пароль от менеджера и пароль от входа в компьютер. Вот для них — несколько рабочих способов.
И ещё раз: эти приёмы — только для тех немногих паролей, что вы вводите руками. Всё остальное должен делать менеджер — он придумает пароли надёжнее любого человека.
Частые вопросы и уточнения
Что чаще всего уточняют по паролям и 2FA.
Учётка рядового пользователя — полноценный вектор, даже без прав администратора. Пять причин:
1. Точка входа в периметр. Цель перебора — не конкретный человек, а любой валидный доступ внутрь. Скомпрометированная рабочая станция — плацдарм для продвижения к серверу, 1С, файловым ресурсам.
2. Рассылка с доверенного аккаунта. Доступ к почте и мессенджерам сотрудника позволяет рассылать фишинг и вредоносы от его имени — по доверенному отправителю проходимость кратно выше.
3. Объём доступного у рядовой роли. Менеджер по продажам — это CRM с клиентской базой, почтовый архив с договорами, нередко 1С. Коммерческая тайна и ПДн — достаточная цель для кражи, слива или шифрования.
4. Отправная точка для эскалации. Доступ обычного пользователя — старт для повышения привилегий до администратора. А если пароль везде один — взлом одной учётки открывает и соседние системы.
5. Радиус поражения шифровальщика. Запуск под учёткой рядового пользователя шифрует всё в пределах его сетевых прав — общие папки, подключённые диски. Один слабый пароль определяет масштаб инцидента.
Логика «да кому я нужен» несостоятельна и на уровне отдельной учётной записи: незначимых звеньев в цепочке доступа не существует.
Облачный — минимум обслуживания: регистрация и использование, инфраструктура на провайдере. Цена — зашифрованная база хранится вне периметра.
Self-hosted Vaultwarden требует развёртывания и сопровождения, но оставляет базу внутри периметра. При наличии ИТ-сопровождения предпочтителен Vaultwarden, при его отсутствии лицензионный облачный менеджер остаётся приемлемым вариантом и кратно превосходит бумажные носители.
Риск концентрации перекрывается устранением переиспользования, слабых паролей и физических носителей. База шифруется, мастер-пароль не хранится — при доступе к зашифрованному хранилищу без него содержимое нечитаемо.
Условия надёжности: стойкий мастер-пароль и обязательная 2FA на сам менеджер. Тогда даже доступ к самому хранилищу без второго фактора ничего не даст.
Отзыв доступа к общим (командным) хранилищам, смена общих паролей к затронутым сервисам, блокировка личных учёток сотрудника. При хранении общих паролей в командном хранилище операция занимает минуты.
Поэтому общие учётные данные ведут в общем хранилище с разграничением прав, а не в персональном владении. Иначе после ухода сотрудника требуется реконструировать перечень его доступов.
Современные рекомендации (в т.ч. NIST) отошли от обязательной периодической смены: она провоцирует предсказуемые модификации (password1 → password2, дописывание месяца) и рост числа записанных паролей.
Актуальный подход: длинный уникальный пароль (предпочтительно сгенерированный менеджером) плюс 2FA. А смена — по событию: увольнение, подозрение на утечку, появление пароля в слитых базах. То есть по триггеру, а не по расписанию.
Оговорка по месту: придумывать вручную нужно только пароли, вводимые без менеджера — мастер-пароль и пароль локального входа в ОС. Остальное генерирует менеджер. Для этих немногих — несколько надёжных подходов.
Подходы применимы к единичным паролям прямого ввода. Массовая генерация — задача менеджера: случайные пароли максимальной длины, поддерживаемой сервисом.
Наведём порядок в паролях
Развернём менеджер паролей (Vaultwarden) на вашей инфраструктуре, организуем общие хранилища для отделов, настроим двухфакторку на критичных точках и парольную политику через домен. Стикеры под клавиатурами и «один пароль на всё» останутся в прошлом.
Пароли как управляемая система
Развернём self-hosted Vaultwarden, настроим командные хранилища с разграничением прав, внедрим 2FA на критичных точках (банк, серверы, почта руководства, панели управления) и централизованную парольную политику через домен. Управляемый отзыв доступа при увольнении — из коробки.