Как навести порядок в паролях. Локальный менеджер паролей: KeePassXC, Syncthing и бэкапы

Про цифровую безопасность все наслышаны. Пароли должны быть надёжными, для каждого сервиса - свои, двухфакторка обязательна, коды восстановления нужно сохранять. Но по-прежнему большинство людей хранят пароли и другие важные данные как попало. Это касается и технически грамотных людей.

📦 Боль многих людей заключается в бардаке. Один пароль лежит в браузере, второй в заметках, третий в старом телефоне, коды восстановления на бумажке, а где актуальная версия — непонятно.

Повторяющиеся пароли — часть того же хаоса. По данным Google / Harris Poll , только 35% респондентов используют разные пароли для всех аккаунтов. Остальные повторяются или чуть меняют старый пароль. Это удобно ровно до первой утечки: если пароль от одного сайта попадёт наружу, его попробуют в других сервисах.

Особенно аккуратно стоит относиться к основной почте, Apple ID, Google и Яндекс сервисам. Через них часто восстанавливается всё остальное.

Первое очевидное решение избавления от бардака — браузерный менеджер паролей. Это лучше, чем заметки и скриншоты, но не лучшее конечное решение. Браузер постоянно работает с чужими сайтами, расширениями, формами, cookies и сессиями. Для атакующих это интересная цель, и в MITRE ATT&CK отдельно описана техника извлечения учётных данных из браузеров.

Эта статья-пособие устроена как лестница. На первых ступенях — простые решения, которые каждый сможет настроить за вечер, тем самым сильно повысит комфорт своей цифровой жизни. Дальше — варианты для тех, кому хочется больше независимости и гибкости.

От слов к делу

Скажу сразу: если человек хранит пароли в скриншотах, заметках и переписке с самим собой, то почти любой менеджер паролей уже будет огромным шагом вперёд.

Такая схема хорошо работает, только если вы живёте строго внутри одной экосистемы.

⚠️ Есть и внешний фактор: доступ к сервисам иногда меняется не по вашей воле. Страна может ограничить сервис, сервис может ограничить страну, аккаунт могут заблокировать или попросить дополнительную проверку.

Плюс встроенные менеджеры не всегда удобны для вещей, которые формально не являются паролями, но всё равно нужны в жизни. Пароль от домашнего Wi-Fi, PIN от старого планшета, код от домофона или калитки, номер договора с провайдером, кодовое слово для банка — всё это хочется хранить рядом и находить быстро. А если вы технарь, сюда же добавятся API-ключи, заметки по серверам и прочая служебная информация.

Встроенный менеджер — хороший первый шаг, но он в первую очередь про сайты. Если хочется хранить полноценные карточки доступов, то быстро становится тесно.

📈 Следующий уровень — полноценный менеджер паролей вроде Bitwarden . Это уже отдельное приложение и расширения для разных устройств.

Главная идея Bitwarden простая: вы создаёте аккаунт, сохраняете пароли в зашифрованном хранилище, а сервис берёт на себя синхронизацию между устройствами.

Самый простой сценарий: вы регистрируетесь в официальном облаке Bitwarden, ставите приложение на телефон, расширение в браузер — и начинаете пользоваться.

Плюсы понятны: всё работает из коробки, синхронизация уже настроена, приложения есть под разные платформы, а бесплатного тарифа многим хватает для базового использования.

Минус тоже понятен: У вас появляется аккаунт, внешний провайдер и серверная синхронизация. Данные шифруются на устройстве, но сама инфраструктура всё равно не ваша.

Есть и более самостоятельный путь — поднять Bitwarden на своём сервере . Часто для этого используют Vaultwarden : лёгкую Bitwarden-совместимую серверную реализацию.

Это хороший вариант для тех, кому интересно администрирование и хочется больше контроля. Вы сами выбираете, где живут данные, сами настраиваете доступ, сами отвечаете за обновления и резервные копии. Нужен сервер или домашняя машина, домен или адрес, HTTPS, обновления, мониторинг и бэкапы. Но если вам интересно, это как раз хороший инфраструктурный опыт.

Правда, если вы уже готовы поднимать собственный сервер для менеджера паролей, большая часть этой статьи, скорее всего, вам и так понятна. Bitwarden на своём сервере — отличная тема, но это уже отдельный материал.

Отдельно стоит упомянуть PearPass . Это новый менеджер паролей, который решает похожую задачу: хранить данные локально на ваших устройствах и синхронизировать их напрямую между ними, без центрального облачного хранилища.

Это открытый исходный код, прямая синхронизация между устройствами, хранение данных на ваших устройствах и приложения для основных платформ.

Я бы пока рассматривал PearPass как интересный новый вариант, за которым стоит следить.

Но в этой статье я остановлюсь на более прозрачной схеме: обычный файл, KeePass-совместимые клиенты, синхронизация отдельной папки и отдельные бэкапы.

Убираем лишний слой: файл вместо сервиса

Варианты выше нормальные. Но в них между вами и вашими паролями есть дополнительный слой: аккаунт, облако, экосистема или сервер.

Благо есть такая вещь, как KeePass. Смысл простой: главный объект системы не аккаунт в сервисе, а локальный зашифрованный файл, который лежит на вашем устройстве и открывается подходящим приложением.

Этот файл имеет расширение .kdbx . Это и есть сейф, внутри которого можно структурированно хранить пароли и другие важные данные.

Это не заметка с паролями. Если кто-то получит ваш .kdbx , он увидит только зашифрованный файл. Чтобы открыть его, нужен как минимум мастер-пароль.

Дисклеймер : если в какой-то момент статья начинает казаться слишком сложной, это не значит, что вам обязательно нужно идти до конца именно этим путём. Я не показываю единственно правильный путь. Можно остановиться на том же Bitwarden. Этого будет достаточно, чтобы пароли вышли из хаоса и оказались в понятном месте.

Установка: чем открывать .kdbx

Теперь нужны приложения, которые умеют работать с KeePass-базами.

На компьютере основной клиент — KeePassXC :

Для macOS и Windows проще всего скачать KeePassXC с официального сайта .

На большинстве Linux-дистрибутивов KeePassXC ставится через пакетный менеджер. Например, в Fedora:

В Ubuntu на некоторых связках Wayland/Qt пользователи сталкиваются с падением приложения при запуске. Если такое происходит, проще поставить KeePassXC через Flatpak:

На мобильных устройствах можно использовать другие KeePass-совместимые клиенты:

Дальше будет базовый сценарий с KeePassXC на десктопе. Но сама база .kdbx не привязана к конкретной операционной системе или одному приложению: её можно открыть различными KeePass-совместимыми клиентами.

После установки KeePassXC создаём новую базу. Это и будет наш цифровой сейф.

Сначала задаём имя базы. Не стоит называть файл слишком очевидно, но и играть в шпионов тоже не имеет смысла.

Дальше оставляем современный формат базы — KDBX 4 . Ещё KeePassXC предлагает выбрать время расшифровки базы. Это защита от перебора мастер-пароля. Практичный вариант — поставить примерно 1–2 секунды .

❗❗❗ 🔑 Следующий шаг — мастер-пароль. Это главный ключ от всего хранилища. Его нельзя забывать, здесь нет восстановления. Нормальный мастер-пароль должен быть:

Если хорошая парольная фраза не приходит сразу, это нормально: с мастер-паролем лучше подождать и придумать его спокойно. Его можно поменять и позже, но рекомендую сразу придумать оптимальный вариант.

Хороший мастер-пароль может быть связан с чем-то лично важным для вас, но не с тем, что можно узнать из биографии, соцсетей или разговоров.

Ключевой файл и аппаратные ключи можно оставить на потом. Сначала лучше создать базу, перенести основные записи, настроить синхронизацию и бэкапы, а уже потом думать о дополнительных факторах.

🗃️ На последнем шаге сохраняем файл базы как .kdbx . Как раз его мы будем переносить, копировать, синхронизировать и открывать в разных KeePass-совместимых клиентах.

В KeePassXC записи можно раскладывать по группам. Например:

Каждая запись содержит название сервиса, логин, пароль, URL и заметки.

Генератор паролей

Пароли лучше не придумывать вручную. В KeePassXC есть встроенный генератор, и его стоит использовать каждый раз, когда вы создаёте новый аккаунт или меняете старый пароль.

Рекомендуемый вариант для большинства сервисов:

Дополнительные поля и заметки, коды восстановления и TOTP

KeePassXC удобен не только для логинов и паролей. В записи можно хранить дополнительную информацию: ID аккаунта, резервную почту, API-ключ, комментарий по доступу или другую служебную информацию.

Для этого можно использовать поле «Заметки» или атрибуты во вкладке «Дополнительные». Например, туда можно положить коды восстановления. Их лучше сохранять сразу после включения двухфакторной аутентификации и класть рядом с записью сервиса.

На десктопе автозаполнение настраивается через расширение KeePassXC-Browser. Схема простая: в KeePassXC включаете интеграцию с нужным браузером, устанавливаете расширение KeePassXC-Browser, открываете базу, заходите на сайт и разрешаете браузеру доступ к подходящей записи.

После этого рядом с полями логина и пароля появляется иконка KeePassXC, через которую при нажатии подставляются данные из базы.

Важно: автозаполнение ищет подходящую запись по URL. Поэтому в записи нужно указывать не просто главную страницу сервиса, а страницу, на которой реально происходит вход. Например, для Google корректнее использовать https://accounts.google.com , а не https://google.com . То же правило полезно и для других сервисов, где авторизация вынесена на отдельный домен.

🎉 На Android браузерное расширение не нужно. KeePassDX в большинстве случаев работает штатно через системный механизм автозаполнения.

⏏️ Есть и более гибкий механизм — автонабор. KeePassXC настолько продуман, что автозаполнение можно подстроить даже под кривые формы входа. Например, если между логином и паролем есть поле “организация” или “домен”, последовательность можно изменить соответствующим образом {USERNAME}{TAB}{TAB}{PASSWORD}{ENTER}. Обычно это совсем не приходится трогать, но приятно осознавать, что такая возможность имеется.

✅ KeePass удобен не только для логинов и паролей от сайтов. В базу можно складывать:

📁 К записи даже можно прикладывать и небольшие файлы:

QR-код восстановления

полезные скриншоты

скан документа

Но с вложениями лучше не увлекаться. Чем больше файлов вы кладёте внутрь базы, тем тяжелее становится .kdbx .

В современном мире человек владеет несколькими девайсами. Поэтому следующий шаг — синхронизация. Её задача простая: держать актуальную версию .kdbx на всех ваших устройствах для удобства работы.

Важно только помнить: синхронизация — не бэкап. Она помогает разнести файл между устройствами, но не защищает от удаления или повреждения. К бэкапам ещё вернёмся отдельно.

Вариант 1: облачный диск для тех, кто не хочет париться

Самый простой вариант — положить .kdbx в папку облачного диска.

Вариант 2: Syncthing — магия без облака

Syncthing синхронизирует папки напрямую между вашими устройствами. В контексте KeePass это выглядит очень просто: есть отдельная папка, внутри неё лежит база .kdbx , а Syncthing следит, чтобы актуальная версия этой папки была на выбранных устройствах. При этом расположение папки на каждом устройстве может быть своим.

Подробная настройка Syncthing — тема для отдельной статьи, поэтому здесь только общий порядок.

В простом домашнем сценарии устройства синхронизируются по локальной сети: например, когда компьютер и телефон подключены к одному Wi-Fi.

Поэтому краткий порядок тут таков:

Важно: во время настройки есть соблазн открыть наш файл базы .kdbx на редактирование сразу на нескольких устройствах. Не делайте так:). Сначала дождитесь синхронизации, потом открывайте базу на следующем устройстве.

На Android перед установкой следует отдельно проверять актуальный клиент. Выбор клиентов обширен. На практике часто используют Syncthing-Fork, который доступен через F-Droid. Дело в том, что вы можете читать эту статью сильно позже её публикации, а состояние мобильных приложений иногда меняется. Поэтому на телефоне лучше ставить актуальную версию из надёжного источника.

Конфликты при синхронизации. Вряд ли вообще столкнётесь, но сказать стоит.

В описываемой схеме база .kdbx — это один файл. Его не стоит редактировать одновременно на двух устройствах. Если два устройства всё же изменили один и тот же .kdbx до того, как успели синхронизироваться, появляется конфликтная копия. В такой ситуации Syncthing или облачный диск обычно создаёт отдельный конфликтный файл. В папке может появиться что-то вроде:

Название может отличаться, но смысл один: у вас есть основная база и ещё одна версия с изменениями. Не пугайтесь, это совсем не страшно:)

Что делать:

Такой сценарий маловероятен, но все же стоит его упомянуть. Записи в базе обычно обновляются только при регистрации в новом сервисе или при смене пароля. Вряд ли в такой момент вы будете одновременно редактировать одну и ту же базу на двух устройствах.

Бэкапы (резервные копии)

Бэкап — это отдельная копия, к которой можно вернуться, если текущая версия файла потеряна, удалена или испорчена.

Например:

Правило 3-2-1

⚓ Существует известное правило 3-2-1 :

Для личной базы паролей не обязательно строить сложную систему резервного копирования. Но сам принцип полезно позаимствовать.

Практичный вариант может выглядеть так:

Как называть бэкапы

Тут не надо усложнять. Дата в имени файла — скучно, зато понятно.

Хороший вариант:

Плохие варианты:

Через месяц вы сами не поймёте, где что. А имя с датой сразу показывает, когда копия была сделана.

Проверяйте, что бэкап открывается

Бэкап, который вы ни разу не открывали, — это не бэкап, а амулет. После создания первой резервной копии лучше сразу проверить её. Проверка занимает минуту, но убирает главный риск: думать, что копия есть, а потом обнаружить, что файл не открывается или это не та версия.

В итоге наша финальная схема выглядит так:

После настройки вы знаете:

где лежат ваши актуальные пароли

как открыть базу на любом вашем устройстве

как добавить новый аккаунт и сразу сгенерировать для него уникальный пароль

где лежат служебные заметки

что делать при потере телефона или ноутбука

где находится бэкап

И последнее. Менеджер паролей помогает хранить доступы, но не отменяет обычную цифровую гигиену: перед входом проверяйте, что это официальный ресурс, а не поддельная страница с похожим доменом.

Я написал эту статью, потому что часто наблюдал один и тот же эффект: когда человек наводит порядок в цифровой жизни, уходит часть фоновой тревоги, появляется уверенность. Важное хранится надежно, доступно и удобно для вас.

Пусть у вас будет именно такое спокойствие:)

Источники и ссылки

Google / Harris Poll: Online Security Survey — опрос о привычках пользователей и повторном использовании паролей.

Infosecurity Magazine: пересказ данных Google / Harris Poll — краткий материал по результатам опроса.

MITRE ATT&CK: Credentials from Web Browsers, T1555.003 — техника извлечения учётных данных из браузеров.

KeePassXC: официальный сайт — клиент KeePassXC.

Bitwarden: Open Source — информация об открытости Bitwarden.

PearPass: официальный сайт — новый менеджер паролей с локальным хранением и прямой синхронизацией между устройствами.

Vaultwarden: GitHub — Bitwarden-совместимая серверная реализация.