ИБ-специалисты давно говорят о том, что одной из лучших практик защиты от взлома является банальная «парольная гигиена». То есть для каждого сервиса нужно иметь уникальный пароль, желательно максимально сложный. Увы, запомнить такое количество паролей среднестатистический человек вряд ли сумеет, и для этой цели были придуманы менеджеры паролей, которые избавляют от данной проблемы. Использование такого приложения позволяет запоминать лишь единый мастер-пароль, а менеджер самостоятельно позаботится о безопасном хранении десятков паролей, которые пользователь применяет в вебе.
Чаще всего специалисты рекомендуют использовать для этих целей менеджер паролей 1Password, который считается наиболее надежным. Одним из основных плюсов приложения является тот факт, что 1Password позволяет хранить все пароли в локальном хранилище (vault), то есть они никогда не покидают компьютер или мобильное устройство. Таким образом, даже если злоумышленники скомпрометируют разработчиков 1Password, пароли пользователей все равно останутся в безопасности.
В минувшие выходные стало известно, что разработчики 1Password планируют некоторые изменения, которые пришлись не по душе ИБ-сообществу. Как оказалось, компания планирует отказаться от текущей схемы работы: пользователь однократно покупает лицензию и хранит свои пароли в локальном хранилище. Теперь у 1Password планирует использовать опцию подписки ($2,99 в месяц для одного пользователя и $4,99 в месяц за аккаунт для пяти человек), а пароли всем будет предложено хранить в облаке.
Разумеется, облака существенно облегчают работу с приложением для простых пользователей. Так, доступ к аккаунту и паролям можно будет получить с любого устройства, просто залогинившись на 1Password.com. Также это поможет восстановить информацию с утерянного или сломавшегося устройства. Подобную бизнес-модель давно применяют многие конкуренты 1Password, к примеру, LastPass.
Unfortunately, @1Password is betraying their users and moving to a subscription-only service. This is unfortunate. We cannot recommend them.
— Crypto Village (@CryptoVillage) July 10, 2017
Тем не менее, ИБ-специалисты уже называют разработчиков 1Password предателями, которые превращают отличный инструмент в еще один сервис по подписке, который вынуждает пользователей доверять свои пароли сторонним лицам и сервисам. Хотя создатели 1Password уверяют, что 1Password.com – это отличный вариант для 99,9% пользователей, профессионалы отмечают, что наиболее преданная и активная часть аудитории приложения, ИБ-специалисты, остаются «за бортом».
1Password's decision to sunset local credential storage for a 3rd-party cloud model alienates its most vocal allies — security professionals
— Kenn White (@kennwhite) July 10, 2017
Казалось бы, никто не говорит об отказе от локальных хранилищ полностью, по крайне мере прямо сейчас. Но инженер 1Password, Коннор Хикс (Connor Hicks) уже рассказал журналистам, что новый 1Password для Windows не имеет опции работы с лицензией и работает только с облаками по подписке. Хикс уверят, что пользователи, которых не устраивает такое положение вещей, могут связаться с компанией, и специалисты «помогут им разобраться, действительно ли лицензия – это оптимальный вариант в их случае».
