Тестируем 7-ю версию российского менеджера паролей «Пассворк»

Год назад мы уже под­робно рас­ска­зыва­ли о «Пас­свор­ке» и его воз­можнос­тях, и вот коман­да раз­работ­чиков выпус­тила круп­ное обновле­ние — вер­сию 7, которая обе­щает не прос­то кос­метичес­кие изме­нения, а зна­читель­ное рас­ширение фун­кций. Давай раз­бирать­ся, что нового при­нес­ла «семер­ка» и нас­коль­ко она ста­ла луч­ше.

Изнутри и снаружи: заметные изменения

В «Пас­сворк» 7.0 раз­работ­чики пол­ностью изме­нили исходный код фрон­тенда и бэкен­да, и это не прос­то оче­ред­ное обновле­ние — это переход на новый тех­нологи­чес­кий уро­вень. Если корот­ко: все перепи­сано. Сов­сем. Коман­да сде­лала ред­кий для оте­чес­твен­ного кор­поратив­ного ПО шаг — выкину­ла ста­рую кодовую базу и начала с чис­того лис­та. На прак­тике это озна­чает улуч­шенную про­изво­дитель­ность, сов­ремен­ную архи­тек­туру, сни­жение зависи­мос­ти от уста­рев­ших решений и, глав­ное, откры­тие две­ри для будущих дес­ктоп­ных и мобиль­ных при­ложе­ний, а так­же для внед­рения новых фун­кций.

Пе­рера­ботан не толь­ко код, но и внеш­ний вид прог­раммы. Новый интерфейс стал гиб­ко нас­тра­иваемым. Теперь мож­но вруч­ную регули­ровать ширину колонок, дви­гать экранные эле­мен­ты и ком­поновать рабочее прос­транс­тво под себя. Кажет­ся, что это мелочь, но ког­да ежед­невно работа­ешь с десят­ками сей­фов, струк­турой папок и дос­тупов — каж­дый пик­сель ста­новит­ся важен.

Бла­года­ря радикаль­но обновлен­ному API «Пас­сворк» прев­раща­ется в гиб­кий инс­тру­мент для авто­мати­зации про­цес­сов дос­тупа — то, что рань­ше делалось вруч­ную в интерфей­се, теперь мож­но реали­зовать через код. Раз­работ­чики получи­ли пол­ный дос­туп ко всем фун­кци­ям сис­темы: от прос­того копиро­вания паролей до пол­ноцен­ного управле­ния поль­зовате­лями, хра­нили­щами и нас­трой­ками безопас­ности. Для упро­щения интегра­ции появил­ся офи­циаль­ный Python-кон­нектор — удоб­ная биб­лиоте­ка, которая избавля­ет от необ­ходимос­ти вруч­ную писать зап­росы и пар­сить отве­ты. Хочешь, что­бы скрипт сам добав­лял поль­зовате­лей, обновлял пароли или соз­давал новые записи? Теперь это дела­ется в пару строк.

А если код писать не хочет­ся вов­се — есть ути­лита Passwork-CLI, которая поз­воля­ет обра­щать­ся к API из коман­дной стро­ки. Быс­тро, прос­то, понят­но. Впол­не под­ходит для адми­нов, DevOps-инже­неров и всех, кто пред­почита­ет тер­минал редак­тору кода.

От­дель­но сто­ит отме­тить отказ от уста­рев­ших API-клю­чей — теперь вмес­то них исполь­зуют­ся токены дос­тупа, более безопас­ные и гиб­ко нас­тра­иваемые. Кста­ти, нас­трой­ки дос­тупа к API теперь не пря­чут­ся по зако­улкам интерфей­са, а находят­ся пря­мо на стра­нице роли — логич­но, наг­лядно и удоб­но.

Что нового для администратора и пользователя?

Од­но из самых замет­ных изме­нений — обновлен­ная модель ролей и прав дос­тупа. В пре­дыду­щих вер­сиях сущес­тво­вало все­го два типа ста­тусов: «адми­нис­тра­тор» и «сот­рудник». Теперь — всё гораз­до гиб­че. Сис­тему перера­бота­ли, и в вер­сии 7.0 мож­но соз­давать про­изволь­ное количес­тво ролей с детали­зиро­ван­ными пра­вами: чте­ние, редак­тирова­ние, управле­ние дос­тупами, экспорт, соз­дание ярлы­ков и так далее.

При этом сами роли — это теперь груп­пы. Под­ход стал более близ­ким к моделям, исполь­зуемым в Active Directory или дру­гих кор­поратив­ных IDM-сис­темах. Управлять дос­тупами ста­ло не толь­ко про­ще, но и логич­нее: мож­но зер­калить струк­туру отде­ла, наз­начать пра­ва на груп­пы, а не на отдель­ных поль­зовате­лей, и цен­тра­лизо­ван­но сле­дить за соб­людени­ем прин­ципа наимень­ших при­виле­гий.

Один из источни­ков голов­ной боли в ста­ром «Пас­свор­ке» — раз­деление на «орга­низа­цион­ные» и «лич­ные» сей­фы. Теперь это­го боль­ше нет. Поль­зователь соз­дает обыч­ный сейф, по умол­чанию при­ват­ный. Добавил туда кол­легу — он стал общим. Прос­то, понят­но, без лиш­ней тер­миноло­гии. При этом адми­нис­тра­торы по умол­чанию не име­ют дос­тупа ко всем сей­фам, как это было рань­ше. Кро­ме того, воз­можность соз­дания при­ват­ных сей­фов мож­но пре­дос­тавить толь­ко опре­делен­ным груп­пам поль­зовате­лей или адми­нис­тра­торов. Такой под­ход реша­ет важ­ный воп­рос: как гаран­тировать при­ват­ность даже в рам­ках адми­нис­три­руемой сис­темы? Отличная реали­зация прин­ципа раз­гра­ниче­ния прав дос­тупа на прак­тике.

А вот еще один важ­ный момент. В пре­дыду­щих вер­сиях «Пас­свор­ка» добав­ление поль­зовате­ля в груп­пу неред­ко при­води­ло к неп­редна­мерен­ному рас­ширению дос­тупа: юзер авто­мати­чес­ки получал дос­туп ко всем сей­фам, свя­зан­ным с груп­пой — даже если вла­делец сей­фа об этом не знал. Такой под­ход соз­давал опре­делен­ные рис­ки: слу­чай­ный дос­туп — тоже утеч­ка, толь­ко с челове­чес­ким лицом.

В седь­мой вер­сии эту авто­мати­ку отклю­чили. Теперь при добав­лении поль­зовате­ля в груп­пу он не получа­ет дос­туп к сей­фам дру­гих поль­зовате­лей авто­мати­чес­ки. Вмес­то это­го пот­ребу­ется руч­ное под­твержде­ние со сто­роны адми­нис­тра­тора или вла­дель­ца сей­фа. То же каса­ется и LDAP-син­хро­низа­ции: даже если сот­рудник под­тянул­ся из Active Directory — дос­туп к сей­фу не откро­ется сам собой.

Этот под­ход вво­дит допол­нитель­ный рубеж кон­тро­ля и дела­ет сис­тему более защищен­ной от внут­ренних оши­бок и недора­зуме­ний. Осо­бен­но важ­но это в ком­пани­ях с раз­витой струк­турой дос­тупа: теперь вла­дель­цы сей­фов дей­стви­тель­но кон­тро­лиру­ют, кто и ког­да получа­ет клю­чи.

Access-перфекционизм

В новой вер­сии «Пас­свор­ка» пол­ностью перера­бота­на сис­тема уров­ней дос­тупа. Соз­датели прог­раммы убра­ли неин­туитив­ную нас­трой­ку «дос­туп к струк­туре папок», вмес­то неё появи­лась новая логика: если ты зна­ешь пароль, ты дол­жен иметь пра­во видеть и родитель­ские дирек­тории. Повыше­на логич­ность и управля­емость, осо­бен­но в иерар­хиях с вло­жен­ными пап­ками и мно­жес­твом объ­ектов. При этом все еще мож­но нас­тро­ить дос­таточ­но тон­кие уров­ни дос­тупа, в том чис­ле, раз­гра­ничи­вая чте­ние и редак­тирова­ние.

Те­перь поль­зовате­ли с пол­ным дос­тупом перес­тали быть «сле­пыми адми­нис­тра­тора­ми»: они могут прос­матри­вать пра­ва дру­гих поль­зовате­лей, видеть, кто и на каком уров­не име­ет дос­туп к дирек­тории, а так­же управлять допол­нитель­ными пра­вами. Кро­ме того, они получи­ли воз­можность изу­чить рас­ширен­ную исто­рию дей­ствий: кто что делал в кон­крет­ной пап­ке, какие пароли менялись, кто добав­лял или уда­лял записи. Инс­тру­мент «Панель безопас­ности» так­же стал информа­тив­нее: в обновлен­ной вер­сии из этой панели мож­но ана­лизи­ровать вло­жен­ные пароли, оце­нивать, кто име­ет к ним дос­туп, и где могут скры­вать­ся потен­циаль­ные дыры в полити­ке безопас­ности.

Для пользы дела: больше возможностей, меньше хаоса

Журнал действий и уведомления

Жур­нал событий теперь не прос­то фор­маль­ный лог, а пол­ноцен­ный инс­тру­мент ауди­та. Рас­ширены катего­рии событий, перера­бота­ны фор­мулиров­ки, добав­лены филь­тры и интегра­ции с сис­темами опо­веще­ния. Осо­бен­но важ­но — дорабо­тана гиб­кая нас­трой­ка уве­дом­лений. Теперь мож­но задать, кто и при каких дей­стви­ях дол­жен получать информа­цию: изме­нение пароля, попыт­ка уда­ления, экспорт, соз­дание ярлы­ков и так далее. Это серь­езный шаг в сто­рону соот­ветс­твия полити­ке безопас­ности на уров­не ком­пании.

Безопасность ярлыков

Да­же такая, казалось бы, мелочь, как соз­дание ярлы­ков на пароли, получи­ла важ­ное обновле­ние. Теперь поль­зователь не смо­жет соз­дать ярлык, если у него нет прав на соз­дание ярлы­ков к исходно­му эле­мен­ту. Это пре­дот­вра­щает обход сис­темы кон­тро­ля дос­тупа через копиро­вание объ­ектов. Подоб­ные изме­нения говорят о том, что раз­работ­чики всерь­ез отно­сят­ся к безопас­ности и вни­матель­но сле­дят за прак­тиками зло­упот­ребле­ний.

В седь­мой вер­сии «Пас­свор­ка» изме­нил­ся механизм копиро­вания папок, в которых содер­жатся недос­тупные для копиро­вания ярлы­ки. Теперь, если в копиру­емой пап­ке есть ярлы­ки на пароли, к которым у поль­зовате­ля нет дос­тупа, они прос­то не копиру­ются. Всё осталь­ное перено­сит­ся кор­рек­тно, без лиш­них пре­дуп­режде­ний и «битых» ссы­лок.

Та­кой под­ход дела­ет про­цесс более пред­ска­зуемым и избавля­ет адми­нов и поль­зовате­лей от необ­ходимос­ти вруч­ную «чис­тить» струк­туру пос­ле неудач­ного копиро­вания. Теперь мож­но спо­кой­но дуб­лировать вет­ки дирек­торий — сис­тема сама раз­берет­ся, что поль­зовате­лю положе­но, а что — нет.

Удобнее, понятнее и гибче

В «Пас­сворк» 7.0 появи­лись не толь­ко мас­штаб­ные изме­нения, но и мно­жес­тво точеч­ных улуч­шений, которые дела­ют работу с сис­темой более удоб­ной и безопас­ной.

Во‑пер­вых, теги. Теперь при соз­дании или редак­тирова­нии пароля мож­но добав­лять теги из уже сущес­тву­ющих, а не вво­дить их вруч­ную. Это избавля­ет от дуб­лиру­ющих меток вро­де «Sales», «sales» или «Про­дажи» с раз­ным регис­тром и помога­ет навес­ти порядок в хра­нили­ще. Поль­зователь видит толь­ко теги из дос­тупных ему сей­фов, что сни­жает риск путани­цы.

Во‑вто­рых, двух­фактор­ная аутен­тифика­ция (2ФА). В пре­дыду­щих вер­сиях сброс пароля авто­риза­ции авто­мати­чес­ки сбра­сывал и 2ФА, — а это потен­циаль­ная уяз­вимость, осо­бен­но при ком­про­мета­ции поч­ты. Теперь всё ина­че: 2ФА оста­ётся вклю­чен­ной, даже если поль­зователь вос­ста­нав­лива­ет основной пароль. Что­бы отклю­чить 2ФА, пот­ребу­ется вход в сис­тему и обра­щение к адми­нис­тра­тору — так безопас­нее.

В‑треть­их, защита от перебо­ра. В нас­трой­ках появи­лась воз­можность задать парамет­ры бло­киров­ки акка­унта: сколь­ко неудач­ных попыток допус­кает­ся, за какой пери­од они счи­тают­ся, и на сколь­ко вре­мени поль­зователь будет заб­локиро­ван пос­ле пре­выше­ния лимита. Эта нас­трой­ка поз­воля­ет более точ­но адап­тировать «Пас­сворк» под полити­ку безопас­ности орга­низа­ции.

Стоит ли обновляться?

Од­нознач­но да. «Пас­сворк» 7.0  — это не прос­то оче­ред­ная вер­сия, а серь­езный шаг впе­ред. Новые воз­можнос­ти по управле­нию дос­тупом, улуч­шенный аудит и повышен­ная ста­биль­ность дела­ют этот инс­тру­мент еще более прив­лекатель­ным для ком­паний любого раз­мера. Если ты уже исполь­зуешь «Пас­сворк», то переход на «семер­ку» ста­нет логич­ным про­дол­жени­ем раз­вития тво­ей инфраструк­туры безопас­ности. Если же ты толь­ко прис­матри­ваешь­ся к сис­темам управле­ния пароля­ми, то «Пас­сворк» 7.0  — это отличный повод начать зна­комс­тво с этим оте­чес­твен­ным решени­ем, рас­смат­ривая его не как аль­тер­нативу «запис­ной книж­ке с пароля­ми», а в качес­тве пол­ноцен­ной плат­формы управле­ния дос­тупом.

Учи­тывая уро­вень перера­бот­ки, мож­но сме­ло говорить о «вто­ром рож­дении» про­екта. Прог­рамма реша­ет ту же задачу: цен­тра­лизо­ван­ное управле­ние пароля­ми в орга­низа­циях. Но теперь дела­ет это гораз­до быс­трее, гиб­че, удоб­нее и безопас­нее.

Реклама. ООО «Пассворк». 2901311774