یک مقایسه ساده؛ آیا پسورد منیجر شما امن است؟

حفظ کردن چندین و چند پسورد مختلف با ساختاری سخت، کار هر فردی نیست. باید یک ذهن قدرتمند و طلایی داشته باشید تا بتوانید همزمان تعداد زیادی رمز پیچیده را به خاطر آورید.

از سوی دیگر، راهکارهای قدیمی مانند نوشتن رمزها در یک کاغذ یا تایپ آن ها در یک فایل اکسل نیز، به دلایل امنیتی متفاوت، منسوخ شده اند و دیگر کمتر کسی به سراغشان می رود. اما می توان با بهره گرفتن از یک پسورد منیجر ایمن بر این مشکل غلبه کرد و کمتر از حافظه کمک گرفت.

استفاده از پسورد منیجرها مزیت های زیادی برایمان به همراه دارد. اول از همه، مشکل قرار دادن یک رمز برای چند حساب کاربری را به راحتی حل می کنند. علاوه بر این، به کمک آن ها قادر به ثبت رمزهای عبور پیچیده تری هستیم که باعث ایمن سازی بیشتر حساب هایمان می شود.

از طرفی پسورد منیجرها این امکان را ایجاد می کنند تا بتوانیم رمزهای عبورمان را مکررا تغییر دهیم و قدرت امنیتی حساب های کاربریمان را به لطفشان ارتقا بخشیم. این ویژگی ها به تنهایی هویت و ذات پسورد منیجرها را تعریف می کنند.

همچنین دلایلی هستند برای آنکه به سراغشان برویم و وظیفه حفظ و نگه داری از حساب های کاربریمان را به دستشان بسپاریم. اما موضوع بر سر آن است که کدام پسورد منیجر از همه بهتر و در عین حال ایمن تر است.

همه پسورد منیجرها ذات یکسانی ندارند و برخی ویژگی های منحصر به فردی را در خود جای داده اند که باقی از آن ها محروم مانده اند. از طرفی بحث امنیت هم همیشه مطرح است و باید به دنبال گزینه ای بگردیم که از ایمنی بیشتری برخوردار است.

به همین منظور به سراغ چند پسورد منیجر مختلف می رویم و از ویژگی های متفاوت هر یک برای تان می گوییم تا ببنیم کدامشان انتخاب منطقی تری هستند. پس در ادامه با دیجیاتو همراه باشید.

۱) LastPass

لست پس در حال حاضر محبوب ترین پسورد منیجر است و تقریبا همه آن را می شناسند. اما این محبوبیت زمانی به اوج خود رسید که توسعه دهندگان تصمیم به عرضه رایگان این سرویس روی تمامی پلتفرم ها در سال ۲۰۱۶ گرفتند.

با این حال، محبوبیت بیش از حد دردسرهایی هم با خودش به همراه می آورد. در دنیای امنیت هر چه محبوب تر باشید، بیشتر مورد توجه هکرها و متجاوزین سایبری قرار می گیرید.

تا کنون دوبار هم این اتفاق برای لست پس رخ داده است؛ یکی در سال ۲۰۱۱ و دیگری در سال ۲۰۱۵. در هر دو حمله سایبری، شرکت لست پس متوجه مشکلاتی در ترافیک شبکه سیستم شد و در این راستا از تمامی کاربرانش خواست که رمز اصلی شان را تغییر دهند.

البته برخی اوقات همین منافع سودجویانه، به نفع شرکت ها نیز تمام می شوند. به نوعی این فرصت در اختیار شرکت ها قرار می گیرد که پیش از بروز مشکلات بزرگ متوجه مسائل سیستم بشوند و در صدد رفع آن ها برآیند.

اما در حال حاضر، لست پس قدرتمندترین امکانات امنینی روز صنعت را در دست دارد که می شود تا اندازه زیادی به آن ها اطمینان کرد. به عنوان مثال، آن ها از توابع درهم سازی یک طرفه PBKDF2-SHA256 روی رمزها استفاده می کنند که احتمال دسترسی هکرها به رمزهای شما را تقریبا غیر ممکن می سازند.

علاوه بر این، پسورد شما هیچ وقت برای لست پس نیز ارسال نمی شود؛ چرا که در اصل این توابع هستند که هویت شما را شناسایی می کنند و کلید رمزهای عبور را در اختیارتان قرار می دهند.

در کنار این موضوع، حساب های شما پیش از آنکه در سرورهای لست پس قرار بگیرند به واسطه رمزنگاری های ۲۵۶ بیتی AES، کد گذاری می شوند. همچنین تمامی اطلاعات در حال انتقال میان دستگاه شما و لست پس نیز به واسطه SSL انجام می گیرد.

لست پس اخیرا هم از Paros برای بررسی احتمال حملات XSS و SQL و از Funkload برای بازبینی عملکرد امنیتی سیستم ها خود بهره می گیرد تا هیچ حفره امنیتی خاصی از چشم دور نماند.

۲) Dashlane

دشلین در اصل بزرگترین و سرسخت ترین رغیب لست پس به حساب می آید. بر خلاف بسیاری از پسورد منیجرها که تنها قادر به ذخیره محلی یک نسخه از اطلاعات شما هستند، دشلین امکان همگام سازی میان پلتفرمی اطلاعات را در اختیار کاربرانش قرار می دهد.

با این وجود، دشلین سه سالی از لست پس کوچکتر است و زمان انتشار آن به سال ۲۰۱۱ باز می گردد. اما نکته جالب آن است که دشلین پتنت امنیتی خود را برای حفاظت از اطلاعات کاربرانش دارد.

این پتنت در مارچ ۲۰۱۲ با نام «دیتا بکاپ تحت کلاد و قابل همگام سازی با حافظه محلی برای دسترسی به رمزها» توسط دشلین در دفتر ثبت پتنت و نشان تجاری آمریکا به ثبت رسید. در واقع نام پتنت ذکر شده نیز، نشان از نحوه عملکرد سیستم دشلین دارد.

بر اساس طرح این پتنت، ساز و کار سیستم امنیتی دشلین در دو بخش تعریف می شود؛ رمز نگاری داده ها و احراز هویت کاربر. سیستم رمزنگاری داده های دشلین، در اصل بر نحوه ذخیره پسوردها، اطلاعات پرداخت و نگه داری از اطلاعات شخصی نظارت می کند.

از این رو، دشلین برای رمزنگاری رمز اصلی تان، از ۱۰ هزار تابع PBKDF2 در حال تکرار کمک می گیرد. علاوه بر این، اطلاعات هم در سرورهای دشلین با استفاده از سیستم رمزنگاری ۲۵۶ بیتی AES صورت می گیرد و همانند لست پس، رمز اصلی تان به هیچ عنوان در سرورهای شرکت منتقل نمی شوند.

در کنار این موضوع سیستم احراز هویت دشلین نیز به مراحل بررسی و تایید کاربر هنگام ورود از طریق یک دستگاه جدید اشاره دارد. در مورد این موضوع، گفتنیست که دشلین علاوه بر استفاده از توابع مختلف برای رمز اصلی، یک رمز یکبار مصرف نیز هنگام ورود به ایمیل کاربر ارسال می کند تا از هویت او اطمینان حاصل کند.سپس دشلین کلید دستگاه تازه را به سرورهای خود منتقل می کند تا از این پس مراحل ورود به حساب کاربری راحت تر صورت گیرد.

۳) KeePass

بر خلاف دو سرویس گفته شده، کی پس یک برنامه متن باز است که می تواند به نوعی جایگزین خوبی برای برخی از پسورد منیجرها باشد. البته کی پس یک تفاوت عمده با دیگر پسورد منیجرها دارد و تنها قادر به ذخیره اطلاعات به صورت محلی است.

این موضوع یک نکته مثبت و در عین حال یک بخش منفی را در بر میگیرد. از زاویه دید مثبت، همه چیز روی دستگاه شما ذخیره شده و اگر هکری قصد حمله به ترافیک شبکه را داشته باشد، نمی تواند به اطلاعات شما دست پیدا کند.

اما از دید منفی، اگر بخواهید پسوردهای تان را همه جا به همراه داشته باشید نیازمند نصب نسخه قابل انتقال اپ هستید. علاوه بر این همیشه برای انتقال اطلاعاتتان به یک گجت دیگر، ملزم به استفاده از پورت های USB خواهید بود.

با این حال کی پس یک ویژگی کاربردی بسیار خوب هم در خود جای داده که به واسطه آن می توانید میان قرار دادن «رمز اصلی» و انتخاب «کی فایل»، یکی را برای سیستم احراز هویت اپ انتخاب کنید.

همچنین کی پس برای فشرده سازی المان های رمز اصلی از SHA-256 استفاده می کند و برای امنیت بیشتر و جلوگیری از حمله های سایبری احتمالی از Argon2 کمک می گیرد. علاوه بر این، کی پس برای محیط دسکتاپ نیز ویژگی تازه ای در دل تنظمیات خود دارد که به واسطه آن می توانید از حمله کی لاگر ها پیشگیری کنید.

اما بزرگترین نقطه ضعف این سرویس، وجود بیش از ۱۰۰ پلاگین مختلف روی آن است. همچنین عدم دسترسی به همگام سازی اطلاعات نیز می تواند گاهی اوقات به ضرر کاربر تمام شود و او را با مشکلات مهمی رو به رو سازد.

۴) Keeper

از نظر بسیار از کاربران، کیپر یکی از محبوب ترین پسورد منیجرهاست. چرا که کار کردن با آن آسان است و از نگاه کاربران ویژگی های امنیتی خوبی هم در اختیار دارد. با این حال آیا کیپر لایق این همه ستایش است؟ آیا کاربران این سرویس واقعا ایمن هستند؟ در پاسخ به این سوال باید گفت بله.

کیپر سیاست «zero knowledge» را برای حفاظت اطلاعات کاربرانش در پیش گرفته است. در عمل یعنی تا انتهای پروسه هیچ رمزنگاری یا رمزگشایی خاصی توسط کیپر صورت نمی گیرد و در واقع همه چیز روی خود دستگاه اتفاق می افتد.

همانند بسیاری از پسورد منیجرها، کیپر نیز از الگوریتم ۲۵۶ بیتی AES کمک می گیرد. سپس هر پسورد در سرورهای کیپرز با دو کلید منحصر به فرد رمزنگاری می شوند؛ «دیتا کی» و رکورد کی». همچنین باقی اطلاعات موجود در دستگاه نیز با کلید «کلاینت کی» کدگذاری خواهند شد.

از آنجایی هم که تمامی این رمزنگاری ها روی بخش کلاینت صورت می گیرند، تنها یک کد باینری خام به سرورهای کیپر ارسال می شوند که عملا دستیابی به آن، هیچ سودی برای هکرها به همراه ندارد. تنها در صورتی هکرها قادر به دسترسی به اطلاعات کاربر هستند که دستگاه شان در اختیار آن ها قرار بگیرد.

علاوه بر این به دلیل استفاده کیپر از الگوریتم ۲۵۶ بیتی AES، در مقابل تهدید بویشگرها نیز محافظت خواهید شد.

۵) Sticky Password

مدتیست که استیکی پسورد سر و صدای زیادی به پا کرده و در طی سال های اخیر شهرت خوبی برای خود به دست آورده است. علاوه بر این، استیکی پسورد در بررسی ها عملکرد خوبی از خود نشان داده و حالا به یکی از سردمداران دنیای پسورد منیجرها تبدیل شده است.

شاید بهترین ویژگی امنیتی آن هم وای فای سینک باشد. همانطور که همگام سازی رمزها میان دستگاه های مختلف از طریق سرورهای ابری صورت می گیرد، به واسطه وای فای سینک نیز می توان هنگام اتصال به یک شبکه خاص، اطلاعات را رد و بدل کرد و بدون استفاده از هیچ سروری به رمزهای عبور روی تمامی گجت ها دسترسی داشت.

همانند تمامی سرویس هایی که به آن ها اشاره شد، هیچ اطلاعاتی در سرورهای استیکی پسورد ذخیره نخواهد شد و داده ها تنها در شبکه به واسطه الگوریتم ۲۵۶ بیتی AES رمزنگاری می شوند.

آیا پسورد منیجرها ایمن هستند؟

حالا با تمامی موضوعات و سرویس هایی که به آن ها اشاره شد همچنان این سوال مطرح است که آیا پسورد منیجرها ایمن هستند یا نه. در پاسخ به این سوال باید بگوییم که همیشه احتمال تهدیدهای سایبری وجود دارد. اما حالا با اطلاعات ارائه شده، با ابزارهای قدرتمند روز آشنا شدید و می توانید بسته به نیازتان یکی را انتخاب کنید. در ادامه اگر از پسورد منیجر خاصی استفاده می کنید که به آن در متن اشاره نشد، می توانید آن را با ما در بخش نظرات در میان بگذارید.