Целевая аудитория
NordPass – это самостоятельный программный продукт с «облачной» архитектурой, запущенный специалистами в области кибербезопасности – командой сервиса NordVPN. Как и другие менеджеры паролей, он предназначен для удобного управления всеми парольными фразами пользователя, их хранения и защиты от действий злоумышленников. Вместе с тем, NordPass обеспечивает ряд дополнительных функций, таких как проверка паролей на стойкость и «утечку» в сети/Даркнете, автоматическая генерация уникальных и сложных паролей, а также возможность безопасной передачи записей другим пользователям.
Основная аудитория NordPass – пользователи ПК и мобильных устройств, которые заботятся о безопасности и не хотят доверять персональные данные стандартным решениям вендоров ПО, таким как Microsoft, Google, Apple или даже Mozilla.
Не менее интересным решение будет для семей или небольших команд разработчиков, которым нужно надёжное хранение паролей по доступной цене.
Функциональные возможности
Основные функции парольного менеджера NordPass:
- Хранение любого количества пар «логин+пароль» и расширенное управление ими (редактирование, удаление, распределение по тематикам/категориям и т.п.).
- Автоматическая синхронизация паролей между разными устройствами пользователя.
- Автоматическое заполнение полей на сайтах при авторизации.
- Генерация стойких паролей.
- Хранение другой важной конфиденциальной информации (данные банковских карт, адреса, контакты, текстовые записи).
- Проверка качества паролей и обнаружение «утечек».
- Импортирование записей из других программ и платформ.
- Обеспечение общего доступа к отдельным паролям, записям, контактам и другим данным из хранилища.
Использовать программу можно и без «облачной» синхронизации, достаточно выбрать соответствующий вариант после запуска. Но если вы создадите учётную запись в инфраструктуре NORD, то потенциально сможете получить доступ и к другим продуктам провайдера:
- NordVPN – сервис подключения через защищённую виртуальную сеть VPN;
- NordLocker – защищённое сетевое хранилище (аналог «облаку», но все файлы хранятся в зашифрованном контейнере, ключ от которого имеется только у вас).
Вы получаете единую систему авторизации для всех продуктов сразу, а также удобный личный кабинет для управления подписками и другими параметрами.
Конфиденциальность/безопасность
Сервис предоставляется командой, которая уже не первый год работает в кибербезопасности. Аудитория NordVPN превышает 14 млн пользователей. Менеджер паролей NordPass прошёл аудит независимой компании Cure53 (штаб-квартира в Германии, занимается пентестами с 2013 года).
Архитектура приложения (zero-knowledge, «архитектура с нулевым разглашением») выстроена так, что в «облако» NordPass попадают уже зашифрованные данные. Само шифрование выполняется на конечном устройстве, но никакие «штатные» средства ОС, как во многих других профильных продуктах, не используются. Поэтому, даже если злоумышленник взломает вашу учётную запись, он не сможет воспользоваться скачанными паролями, так как не сможет их достать из защищённого шифром хранилища.
Отсюда сразу важное пожелание – используйте разные парольные фразы для учётной записи NORD и для мастер-пароля NordPass.
Когда вы используете сервис сканирования на утечки, он не передаёт ваши пароли или данные кредитных карт в открытом виде. Он хеширует информацию, и затем сравнивает контрольную сумму с хешами в общедоступных источниках и в Даркнете.
Nord функционирует в юрисдикции Республики Панама и не ведёт журналов активности своих пользователей.
Основные методы защиты
Защищённое хранилище паролей шифруется по самому современному и высокопроизводительному алгоритму – XChaCha20. Он во многом схож с военным стандартом AES-256-GCM, но его обсчёт занимает значительно меньше системных ресурсов (из-за усовершенствованной математической модели).
Так как это асимметричное шифрование, то об абсолютной безопасности речи не идёт (но, чтобы взломать шифр при текущих вычислительных мощностях, понадобятся тысячи лет).
Двухфакторная защита организована за счёт использования сторонних приложений для мобильных устройств: Google Authenticator, Duo, Authy и т.п. В момент, когда вы авторизуетесь со своим логином и паролем, приложение дополнительно просит подтвердить авторизацию на смартфоне. Таким образом, злоумышленнику для успешного взлома необходимо завладеть сразу двумя вашими устройствами и паролями от них и от специальных приложений.
На мобильных устройствах возможна биометрическая авторизация при помощи отпечатка пальца или Face ID (в зависимости от платформы и имеющихся сенсоров).
Хранение паролей
При наличии аккаунта Nord, пароли хранятся в «облаке» NordPass. Для работы на устройстве используется локальная копия. Как только вы вносите правки/изменения, база данных шифруется, синхронизируется с «облаком» и затем передаётся на другие ваши устройства.
Даже если ваше оборудование испортится или вы смените ноутбук/смартфон, все пароли автоматически «подтянутся» на новое устройство из аккаунта NordPass. Главное – не забыть мастер пароль.
Поддерживаемые платформы и браузеры
У NordPass очень хороший охват современных платформ. Поддерживаются все настольные операционные системы: Windows, macOS и даже Linux. А также мобильные платформы: Android и iOS.
Чтобы получить возможность автозаполнения в браузерах на десктопах, необходимо установить специальное расширение и связать его с приложением. Расширения готовы для многих chromium-браузеров. В Chrome и Opera можно воспользоваться официальными каталогами, для остальных подойдёт магазин приложений Chrome (для Drave, Edge, Яндекс.Браузер и т.п.). Есть поддержка Firefox и Safari.
Импорт и экспорт данных
Сразу при первом запуске приложения будет предложено импортировать пароли из уже установленных браузеров на ПК. При желании вы можете запустить импорт вручную, для этого придётся экспортировать пароли в CSV-файл из старого приложения, сервиса или менеджера паролей браузера. Соответственно, поддерживается импорт из любого приложения или сервиса, у которого есть возможность выгрузки записей в CSV.
Сам NordPass умеет экспортировать записи в том же CSV-формате.
Мониторинг безопасности
Мало использовать безопасные пароли. Один или несколько из используемых вами сервисов могут взломать, в этом случае логины и пароли, а также другие данные, если они хранились в открытом виде, могут попасть в руки злоумышленникам. Специальный сервис NordPass мониторит популярные площадки в Даркнете, где хакеры делятся «слитыми» базами. В случае, если ваши логины или пароли будут найдены здесь, программа вас оперативно оповестит и предложит сменить скомпрометированные данные.
Чтобы исключить вероятность взлома прямым перебором (по имеющимся базам известных паролей и по наиболее популярным комбинациям, вида «qwerty», «йцукен», «123456» и т.п.), NordPass проверяет ваши пароли на устойчивость и предлагает сменить слабые комбинации.
Генерация паролей
Чтобы вы не придумывали каждый раз уникальный сложный пароль, NordPass может сам генерировать новые комбинации «на лету» - непосредственно при вводе значений в специальные поля. Генератор паролей можно вызвать и напрямую (без использования форм регистрации в браузере).
Базовые настройки генератора легко изменить под себя: длина пароля в символах, использование спецсимволов, только заглавных букв, только прописных и т.д.
Интерфейс генератора паролей максимально простой и понятный.
Восстановление доступа
На случай экстренного доступа лучше всего скачать и сохранить в безопасном месте код для восстановления (recovery code) – комбинация вида OPK7-XOZK-7TDB-246I-HZ72-P1I6 (необходимо сформировать и скопировать в настройках приложения).
Если вы забудете мастер-пароль, без recovery-кода восстановить доступ к своим паролям не получится уже никак. На серверах NordPass хранятся зашифрованные записи, и без специального ключа, заблокированного мастер-паролем, их не расшифровать.
Семейный доступ и работа команд
У NordPass есть семейная подписка – можно подключить к сервису до 4 дополнительных пользователей (итого 5 человек). Каждый из пользователей фактически работает со своим индивидуальным хранилищем, поэтому записи никак не пересекаются.
Но вы можете «поделиться» выбранными паролями с другим пользователем NordPass, в этом случае записи переносятся в специальный раздел программы для централизованного управления общим доступом.
Ценовая политика / тарифы
У NordPass имеется более чем функциональный бесплатный тариф. В отличие от многих других «облачных» менеджеров паролей, здесь нет ограничений по количеству записей. Вы можете хранить в аккаунте любое число паролей. Но синхронизировать с «облаком» можно только 1 активное устройство пользователя (получается, что для разных устройств нужно создавать самостоятельный аккаунт, либо нужно выходить из своего аккаунта на предыдущем устройстве).
Чтобы обеспечить синхронизацию между всеми своими устройствами (до 6 активных на 1 аккаунт), нужно перейти на премиум.
Индивидуальный тариф – от 2,49 USD/месяц (при оплате сразу за 2 года – 50% скидка, $59.76 вместо $119.76). Если выбрать помесячное списание – 4,99 USD/месяц, при оплате за год – скидка 40% (2,99 USD/месяц).
Студентам дополнительная скидка – 10% при оплате за год. Нужно подтвердить статус через портал Student Beans.
Семейный тариф – 3,99 USD/месяц. Пока только один вариант подписки – сразу на год ($47.88).
Для бизнес-клиентов цены формируются в индивидуальном порядке (по запросу).
Плюсы и минусы
Понятно, что идеального во всех отношениях менеджера паролей просто не существует. У NordPass тоже есть свои преимущества и недостатки. Наиболее значимые из них перечислим ниже.
Плюсы
- Имеется поддержка двухфакторной авторизации (дополнительная защита от взлома).
- Поддерживается импорт и экспорт паролей.
- Есть функциональный бесплатный аккаунт.
- Единая авторизация для всех сервисов компании (VPN, защищённое хранилище).
- Можно хранить не только пароли (данные кредитных карт, в том числе с кодами безопасности, текстовые заметки, адреса, контакты).
- Надёжная защита с современным и высокопроизводительным алгоритмом асимметричного шифрования.
- Пароли синхронизируются между всеми устройствами пользователя через «облако».
- Есть автозаполнение и генератор стойких паролей.
- Специальный инструмент проверяет текущие пароли на стойкость и на утечки.
- В списке поддерживаемых платформ и браузеров есть все популярные, и даже Linux.
- Есть возможность импорта паролей из браузеров и из других менеджеров/онлайн-сервисов.
Минусы:
- Дополнениям для браузеров требуется классическое настольное приложение для работы (их нужно связывать между собой).
- Нельзя задать время действия пароля.
- Защищённое хранилище требует отдельного приложения и подписки, хотя благодаря наличию бесплатного тарифного плана на 3 Гб его логично было бы включить в состав единого приложения.
- Триал для премиум-функций только 7 дней.
- Интерфейс пока не переведён на русский язык.
- В семейной подписке нет единой панели управления аккаунтами/записями, только раздел общих паролей (хотя это особенно актуально для небольших команд разработчиков).
Аналоги и конкуренты
На рынке представлено огромное множество различных решений для работы с паролями. Индустрия зародилась вместе с расцветом Интернета. Конечно, NordPass не принёс сюда ничего нового в техническом плане, но тем не менее – это комплексный продукт, который выгодно выделяется на фоне конкурентов не только дополнительным функционалом, но и ценой.
Наиболее яркие альтернативы NordPass:
LastPass – это один из самых популярных нишевых продуктов. Долгое время он оставался лидером по всем фронтам: полная кроссплатформенность, адекватная техподдержка, синхронизация через «облако», импорт, экспорт, функциональный бесплатный тариф и т.д. Проблемы начались с 2011 года, когда из-за обнаруженной уязвимости пользователей попросили сменить свои пароли. А после покупки сервиса компанией LogMeIn и череды других технических проблем аудитория стала активно искать более надёжные альтернативы. Сейчас LastPass всё ещё «в деле», но, по отзывам пользователей, качество сервиса значительно снизилось.
1Password – это ещё один столп в сфере паролехранения, наиболее функциональный во всех отношениях. Здесь и комплексные решения для корпоративных клиентов, и двухфакторная авторизация, и качественная проверка паролей на стойкость, и даже работа с автозаполнением форм классических программ на ПК (записи можно перетянуть из окна менеджера в окно приложения). Правда, у 1Password совсем нет бесплатных тарифов, тестовый период очень короткий, да и стоимость подписки для личного пользования высока.
Dashlane – наиболее яркий представитель парольных менеджеров, работающих без классического настольного приложения. Для личного пользования доступны только дополнения к браузерам и вебинтерфейс. С одной стороны, это очень удобно, и такой подход будет работать в любой операционной система, даже в Linux или в Chrome OS. Но здесь есть подводные камни и специфические неудобства. Например, невозможно организовать автоматический импорт записей или удобное заполнение форм оффлайн-приложений и т.д.
Среди представителей отрасли можно найти и полностью бесплатные аналоги с открытым исходным кодом (KeePassX, Bitwarden и т.п.), а также другие коммерческие продукты (RoboForm, Keeper и т.д.). Но у всех из них будут свои технические особенности, плюсы и минусы. Очень сложно найти баланс между функционалом, ценой и удобством использования.
Выводы
NordPass – это относительно новый игрок на рынке менеджеров паролей, который, тем не менее, успел показать себя, как лучший сервис в нише. Аналогов и альтернатив более чем достаточно, но у каждого из них свои минусы и плюсы. Чем так хорош новичок? Комплексным подходом к безопасности. NordPass – это только один из трёх ключевых сервисов компании-разработчика. Сюда же легко добавляются: защищённое облачное хранилище NordLocker и сеть NordVPN. А это значит, что у владельца сервиса достаточно надёжная инфраструктура, устойчивое финансирование (при многомиллионной аудитории VPN) и чёткий план развития. В перспективе это наиболее выигрышный вариант в сравнении с более мелкими, узкопрофильными игроками.
