OPSEC52 / Неделя 7 — Менеджер паролей как средство разделения

Каждый отсек, который вы выстроили до сих пор — отдельные почты, отдельные телефоны, отдельные профили браузера — держится на одном тихом шве, способном снова сшить их воедино — на повторно использованном пароле. Можно месяцами вести безупречную гигиену личностей, а затем войти в два псевдонимных аккаунта одной и той же строкой — и бесплатно вручить противнику ключ, который их связывает. Повторное использование пароля — это не проблема стойкости, это проблема связуемости. Менеджер паролей решает и то, и другое сразу, и это единственная привычка OPSEC, которую вы действительно сохраните.

Модель угроз: атаки подстановки учётных данных, проигрывающие утёкшие пары логин/пароль по каждому вашему сайту; повторное использование пароля, криптографически связывающее в остальном раздельные псевдонимные аккаунты в момент утечки одной базы данных; SMS- и email-2FA, привязывающая «анонимный» аккаунт к номеру телефона или восстановительной личности; ответы на контрольные вопросы, тихо кодирующие вашу настоящую биографию; и сохранённые в браузере пароли, незаметно синхронизирующиеся с Google- или Apple-аккаунтом на ваше настоящее имя.

Повтор — это атака на связуемость, а не только на стойкость

Почти все советы про пароли — про стойкость: длину, энтропию, «не используйте password123». Такая рамка упускает суть OPSEC. Для того, кто строит отсеки, опасность не в том, что слабый пароль взломают, а в том, что повторно использованный — сопоставят.

Сливы баз — это товар. Миллиарды пар почта:пароль за годы утечек доступны для поиска, агрегации и перекрёстной индексации. Когда ваш псевдоним из Недели 3 и ваш аккаунт на настоящее имя оба всплывают в сливах с одинаковым паролем, эта общая строка — вероятностный отпечаток, зачастую уникальный. Вы слили не личность, вы слили ключ связи, а запрос за вас выполнил кто-то другой. В каждой стене, которую вы возвели между личностями, есть дверь — и эта дверь есть тот самый пароль, который вам настолько понравился, что вы набрали его дважды.

Решение механическое и полное: уникальный высокоэнтропийный пароль для каждого аккаунта, сгенерированный и сохранённый так, чтобы вы их никогда не видели и не помнили. В этом вся работа менеджера паролей. Стойкость — бесплатный побочный эффект; настоящая победа в том, что ничто ни с чем не связывается.

Выберите менеджер, который не течёт по своей конструкции

KeePassXC — офлайн, локальный, с открытым кодом. Ваше хранилище — один зашифрованный файл .kdbx, который вы контролируете и резервируете сами. Ни облачного аккаунта, ни компании, которую можно вызвать повесткой, ни телеметрии синхронизации. Выбор по умолчанию, когда модель угроз серьёзная.
Bitwarden / Vaultwarden — открытый код с синхронизацией. Используйте самостоятельно размещённый сервер Vaultwarden, если хотите синхронизацию между устройствами без доверия третьей стороне; хранилище в любом случае зашифровано сквозным шифрованием. Разумно, когда удобство толкает вас к плохим привычкам.
Избегайте встроенного менеджера браузера, когда он синхронизируется с аккаунтом на настоящее имя. Chrome→Google и Safari→Apple тихо отправляют каждую сохранённую учётку в личность, которую вы пытаетесь держать отдельно. Если пользуетесь автозаполнением, направьте его на расширение KeePassXC/Bitwarden, а не на аккаунт системы.

«Лучшего» нет — есть тот, который вы будете открывать каждый день. Локальный .kdbx, которым вы реально пользуетесь, лучше идеальной самостоятельно размещённой схемы, которую вы забросили.

2FA: перестаньте позволять второму фактору вас переопознавать

Двухфакторная аутентификация — это хорошо; для анонимности важен тип:

SMS-2FA — это утечка личности. Она привязывает аккаунт к номеру телефона, а номера по KYC ведут к вам (см. Неделю 4). Избегайте её на любом псевдонимном аккаунте; если сервис её навязывает — этот сервис знает, кто вы.
TOTP (коды аутентификатора) — базовый уровень: храните секреты в менеджере паролей или в отдельном TOTP-приложении. KeePassXC генерирует TOTP нативно, так что второй фактор живёт в том же зашифрованном хранилище.
Аппаратные ключи (FIDO2/WebAuthn) — самые надёжные и защищённые от фишинга; дешёвый ключ на каждый уровень личности оправдан для важных аккаунтов.

Принцип: ваш второй фактор должен доказывать владение, а не личность. SMS доказывает личность. Пропустите его.

Контрольные вопросы — это биография, поэтому лгите

«Девичья фамилия матери», «первый питомец», «город рождения» — это мягкий слив личности в костюме восстановления, и часто самое слабое звено к аккаунту. Никогда не отвечайте на них правдиво. Сгенерируйте для каждого ответа вторую случайную строку и храните её в хранилище рядом с паролем. Для сервиса это ответ; для противника, строящего ваш профиль, это шум.

Гигиена хранилища — мастер-фраза теперь и есть вся ваша личность

Сведение всего в одно хранилище повышает ставку одного секрета. Защищайте его соответственно:

Мастер-фраза = diceware, 6+ слов, заучена, никогда не хранится в цифровом виде. Это единственный пароль, который вы держите в голове.
Резервируйте хранилище офлайн — зашифрованная копия на USB в ящике лучше хранилища, живущего только на ноутбуке, который может умереть или быть изъят.
Никогда не синхронизируйте сырой файл через облако на настоящее имя. Если синхронизируете — синхронизируйте уже зашифрованный .kdbx и предпочитайте свой собственный сервер.
Разделяйте и само хранилище. Держите отдельное хранилище (отдельный файл, отдельная мастер-фраза) для анонимного уровня. Если ваше повседневное хранилище когда-нибудь откроют под принуждением или на скомпрометированной машине, псевдонимных учёток в нём не будет.

Последний пункт — вся серия в одной привычке: менеджер паролей — это не только инструмент стойкости, это отсек. Одно хранилище на уровень личности означает, что взлом одной жизни не разблокирует остальные.

Задания этой недели

Установите KeePassXC (или разверните Vaultwarden) и создайте первое хранилище с мастер-фразой diceware из 6 слов.
Прогоните основную почту через Have I Been Pwned — каждое совпадение это аккаунт, чей пароль нужно сменить на уникальный.
Замените SMS-2FA на TOTP (или аппаратный ключ) на каждом аккаунте, где это возможно; пометьте любой сервис, навязывающий SMS, как привязанный к личности.
Смените все ответы на контрольные вопросы на случайные строки в хранилище — перестаньте вещать свою биографию.
Создайте отдельное хранилище для аккаунтов анонимного уровня, с собственной мастер-фразой, и вынесите эти учётки из повседневного хранилища.

На следующей неделе идём по следу денег: слой финансовой деанонимизации, где метаданные карт, цепочки KYC и ончейн-эвристики тихо приклеивают имя обратно ко всему, что вы только что разделили. А пока: генерируйте, никогда не повторяйте и позвольте хранилищу помнить, чтобы противник не смог сопоставить.

Curated by Cyber Satoshi