Kā Password Vault aizsargā jūsu datus: šifrēšana, PIN kods un glabāšana

Pārskats

Password Vault ir personisks paroļu pārvaldnieks SharePoint Online lapām un Microsoft Teams. Katrs lietotājs glabā savus akreditācijas datus vienā šifrētā failā savā OneDrive. Šajā rakstā pa līmeņiem paskaidrots, kā dati tiek aizsargāti, ko PIN kods dara un ko nedara, kuras glabātuves daļas tiek šifrētas un kādiem akreditācijas datiem Password Vault ir paredzēts. Raksts ir paredzēts gan galalietotājiem, kuri vēlas izprast produktu, gan administratoriem un drošības speciālistiem, kuri to pārbauda.

Kopsavilkums

1. līmenis: pierakstīšanās Microsoft 365 un OneDrive piekļuves kontrole

Password Vault nav savu kontu, serveru vai datu bāzu. Tīmekļa daļa darbojas pierakstījušā lietotāja pārlūkprogrammā un lasa un raksta glabātuvi, izmantojot Microsoft Graph ar šī lietotāja identitāti. Fails tiek glabāts lietotāja paša OneDrive, tāpēc to aizsargā tie paši mehānismi, kas jebkuru citu tur esošu failu: pierakstīšanās Microsoft 365 (tostarp daudzfaktoru autentifikācija un nosacījumpiekļuve, ja jūsu organizācija tās izmanto), OneDrive atļaujas un jūsu organizācijas Microsoft 365 politikas.

Tīmekļa daļa izmanto vienu deleģēto atļauju, Files.ReadWrite.AppFolder, kas ļauj tai strādāt tikai pierakstījušā lietotāja OneDrive lietotnes mapē. Tā nevar atvērt citus lietotāja failus un nevar atvērt cita lietotāja OneDrive. Plašāku informāciju skatiet rakstā KB10454. Microsoft Graph atļauja Files.ReadWrite.AppFolder: kāpēc tā nepieciešama Password Vault un kā to apstiprināt.

Tā kā glabātuve atrodas lietotāja OneDrive, nevis lapā, katrs lietotājs, kurš atver lapu vai Teams cilni ar tīmekļa daļu, redz tikai savu glabātuvi. Tīmekļa daļas ievietošana koplietotā lapā nekoplieto nevienu paroli.

2. līmenis: ierakstu šifrēšana pārlūkprogrammā

Pirms glabātuves saglabāšanas Password Vault šifrē katra ieraksta teksta laukus ar AES. Šifrēšana un atšifrēšana notiek lietotāja pārlūkprogrammā; fails tiek pārsūtīts tikai starp pārlūkprogrammu un lietotāja OneDrive, izmantojot Microsoft Graph. Tādējādi vērtības nekad netiek glabātas vai pārsūtītas kā vienkāršs teksts: persona, kas atver failu, nosaukumu, lietotājvārdu un paroļu vietā redz šifrētas virknes.

Šifrēšanas atslēga tiek atvasināta no PIN koda pārlūkprogrammā ar PBKDF2-SHA256 (Web Crypto), izmantojot nejaušu 16 baitu sāli un 600 000 iterāciju; jauns sāls tiek izveidots ikreiz, kad PIN kods tiek iestatīts vai mainīts. Atslēga netiek nekur glabāta — ne glabātuves failā, ne pārlūkprogrammas krātuvē, ne pie Vitextra. Tā pastāv tikai atvērtās lapas atmiņā, kamēr glabātuve ir atbloķēta. Lai pārbaudītu PIN kodu, tīmekļa daļa atvasina no tā atslēgu un atšifrē pārbaudes vērtību — zināmu tekstu, kas šifrēts ar atslēgu —, ko fails glabā kopā ar sāli un iterāciju skaitu. Netiek glabāts ne PIN kods, ne PIN koda jaucējvērtība. Tāpēc ar glabātuves failu vien nepietiek, lai izlasītu ierakstus: ir nepieciešams PIN kods.

Kas tiek un kas netiek šifrēts

Nekas netiek ierakstīts SharePoint sarakstos, tīmekļa daļas rekvizītos vai pārlūkprogrammas krātuvē. Atslēga un atšifrētās vērtības pastāv tikai atvērtās lapas atmiņā, kamēr glabātuve ir atbloķēta.

Esošās glabātuves tiek jauninātas automātiski

Glabātuves, kas izveidotas ar iepriekšējām Password Vault versijām, izmanto iepriekšējo faila formātu, kurā atslēga tika atvasināta no failā glabātas PIN koda SHA-256 jaucējvērtības un lietotāja Microsoft Entra ID objekta ID. Kad jaunajā versijā pirmo reizi ievadāt pareizo PIN kodu, tīmekļa daļa atkārtoti šifrē visus ierakstus ar jaunu atslēgu, kas atvasināta ar PBKDF2, un saglabā glabātuvi jaunajā formātā. Ieraksti un to modificēšanas datumi tiek saglabāti, un neveiksmīgo mēģinājumu skaitītājs tiek atiestatīts. Jums nekas nav jādara. Pēc jaunināšanas failā vairs nav PIN koda jaucējvērtības.

3. līmenis: PIN kods un bloķētā glabātuve

PIN kods ir 4 ciparu kods, ko lietotājs iestata, kad tiek izveidota glabātuve (skatiet KB10442. Kā iestatīt PIN kodu risinājumā Password Vault). Tas ir nepieciešams vienreiz — lai atvērtu glabātuvi: tīmekļa daļa to pārbauda, tiklīdz ir ievadīts ceturtais cipars. Līdz tam glabātuve ir bloķēta, un tīmekļa daļa nerāda nevienu ierakstu — pat ne to nosaukumus. Saraksta vietā tā rāda uzvedni Ievadiet PIN kodu ar tekstu „Ievadiet PIN kodu, lai turpinātu” un četriem ciparu lodziņiem, un rīkjoslā ir pieejama tikai poga Atsvaidzināt.

Pēc pareiza PIN koda glabātuve ir atbloķēta, un visas šīs darbības darbojas tieši, atkārtoti neprasot PIN kodu, līdz glabātuve tiek bloķēta.

Uzvednē Ievadiet PIN kodu cipari ir maskēti, kamēr tos ievadāt. Ekrānos PIN koda iestatīšana un Mainiet PIN kodu tie ir redzami, tāpēc iestatiet vai mainiet PIN kodu vietā, kur neviens nevar redzēt jūsu ekrānu.

Automātiskā bloķēšana

Pēc lapas ielādes glabātuve ir bloķēta: netiek rādīts neviens ieraksts, tikai uzvedne Ievadiet PIN kodu. Pēc pareiza PIN koda glabātuve atveras un paliek atbloķēta, kamēr strādājat. Ja 5 minūtes tīmekļa daļā nav bijis neviena klikšķa vai taustiņa nospiešanas (tiek ņemtas vērā arī darbības ekrānā Mainiet PIN kodu), glabātuve atkal tiek bloķēta: saraksts pazūd, parādītās paroles tiek paslēptas, atslēga tiek noņemta no atmiņas, un katrs atvērtais dialoglodziņš (Jauns vienums, Rediģēt rekvizītus, noņemšanas apstiprinājums) tiek aizvērts bez saglabāšanas. Lapas atkārtota ielāde arī bloķē glabātuvi, jo atbloķētais stāvoklis pastāv tikai atvērtajā lapā. Skatiet KB10451. Automātiskā bloķēšana: kad Password Vault atkal pieprasa PIN kodu.

Neveiksmīgo mēģinājumu ierobežojums

Pēc katra nepareiza PIN koda tiek parādīts ziņojums „PIN kods ir nepareizs” un atlikušo mēģinājumu skaits (Atlikušie mēģinājumi). Skaitītājs tiek glabāts glabātuves failā un vienmēr tiek palielināts, balstoties uz jaunāko faila versiju, tāpēc dažādās ierīcēs un lapās veiktie mēģinājumi droši summējas. Rindiņa Atlikušie mēģinājumi tiek rādīta uzvednē Ievadiet PIN kodu vienmēr, ja iepriekš ir bijuši nepareizi mēģinājumi, — arī pēc lapas atkārtotas ielādes vai citā ierīcē. Laika gaitā skaitītājs netiek atiestatīts — to atiestata tikai pareizs PIN kods. Pēc 5 nepareiziem PIN kodiem pēc kārtas glabātuve tiek bloķēta: tīmekļa daļa rāda tikai ekrānu Atiestatīt, un atiestatīšana izdzēš visus ierakstus un PIN kodu. Skatiet KB10455. Password Vault: nepareizi PIN koda mēģinājumi un kas notiek pēc piecām neveiksmīgām reizēm.

Vitextra nav jūsu datu

Vitextra nesaņem, neglabā un nedublē glabātuves datus. Vienīgie tīmekļa daļas pieprasījumi Vitextra pakalpojumiem ir licences pārbaude un lietošanas telemetrija ar tehniskiem identifikatoriem. Pilnu sarakstu skatiet rakstā KB10363. Kur Vitextra produkti glabā jūsu datus: konfidencialitāte, datu atrašanās vieta un VDAR.

Kam Password Vault ir paredzēts

Password Vault ir izstrādāts kā ērta, personiska vieta ikdienas akreditācijas datiem — pierakstīšanās datiem tīmekļa portālos, partneru sistēmās, testa kontiem un līdzīgiem ierakstiem, ko lietotājs citādi glabātu piezīmju grāmatiņā vai teksta failā. Tā aizsardzība apvieno Microsoft 365 piekļuves kontroli ar glabāto vērtību šifrēšanu ar atslēgu, kas atvasināta no 4 ciparu PIN koda.

Tā nav priviliģētās piekļuves pārvaldības sistēma: tajā nav koplietošanas starp lietotājiem, administratora veiktas atkopšanas, sava audita žurnāla un augstas stiprības galvenās paroles. Administratoru kontiem, pakalpojumu kontiem, komandas koplietotiem akreditācijas datiem un citiem augstu privilēģiju noslēpumiem ievērojiet savas organizācijas politiku un izmantojiet tās noteiktos rīkus. Salīdzinājumu ar citām pieejām skatiet rakstā KB10440. Password Vault, pārlūkprogrammu paroļu pārvaldnieki un uzņēmumu paroļu pārvaldnieki: ko izvēlēties.

Ieteikumi

• Aizsargājiet savu Microsoft 365 kontu: glabātuve ir tikai tik droša, cik drošs ir konts, kuram pieder OneDrive.
• Izvēlieties PIN kodu, ko nav viegli uzminēt (izvairieties no 0000, 1234 vai sava dzimšanas gada), un glabājiet to drošā vietā.
• Nekoplietojiet un nekopējiet glabātuves failu: tas, kuram ir tā kopija, varētu bezsaistē izmēģināt visus 10 000 PIN kodu.
• Bloķējiet datoru, kad no tā aizejat, pat uz īsu brīdi.
• Nokopēta parole paliek starpliktuvē, līdz nokopējat kaut ko citu; koplietotos datoros pēc lietošanas notīriet starpliktuvi.
• Ja izmantojat glabātuvi vairākās ierīcēs vai cilnēs, izmaiņas tiek apvienotas automātiski; nospiediet Atsvaidzināt, lai redzētu citur veiktās izmaiņas (skatiet KB10453. Kur Password Vault glabā jūsu paroles: OneDrive lietotnes mape).
• Glabājiet tikai tos akreditācijas datus, kurus jūsu organizācija atļauj glabāt personiskā paroļu pārvaldniekā.