Как Password Vault защищает ваши данные: шифрование, PIN-код и хранение

Обзор

Password Vault — это личный менеджер паролей для страниц SharePoint Online и Microsoft Teams. Каждый пользователь хранит свои учётные данные в одном зашифрованном файле в собственном OneDrive. В этой статье по уровням объясняется, как защищены данные, что PIN-код делает и чего не делает, какие части хранилища шифруются и для каких учётных данных предназначен Password Vault. Статья адресована как конечным пользователям, которые хотят разобраться в продукте, так и администраторам и специалистам по безопасности, которые его проверяют.

Кратко

Уровень 1: вход в Microsoft 365 и управление доступом OneDrive

У Password Vault нет собственных учётных записей, серверов или баз данных. Веб-часть работает в браузере вошедшего пользователя и читает и записывает хранилище через Microsoft Graph от имени этого пользователя. Файл хранится в собственном OneDrive пользователя, поэтому он защищён теми же механизмами, что и любой другой файл в нём: входом в Microsoft 365 (включая многофакторную проверку подлинности и условный доступ, если они используются в вашей организации), разрешениями OneDrive и политиками Microsoft 365 вашей организации.

Веб-часть использует одно делегированное разрешение, Files.ReadWrite.AppFolder, которое позволяет ей работать только в папке приложения в OneDrive вошедшего пользователя. Она не может открывать другие файлы пользователя и не может открыть OneDrive другого пользователя. Подробнее см. KB10454. Разрешение Microsoft Graph Files.ReadWrite.AppFolder: зачем оно нужно Password Vault и как его утвердить.

Поскольку хранилище находится в OneDrive пользователя, а не на странице, каждый пользователь, который открывает страницу или вкладку Teams с веб-частью, видит только своё хранилище. Размещение веб-части на общей странице не открывает доступ ни к каким паролям.

Уровень 2: шифрование записей в браузере

Перед сохранением хранилища Password Vault шифрует текстовые поля каждой записи алгоритмом AES. Шифрование и расшифровка выполняются в браузере пользователя; файл передаётся только между браузером и OneDrive пользователя через Microsoft Graph. Поэтому значения никогда не хранятся и не передаются в виде открытого текста: человек, открывший файл, видит зашифрованные строки вместо названий, имён пользователей и паролей.

Ключ шифрования формируется из PIN-кода в браузере с помощью PBKDF2-SHA256 (Web Crypto) со случайной 16-байтовой солью и 600 000 итераций; новая соль создаётся при каждом задании или смене PIN-кода. Ключ нигде не хранится — ни в файле хранилища, ни в хранилище браузера, ни у Vitextra. Он существует только в памяти открытой страницы, пока хранилище разблокировано. Чтобы проверить PIN-код, веб-часть формирует из него ключ и расшифровывает контрольное значение — известный текст, зашифрованный этим ключом, — которое хранится в файле вместе с солью и числом итераций. Ни PIN-код, ни хеш PIN-кода не хранятся. Поэтому одного файла хранилища недостаточно, чтобы прочитать записи: нужен PIN-код.

Что шифруется и что нет

Ничего не записывается в списки SharePoint, в свойства веб-части или в хранилище браузера. Ключ и расшифрованные значения существуют только в памяти открытой страницы, пока хранилище разблокировано.

Существующие хранилища обновляются автоматически

Хранилища, созданные в более ранних версиях Password Vault, используют прежний формат файла, в котором ключ формировался из хранящегося в файле хеша SHA-256 от PIN-кода и идентификатора объекта пользователя в Microsoft Entra ID. Когда вы впервые вводите правильный PIN-код в новой версии, веб-часть заново шифрует все записи новым ключом, сформированным с помощью PBKDF2, и сохраняет хранилище в новом формате. Записи и даты их изменения сохраняются, а счётчик неудачных попыток сбрасывается. Вам ничего не нужно делать. После обновления файл больше не содержит хеш PIN-кода.

Уровень 3: PIN-код и заблокированное хранилище

PIN-код — это 4-значный код, который пользователь задаёт при создании хранилища (см. KB10442. Как настроить PIN-код в Password Vault). Он нужен один раз, чтобы открыть хранилище: веб-часть проверяет его сразу после ввода четвёртой цифры. До этого хранилище заблокировано, и веб-часть вообще не показывает записи — даже их названия. Вместо списка отображается запрос Введите PIN-код с текстом «Введите свой PIN-код, чтобы продолжить» и четырьмя полями для цифр, а на панели инструментов доступна только кнопка Обновить.

После ввода правильного PIN-кода хранилище разблокируется, и все эти действия выполняются напрямую, без повторного запроса PIN-кода, пока хранилище снова не заблокируется.

В запросе Введите PIN-код цифры при вводе скрываются. На экранах Настройка PIN-кода и Сменить PIN-код они видны, поэтому задавайте или меняйте PIN-код там, где никто не может видеть ваш экран.

Автоматическая блокировка

После загрузки страницы хранилище заблокировано: записи не показываются, отображается только запрос Введите PIN-код. После ввода правильного PIN-кода хранилище открывается и остаётся разблокированным, пока вы работаете. Если в течение 5 минут внутри веб-части не было ни щелчка, ни нажатия клавиши (действия на экране Сменить PIN-код тоже учитываются), хранилище снова блокируется: список исчезает, показанные пароли скрываются, ключ удаляется из памяти, а все открытые диалоговые окна (Создать элемент, Изменить свойства, подтверждение удаления) закрываются без сохранения. Перезагрузка страницы также блокирует хранилище, потому что разблокированное состояние существует только в открытой странице. См. KB10451. Автоматическая блокировка: когда Password Vault снова запрашивает PIN-код.

Ограничение неудачных попыток

При каждом неверном PIN-коде отображается сообщение «Неверный PIN-код» и число в поле Осталось попыток. Счётчик хранится в файле хранилища и всегда увеличивается на основе последней версии файла, поэтому попытки, сделанные на разных устройствах и страницах, надёжно суммируются. Строка Осталось попыток отображается в запросе Введите PIN-код всякий раз, когда уже были неверные попытки, в том числе после перезагрузки страницы или на другом устройстве. Со временем счётчик не сбрасывается — сбросить его может только правильный PIN-код. После 5 неверных PIN-кодов подряд хранилище блокируется: веб-часть показывает только экран Сброс, а сброс удаляет все записи и PIN-код. См. KB10455. Неверный PIN-код в Password Vault: что происходит после пяти неудачных попыток.

Никаких данных у Vitextra

Vitextra не получает, не хранит и не создаёт резервных копий данных хранилища. Единственные запросы веб-части к службам Vitextra — это проверка лицензии и телеметрия использования с техническими идентификаторами. Полный список см. в статье KB10363. Где продукты Vitextra хранят ваши данные: конфиденциальность, расположение данных и GDPR.

Для чего предназначен Password Vault

Password Vault задуман как удобное личное место для повседневных учётных данных — входа на веб-порталы, в системы партнёров, тестовых учётных записей и похожих записей, которые пользователь иначе хранил бы в блокноте или текстовом файле. Его защита сочетает управление доступом Microsoft 365 с шифрованием хранимых значений ключом, производным от 4-значного PIN-кода.

Это не система управления привилегированным доступом: в нём нет совместного использования между пользователями, восстановления администратором, собственного журнала аудита и главного пароля высокой стойкости. Для учётных записей администраторов, служебных учётных записей, общих учётных данных команды и других секретов с высокими привилегиями следуйте политике вашей организации и используйте предписанные ею средства. Сравнение с другими подходами см. в статье KB10440. Password Vault, менеджеры паролей в браузерах и корпоративные менеджеры паролей: что выбрать.

Рекомендации

• Защитите свою учётную запись Microsoft 365: хранилище защищено ровно настолько, насколько защищена учётная запись, которой принадлежит OneDrive.
• Выберите PIN-код, который нелегко угадать (избегайте 0000, 1234 или года своего рождения), и храните его в надёжном месте.
• Не передавайте и не копируйте файл хранилища: тот, у кого есть копия, может перебрать все 10 000 PIN-кодов в автономном режиме.
• Блокируйте компьютер, когда отходите от него, даже ненадолго.
• Скопированный пароль остаётся в буфере обмена, пока вы не скопируете что-то другое; на общих компьютерах очищайте буфер обмена после использования.
• Если вы работаете с хранилищем на нескольких устройствах или вкладках, изменения объединяются автоматически; нажмите Обновить, чтобы увидеть изменения, внесённые в другом месте (см. KB10453. Где Password Vault хранит ваши пароли: папка приложения в OneDrive).
• Храните только те учётные данные, которые ваша организация разрешает хранить в личном менеджере паролей.