Как Password Vault защищает ваши данные: шифрование, PIN-код и хранение

Обзор

Password Vault - это личный менеджер паролей для страниц SharePoint Online и Microsoft Teams. Каждый пользователь хранит свои учётные данные в одном зашифрованном файле в собственном OneDrive. В этой статье по уровням объясняется, как защищены данные, что PIN-код делает и чего не делает, какие части хранилища шифруются и для каких учётных данных предназначен Password Vault. Статья адресована как конечным пользователям, которые хотят разобраться в продукте, так и администраторам и специалистам по безопасности, которые его проверяют.

Кратко

Уровень 1: вход в Microsoft 365 и управление доступом OneDrive

У Password Vault нет собственных учётных записей, серверов или баз данных. Веб-часть работает в браузере вошедшего пользователя и читает и записывает хранилище через Microsoft Graph от имени этого пользователя. Файл хранится в собственном OneDrive пользователя, поэтому он защищён теми же механизмами, что и любой другой файл в нём: входом в Microsoft 365 (включая многофакторную проверку подлинности и условный доступ, если они используются в вашей организации), разрешениями OneDrive и политиками Microsoft 365 вашей организации.

Password Vault запрашивает делегированное разрешение Files.ReadWrite.AppFolder для работы с папкой приложения вошедшего пользователя. Само это разрешение не предоставляет доступ к остальным файлам пользователя или к OneDrive другого пользователя. Решения SPFx используют общее удостоверение приложения, поэтому администраторам нужно учитывать и другие разрешения, выданные этому удостоверению. KB10454. Разрешение Microsoft Graph Files.ReadWrite.AppFolder: зачем оно нужно Password Vault и как его утвердить

Поскольку хранилище находится в OneDrive пользователя, а не на странице, каждый пользователь, который открывает страницу или вкладку Teams с веб-частью, видит только своё хранилище. Размещение веб-части на общей странице не открывает доступ ни к каким паролям.

Уровень 2: шифрование записей в браузере

Перед сохранением хранилища Password Vault шифрует текстовые поля каждой записи алгоритмом AES. Шифрование и расшифровка выполняются в браузере пользователя; файл передаётся только между браузером и OneDrive пользователя через Microsoft Graph. Поэтому значения никогда не хранятся и не передаются в виде открытого текста: человек, открывший файл, видит зашифрованные строки вместо названий, имён пользователей и паролей.

Ключ шифрования формируется из PIN-кода в браузере с помощью PBKDF2-SHA256 (Web Crypto) со случайной 16-байтовой солью и 600 000 итераций; новая соль создаётся при каждом задании или смене PIN-кода. Ключ нигде не хранится - ни в файле хранилища, ни в хранилище браузера, ни у Vitextra. Он существует только в памяти открытой страницы, пока хранилище разблокировано. Чтобы проверить PIN-код, веб-часть формирует из него ключ и расшифровывает контрольное значение - известный текст, зашифрованный этим ключом, - которое хранится в файле вместе с солью и числом итераций. Ни PIN-код, ни хеш PIN-кода не хранятся. Поэтому одного файла хранилища недостаточно, чтобы прочитать записи: нужен PIN-код.

Что шифруется и что нет

Данные хранилища не записываются в списки SharePoint, свойства веб-части или постоянное хранилище браузера. Пока хранилище открыто, ключ и расшифрованные значения находятся в памяти страницы. Настройки веб-части и кэш лицензии не относятся к данным хранилища.

Существующие хранилища обновляются автоматически

Хранилища, созданные в более ранних версиях Password Vault, используют прежний формат файла, в котором ключ формировался из хранящегося в файле хеша SHA-256 от PIN-кода и идентификатора объекта пользователя в Microsoft Entra ID. Когда вы впервые вводите правильный PIN-код в новой версии, веб-часть заново шифрует все записи новым ключом, сформированным с помощью PBKDF2, и сохраняет хранилище в новом формате. Записи и даты их изменения сохраняются, а счётчик неудачных попыток сбрасывается. Вам ничего не нужно делать. После обновления файл больше не содержит хеш PIN-кода.

Обновление завершается, только если удалось расшифровать все записи и успешно сохранить обновлённый файл. При сбое на любом из этих этапов веб-часть может продолжить текущий сеанс в прежнем формате; сама разблокировка не подтверждает успешное обновление.

Уровень 3: PIN-код и заблокированное хранилище

PIN-код - это 4-значный код, который пользователь задаёт при создании хранилища (см. KB10442. Как настроить PIN-код в Password Vault). Он нужен один раз, чтобы открыть хранилище: веб-часть проверяет его сразу после ввода четвёртой цифры. До этого хранилище заблокировано, и веб-часть вообще не показывает записи - даже их названия. Вместо списка отображается запрос Введите PIN-код с текстом «Введите свой PIN-код, чтобы продолжить» и четырьмя полями для цифр, а на панели инструментов доступна только кнопка Обновить.

После ввода правильного PIN-кода хранилище разблокируется, и все эти действия выполняются напрямую, без повторного запроса PIN-кода, пока хранилище снова не заблокируется.

В запросе Введите PIN-код цифры при вводе скрываются. На экранах Настройка PIN-кода и Сменить PIN-код они видны, поэтому задавайте или меняйте PIN-код там, где никто не может видеть ваш экран.

Автоматическая блокировка

После загрузки страницы хранилище заблокировано: записи не показываются, отображается только запрос Введите PIN-код. После ввода правильного PIN-кода хранилище открывается и остаётся разблокированным, пока вы работаете. Если в течение 5 минут внутри веб-части не было ни щелчка, ни нажатия клавиши (действия на экране Сменить PIN-код тоже учитываются), хранилище снова блокируется: список исчезает, показанные пароли скрываются, ключ удаляется из памяти, а все открытые диалоговые окна (Создать элемент, Изменить свойства, подтверждение удаления) закрываются без сохранения. Перезагрузка страницы также блокирует хранилище, потому что разблокированное состояние существует только в открытой странице. См. KB10451. Автоматическая блокировка: когда Password Vault снова запрашивает PIN-код.

Ограничение неудачных попыток

Со временем счётчик не сбрасывается. Веб-часть показывает сообщение Неверный PIN-код и количество оставшихся попыток. Если сохранение выполнено успешно, счётчик записывается в файл хранилища и учитывает попытки на разных устройствах и в разных сеансах. Правильный PIN-код или его смена обнуляет счётчик; для сохранения этого результата в файле также необходима успешная запись. Если файл не удаётся прочитать или счётчик не удаётся сохранить, страница может использовать ранее загруженные данные и учитывать неудачную попытку только локально. Восстановите соединение и обновите данные, прежде чем продолжать. После 5 неверных PIN-кодов подряд хранилище блокируется с сообщением Вы слишком много раз вводили неправильный PIN-код., и доступна только кнопка Сбросить. См. статью KB10455. Неверный PIN-код в Password Vault: что происходит после пяти неудачных попыток.

Никаких данных у Vitextra

Vitextra не получает, не хранит и не создаёт резервных копий данных хранилища. Единственные запросы веб-части к службам Vitextra - это проверка лицензии и телеметрия использования с техническими идентификаторами. Полный список см. в статье KB10363. Где продукты Vitextra хранят ваши данные: конфиденциальность, расположение данных и GDPR.

Для чего предназначен Password Vault

Password Vault задуман как удобное личное место для повседневных учётных данных - входа на веб-порталы, в системы партнёров, тестовых учётных записей и похожих записей, которые пользователь иначе хранил бы в блокноте или текстовом файле. Его защита сочетает управление доступом Microsoft 365 с шифрованием хранимых значений ключом, производным от 4-значного PIN-кода.

Это не система управления привилегированным доступом: в нём нет совместного использования между пользователями, восстановления администратором, собственного журнала аудита и главного пароля высокой стойкости. Для учётных записей администраторов, служебных учётных записей, общих учётных данных команды и других секретов с высокими привилегиями следуйте политике вашей организации и используйте предписанные ею средства. Сравнение с другими подходами см. в статье KB10440. Password Vault, менеджеры паролей в браузерах и корпоративные менеджеры паролей: что выбрать.

Рекомендации

• Защитите свою учётную запись Microsoft 365: хранилище защищено ровно настолько, насколько защищена учётная запись, которой принадлежит OneDrive.
• Выберите PIN-код, который нелегко угадать (избегайте 0000, 1234 или года своего рождения), и храните его в надёжном месте.
• Не передавайте и не копируйте файл хранилища: тот, у кого есть копия, может перебрать все 10 000 PIN-кодов в автономном режиме.
• Блокируйте компьютер, когда отходите от него, даже ненадолго.
• Скопированный пароль остаётся в буфере обмена, пока вы не скопируете что-то другое; на общих компьютерах очищайте буфер обмена после использования.
• Если вы работаете с хранилищем на нескольких устройствах или вкладках, изменения объединяются автоматически; нажмите Обновить, чтобы увидеть изменения, внесённые в другом месте (см. KB10453. Где Password Vault хранит ваши пароли: папка приложения в OneDrive). При одновременном редактировании одной записи приоритет имеют последние сохранённые значения её редактируемых полей.
• Храните только те учётные данные, которые ваша организация разрешает хранить в личном менеджере паролей.