Хранилище паролей и сквозное шифрование
Что обещает сквозное шифрование и чего не обещает, что видит сервер, мастер-пароль и recovery-код, отключение устройства и отзыв доступа.
Что мы обещаем
Когда в хранилище включено сквозное шифрование, ключ от ваших паролей есть только на ваших устройствах. Сервер — и мы как его владельцы, и хостер, и тот, кто украдёт копию базы, — хранит пароли, логины, заметки, коды 2FA и скрытые поля только в зашифрованном виде и прочитать их не может. Открытыми остаются названия записей, адреса сайтов, теги, даты и поля, которые вы сами не сделали скрытыми, — по ним работают список, поиск и напоминания. Ключи ботов и интеграций, которые вы сами отметили как служебные, сервер читает: без этого он не выдаст их без вас.
«Когда включено» — важная часть фразы. Новый инстанс и новый аккаунт Облака стартуют в обычном режиме: секреты зашифрованы ключом сервера. Сквозное шифрование включает мастер переноса — Настройки → Хранилище.
Обещание касается личных записей и данных на сервере — не «никто и никогда», а «сервер не может». От заражённого устройства оно не защищает (ниже — от чего ещё). И восстановить доступ к личным записям без мастер-пароля и recovery-кода сервер тоже не сможет.
Что видит сервер
| Видит | Не видит |
|---|---|
| названия записей, адреса сайтов, тип, теги, избранное, архив, корзину | пароль |
| имена всех полей и значения нескрытых (текст, ссылка, дата) | значения скрытых полей |
| даты: создания, правки, смены пароля, «пора менять», последнего доступа | логин |
| журнал доступа: кто и когда открыл, скопировал, посмотрел 2FA | заметки |
| бейджи, которые посчитал ваш клиент: «слабый», «в утечках», «повторяется» — без самих паролей | семя 2FA и коды |
| служебные записи целиком — их он и выдаёт ботам | |
| зашифрованную связку ключей: какие устройства подключены, параметры пароля | мастер-пароль и recovery-код — они не уходят с устройства |
Бейджи «повторяется» и «в утечках» — подсказка: сервер видит, что несколько аккаунтов делят один пароль, хотя самого пароля не знает. Выключить хранение бейджей на сервере пока нельзя.
Мастер-пароль и recovery-код
- Мастер-пароль открывает хранилище. На сервер он не уходит: ключ выводится из него на устройстве. Берите длинную парольную фразу.
- Recovery-код (25 знаков) открывает хранилище, если пароль забыт. Показывается один раз — при включении и при «Отозвать доступ»; новый можно выпустить в «Ключи шифрования», старый тогда перестаёт работать.
- Потеряны оба — личные записи потеряны навсегда. Ни мы, ни администратор сервера, ни поддержка их не восстановят: ключа нет ни у кого. Служебные записи при этом остаются.
- Подстраховка — выгрузка хранилища в файл (Хранилище → Экспорт), защищённый своим паролем.
Служебные записи
Служебная запись — ключ бота, токен интеграции, пароль, который должен выдаваться без вас (CLI, MCP, боты). Её шифрует и читает сервер. В списке она помечена значком сервера, в карточке написано «Служебная запись: её читает сервер». Личные пароли туда не кладите.
«Отключить устройство» и «Отозвать доступ»
Это разные действия — не путайте их.
| Что делает | Когда | |
|---|---|---|
| Отключить устройство | снимает его способ входа (Face ID, расширение). Ключ хранилища прежний | телефон продан или сдан, и хранилище на нём было заперто |
| Отозвать доступ | новый ключ для всего хранилища: записи перешифровываются в браузере, старый ключ больше ничего не прочитает; все другие устройства подключаются заново; выдаётся новый recovery-код | телефон украден незапертым, в браузере могло работать вредное расширение, есть подозрение, что ключ утёк |
Оба — в вебе: Хранилище → Ключи шифрования. Смена мастер-пароля ключ не меняет: если пароль мог утечь вместе с устройством, нужен «Отозвать доступ».
Отдельно в Хранилище → Устройства есть «Отвязать» — это отзыв токена браузерного расширения: расширение перестаёт ходить в хранилище, ключ шифрования не меняется.
От чего это не защищает
- Заражённое устройство. Кейлоггер или вредное расширение видят то же, что вы. После такого — «Отозвать доступ».
- Веб-версия, подменённая самим сервером. Веб-клиент загружается с сервера, и злонамеренный сервер может отдать код, ворующий пароль. Приложение для iPhone и расширение ставятся отдельно и так не подменяются.
- Слабый мастер-пароль. Перебор замедлен, но не невозможен.
- Первый вход с нового устройства. Приложение и веб показывают поколение и дату связки ключей — сверьте их с другим своим устройством. Расширение этого пока не показывает.
- Адрес записи. Название и адрес сайта открыты и ключом не подписаны: злой сервер может приписать личной записи чужой сайт. Поэтому расширение заполняет личную запись только на сайтах, которые вы подтвердили сами: на новом сайте оно спросит в своём окне и покажет, где запись заполнялась раньше. Подтверждённые сайты помнит браузер, а не сервер. Если запись «Банк» вдруг просится на незнакомый сайт — не подтверждайте.
Перенос существующего хранилища
Мастер (Настройки → Хранилище) показывает список, предлагает, что оставить служебным, шифрует записи в браузере, проверяет каждую и только потом переключает режим. До переключения ничего не меняется; 14 дней после можно откатить мастер-паролем (recovery-код для этого не годится).
Все эти 14 дней на сервере лежит снимок до переноса: в нём логины и заметки открытым текстом, пароли — под ключом сервера. Обещание выше в полной мере действует, когда снимок удалён — сам по истечении срока или раньше кнопкой «Удалить снимок» в Настройки → Хранилище (откат после этого невозможен).