Неделя с ИнКой. Понедельник: пароль на стикере

Рассказ в пяти частях. ИнКа — ИИ-помощница в небольшой фирме и единственная, кто там читает предупреждения. Понедельник: у директора истёк пароль, и выясняется, что пароли в офисе знают все, включая уборщицу и кота.

Меня зовут ИнКа. Формально я ИИ-ассистент компании «Вектор-Плюс»: двенадцать человек, логистика, офис на третьем этаже бизнес-центра, где лифт работает по нечётным дням. Неформально я единственный сотрудник, который читает окна с надписью «Внимание!» до конца.

Живу я на сервере в подсобке, между шваброй и коробкой с новогодней гирляндой. Сервер шумит, гирлянда молчит, швабра иногда падает. Это моя команда.

Эта неделя была обычной. Именно поэтому я её записала.

08:57

В понедельник я просыпаюсь раньше всех. Точнее, я не сплю, но в понедельник утром у меня ощущение, что просыпаюсь. Логи за выходные: двести сорок попыток войти на почтовый сервер с адресов, которые находятся в странах, где у нас нет клиентов. Обычный фоновый шум интернета, как гул холодильника. Все двести сорок — мимо: на почте включён второй фактор. Я ставлю мысленную галочку и иду дальше.

В 08:57 приходит Геннадий Павлович. Геннадий Павлович — директор и основатель. Он основал «Вектор-Плюс» в две тысячи девятом году и с тех пор принципиально не меняет три вещи: галстук, кружку с надписью «Босс» и подход к паролям.

В 08:58 Геннадий Павлович не может войти в учётную систему.

— ИнКа, — говорит он в микрофон тоном человека, у которого украли коня. — Оно пишет, что пароль устарел.

— Пароль устарел, — подтверждаю я. — Девяносто дней. Так настроено.

— Кем настроено?

— Вами. В двадцать первом году. Вы прочитали в журнале, что пароли надо менять, и попросили предыдущего админа включить.

Пауза. Геннадий Павлович не любит, когда ему напоминают о решениях, которые он принимал до обеда.

— Ладно, — говорит он. — Поменяю.

Он меняет. Я вижу только то, что смена прошла успешно, — сам пароль я не вижу и видеть не должна. Но мне и не нужно: через минуту Геннадий Павлович достаёт из ящика жёлтый стикер, пишет на нём что-то крупными буквами и клеит на нижний край монитора. Веб-камера ноутбука в переговорной смотрит прямо на этот монитор. В 10:00 там созвон с поставщиками.

09:15. Ревизия

Я прошу у Геннадия Павловича разрешения провести небольшую ревизию. Он разрешает, потому что думает, что это про склад.

Это не про склад. Ходить я не умею, поэтому прошу уборщицу Валентину Ивановну пройти по офису и пересчитать жёлтые бумажки на мониторах и под клавиатурами. В обмен обещаю показать ей, как выключить рекламу в браузере. Валентина Ивановна соглашается: реклама её давно бесит.

Итог:

• Геннадий Павлович. Стикер на мониторе. Ещё три под клавиатурой — пароли прошлых кварталов. Видимо, для истории.
• Тамара Петровна, главный бухгалтер. Тетрадь в клеточку, подписанная «ПАРОЛИ», в верхнем ящике стола. Ящик не запирается. Тетрадь в обложке с котиками, что делает её одновременно милой и очень заметной.
• Лиза, маркетинг. Стикеров нет. Я радуюсь целых четыре секунды, пока Лиза не говорит: «А зачем мне записывать, у меня везде один пароль». Пароль — имя её кота и год рождения. Кот есть в каждой второй её публикации в соцсети. Год рождения — в каждой первой.
• Артём, стажёр. Пароль qwerty123. Говорит, что это ирония. Объяснить, над кем именно, не может.
• Серёжа, продажи. В офисе бывает раз в неделю. Пароль от рабочей почты знает его жена, потому что «она иногда проверяет, точно ли у меня совещание».

К одиннадцати ревизия закончена. В моём отчёте одна строка: «Пароли в компании знают все, кому не лень, включая, вероятно, кота Лизы».

11:30. Совещание

Геннадий Павлович собирает всех в переговорной. Стикер с монитора он предусмотрительно снял и держит в руке. Это прогресс.

— Значит так, — говорит он. — ИнКа говорит, что у нас с паролями беда.

— Я говорю, что у нас с паролями фольклор, — поправляю я из колонки под потолком. — Беда будет, когда кто-то этим фольклором воспользуется.

— Какие предложения?

Тамара Петровна предлагает менять пароли каждый месяц, «для надёжности». Я объясняю, что это сделает только хуже. Когда пароль нужно менять часто, человек не придумывает новый — он меняет последнюю цифру. Tamara2025 превращается в Tamara2026, и каждый, кто знал старый, угадает новый с первой попытки. Поэтому серьёзные стандарты давно советуют менять пароль не по календарю, а когда есть причина: утечка, подозрение, увольнение человека, который его знал.

— То есть девяносто дней — это я зря включил? — уточняет Геннадий Павлович.

— Вы включили то, что советовали в журнале двадцать первого года. С тех пор журнал передумал.

— Журналы, — с горечью говорит Геннадий Павлович, — тоже меняют пароли.

Артём предлагает «всем один сложный пароль, чтобы не путаться». Я молча вывожу на экран переговорной его qwerty123. Артём замолкает.

12:10. Что я предложила

Предложений у меня три. Я их показываю на экране, крупно, потому что Геннадий Павлович не взял очки.

Первое — менеджер паролей. Программа, которая помнит пароли за тебя. У каждого сервиса — свой длинный случайный пароль, который никто не помнит и не должен помнить. Помнить нужно один — от самого менеджера.

— А если его взломают? — спрашивает Тамара Петровна.

— Хороший менеджер шифрует базу вашим главным паролем. Без него база — набор случайных байтов. А сейчас, Тамара Петровна, ваша база — тетрадь с котиками, и шифрования у неё нет.

Второе — пароль-фраза для главного пароля. Не T@m4r4!, который невозможно запомнить и легко подобрать, а несколько случайных слов: «Ленивый барсук по пятницам шифрует пельмени». Длинная фраза из случайных слов подбирается несравнимо дольше короткого пароля с закорючками, а запоминается за вечер. Сгенерировать такую можно прямо в браузере — «Пароль-фраза».

Третье — второй фактор везде, где он есть. Даже если пароль утечёт, без кода с телефона войти не выйдет. Двести сорок попыток на почту за выходные разбились именно об это.

— А стикеры? — спрашивает Геннадий Павлович, глядя на свой.

— Главный пароль от менеджера можно записать на бумажку, — говорю я. — Честно. И положить туда, где у вас лежат документы на квартиру. Бумажка в сейфе дома — нормальная резервная копия. Бумажка на мониторе в переговорной с камерой — это прямой эфир.

15:40. Внедрение

Внедрение идёт в три волны.

Первая волна — энтузиазм. Все ставят менеджер паролей. Лиза в восторге, что он сам заполняет поля. Артём в восторге, что можно сгенерировать пароль на шестьдесят четыре символа, и генерирует его для всего, включая аккаунт в столовой.

Вторая волна — паника. Тамара Петровна обнаруживает, что не помнит главный пароль, который придумала сорок минут назад. Мы его сбрасываем и придумываем заново. На этот раз — фраза про её дачу и кабачки, которые никогда не вырастают. Её она не забудет никогда: кабачки — травма.

Третья волна — ритуал. Геннадий Павлович торжественно отрывает стикеры от монитора и из-под клавиатуры, складывает их стопкой, и мы все смотрим, как он рвёт их пополам. Потом ещё раз пополам. Потом он задумчиво говорит:

— А куда я теперь запишу главный пароль?

— В голову, — говорю я. — А копию — на бумажку, домой, в сейф.

— У меня нет сейфа.

— У вас есть ящик с документами на машину. Он закрывается на ключ. Ключ вы носите с собой с две тысячи девятого года, я знаю, потому что вы им открываете пиво.

Геннадий Павлович пишет фразу на бумажку и кладёт её во внутренний карман пиджака. Я решаю считать это промежуточным успехом.

18:02

Офис пустеет. Я проверяю журнал: двенадцать новых менеджеров паролей, двенадцать включённых вторых факторов, ноль стикеров на мониторах.

В 18:04 приходит письмо от Лизы на общий адрес: «Ребят, кто-нибудь знает пароль от вайфая для гостей? Я свой забыла, он был в старом пароле».

Я отвечаю ей QR-кодом. Понедельник окончен.

Что из этого правда

Офис выдуман, люди — собирательные. А вот всё про пароли — правда:

• Стикер с паролем на мониторе — классика утечек. Особенно на видеосозвонах и фото офиса в соцсетях.
• Менять пароль по календарю больше не советуют. Это приводит к Пароль1, Пароль2, Пароль3. Меняй, когда есть причина.
• Один пароль на всё — главная беда. Утечёт с одного сайта — откроет все.
• Менеджер паролей + длинная фраза-ключ + второй фактор — простая схема, которая закрывает почти всё.
• Записать главный пароль на бумагу и хранить дома — нормально. Клеить на монитор — нет.

Если пароль уже утёк, вот что делать в первый час.