مدیر رمز

ده‌ها رمز، یه مغز

درس قبل، رمز خوب چه شکلیه، گفت رمز خوب بلنده، تصادفیه، و برای هر حساب جداست. حالا یه حساب ساده بکنیم: ایمیل، دو تا بانک، پیام‌رسان، اینستاگرام، چند تا فروشگاه اینترنتی، سایت قبض، سایت مالیات، اپ تاکسی، یه سایت فیلم. خیلی زود به بیست، سی تا حساب می‌رسید. هیچ آدمی نمی‌تونه سی تا رمز بلند تصادفی جدا رو حفظ کنه.

برای همینه که بیشتر آدم‌ها، حتی وقتی می‌دونن نباید، یه رمز رو همه‌جا تکرار می‌کنن. راه حلش، مغز بزرگ‌تر نیست؛ یه ابزاره که به انگلیسی بهش می‌گن Password Manager، یعنی «مدیر رمز». این درس می‌گه مدیر رمز چطور کار می‌کنه، چرا با اینکه همه‌ی رمزها یه جان، امن‌تره، و چند تا مدیر رمز رایگان و خوب رو معرفی می‌کنه. ما توی این درس‌ها هیچ برنامه‌ی پولی‌ای معرفی نمی‌کنیم؛ همه‌ی چیزهایی که اینجا می‌گیم، رایگان کار می‌کنن.

مدیر رمز گوگل

اگه گوشی اندروید دارید یا با کروم کار می‌کنید، احتمالا تا حالا پیام «رمز ذخیره بشه؟» رو دیدید. این همون مدیر رمز گوگله، به انگلیسی Google Password Manager. طبق راهنمای خود گوگل، رمزهایی که اینجا ذخیره می‌کنید، توی حساب گوگلتون می‌مونن و روی همه‌ی دستگاه‌هایی که با همون حساب وارد شدید، در دسترسن.

1. روی کامپیوتر، توی کروم، بالا سمت راست سه نقطه (More) رو بزنید، بعد Passwords and autofill، بعد Google Password Manager.
2. روی هر دستگاهی هم می‌تونید نشانی passwords.google.com رو باز کنید و با حساب گوگلتون وارد بشید.
3. روی گوشی اندروید، معمولا توی تنظیمات، بخش Passwords یا Google، پیداش می‌کنید؛ اگه جاش فرق داشت، توی تنظیمات دنبال Password Manager بگردید.

دو تا کار مهم که راهنمای گوگل می‌گه: یکی بخش Password Checkup، یعنی «بررسی رمزها»، که می‌گه کدوم رمزهای ذخیره‌شده‌تون لو رفتن، تکراری‌ان یا ضعیفن. دوم، گزینه‌ی Sign in automatically، یعنی «ورود خودکار»؛ اگه می‌خواید پیش از هر ورود ازتون بپرسه، خاموشش کنید. فقط یادتون باشه: اینجا کلید گاوصندوق، رمز حساب گوگلتونه. پس اون رمز باید از همه قوی‌تر باشه و ورود دومرحله‌ای براش روشن باشه.

برنامه‌ی Passwords اپل

اپل از iOS 18 و macOS Sequoia، یه برنامه‌ی جدا به اسم Passwords گذاشته که رمزها، پس‌کی‌ها، رمز وای‌فای و کدهای تایید رو یه جا نگه می‌داره. راهنمای خود اپل یه جمله‌ی خیلی درست داره: امن‌ترین رمز، معمولا رمزیه که خودتون نسازید. وقتی توی یه سایت یا برنامه حساب تازه می‌سازید، آیفون خودش یه رمز قوی و جدا پیشنهاد می‌کنه.

1. برای پر کردن خودکار، طبق راهنمای اپل: Settings، بعد General، بعد AutoFill & Passwords، و گزینه‌ی AutoFill Passwords and Passkeys رو روشن کنید.
2. برای اینکه رمزها روی همه‌ی دستگاه‌های اپلتون باشن: Settings، اسم خودتون، iCloud، بعد Passwords and Keychain، و iCloud Keychain رو روشن کنید.
3. اگه جای گزینه‌ها توی نسخه‌ی گوشی شما فرق داشت، توی تنظیمات دنبال همین اسم‌ها بگردید.

Passwords هم مثل گوگل، رمزهای لو رفته یا تکراری رو بهتون می‌گه. محدودیتش اینه که بیشتر برای دستگاه‌های اپله؛ اگه هم آیفون دارید هم کامپیوتر ویندوزی یا گوشی اندروید، یه مدیر رمز جدا راحت‌تره.

Bitwarden

Bitwarden یه مدیر رمز جداست که کدش متن‌بازه (Open Source)، یعنی هر کسی می‌تونه کدش رو بخونه و ببینه واقعا همون کاری رو می‌کنه که می‌گه. برای همین معرفیش می‌کنیم: لازم نیست فقط به حرف شرکت اعتماد کنید. طبق صفحه‌ی قیمت خودش، نسخه‌ی رایگانش «همیشه رایگان»ه و توش رمز و دستگاه بی‌شمار، برنامه برای مرورگر، گوشی و کامپیوتر، و شریک شدن با یه نفر دیگه هست. چیزهایی مثل دسترسی اضطراری و گزارش‌های امنیتی کامل، توی نسخه‌ی پولیشه، که اینجا لازمشون نداریم.

Bitwarden روی اندروید، آیفون، ویندوز، مک، لینوکس و همه‌ی مرورگرهای معروف هست. گاوصندوق قفل‌شده توی سرورش می‌مونه و روی همه‌ی دستگاه‌هاتون یکیه. اگه یه رمز رو توی گوشی عوض کنید، توی کامپیوتر هم عوض می‌شه. برای نصب، فقط از فروشگاه رسمی گوشی، یا فروشگاه افزونه‌ی خود مرورگر، یا سایت خود Bitwarden، یعنی bitwarden.com، بگیریدش؛ درس برنامه‌ی جعلی گفت چرا.

KeePassXC

KeePassXC هم رایگان و متن‌بازه، ولی یه فرق بزرگ داره: هیچ سروری نداره. طبق راهنمای خودش، همه‌ی رمزها توی یه فایل رمزگذاری‌شده با پسوند .kdbx روی کامپیوتر خودتون نگه داشته می‌شن، و هیچ‌چیز جایی فرستاده نمی‌شه. اینترنت لازم نداره، حساب کاربری لازم نداره، و هیچ شرکتی هم نیست که هک بشه.

ولی همین آزادی، کار رو هم با خودتون می‌کنه. اگه کامپیوتر خراب بشه و از فایل نسخه‌ی پشتیبان نداشته باشید، همه‌ی رمزها با هم می‌رن. اگه بخواید رمزها روی گوشی هم باشن، باید خودتون فایل رو منتقل کنید و با یه برنامه‌ی سازگار، مثل KeePassDX که برای اندروید رایگان و متن‌بازه، بازش کنید. KeePassXC افزونه‌ی مرورگر هم داره که رمز رو توی سایت‌ها پر می‌کنه.

KeePassXC برای کسیه که دوست داره همه‌چیز دست خودش باشه و حوصله‌ی پشتیبان‌گیری داره. برای بیشتر آدم‌ها، یه مدیر رمز ابری یا همون مدیر رمز گوشی، ساده‌تره.

مرورگرهای دیگه

فایرفاکس، اج و بقیه‌ی مرورگرها هم یه مدیر رمز داخلی دارن که رایگانه و برای شروع بد نیست. فقط دو تا نکته: اول، رمزها توی همون مرورگر می‌مونن؛ اگه فردا مرورگر عوض کنید، باید منتقلشون کنید. دوم، اگه بی حساب کاربری مرورگر ازش استفاده می‌کنید، رمزها فقط روی همون کامپیوترن، و با خراب شدن کامپیوتر می‌رن. اگه مرورگر یه گزینه‌ی «رمز اصلی» (Primary Password) داره، مثل فایرفاکس، روشنش کنید، تا هر کسی پشت کامپیوترتون نشست، نتونه رمزها رو ببینه.

کدوم رو انتخاب کنم

• فقط گوشی اندروید و کروم دارید؟ همون مدیر رمز گوگل کافیه؛ فقط حساب گوگلتون رو محکم کنید.
• فقط آیفون و مک دارید؟ همون برنامه‌ی Passwords کافیه؛ حساب اپلتون رو محکم کنید.
• دستگاه‌هاتون قاطیه، مثلا آیفون و کامپیوتر ویندوزی، یا چند مرورگر؟ Bitwarden.
• نمی‌خواید رمزها هیچ‌جا جز کامپیوتر خودتون باشن، یا اینترنت همیشه در دسترس نیست؟ KeePassXC، با پشتیبان‌گیری مرتب.

مهم‌تر از اینکه کدوم رو انتخاب کنید، اینه که یکی رو انتخاب کنید و همه‌ی رمزها رو توش ببرید. دو سه تا مدیر رمز با هم، فقط گیجتون می‌کنه که کدوم رمز کجاست.

رمز اصلی

رمز اصلی تنها رمزیه که از این به بعد باید حفظش کنید، پس وقت بذارید و درست بسازیدش:

1. بلند باشه: دست‌کم پنج کلمه‌ی تصادفی، با همون روش تاس که درس قبل گفت.
2. هیچ‌جای دیگه استفاده نشده باشه، و نشه، حتی یه شکل شبیهش.
3. برای چند روز اول، هر روز چند بار تایپش کنید تا توی دستتون بیفته.
4. یه نسخه‌ش رو روی کاغذ بنویسید و یه جای امن توی خونه نگه دارید، نه توی کیف و نه توی گوشی.

اگه از مدیر رمز گوگل یا اپل استفاده می‌کنید، رمز اصلی همون رمز حساب گوگل یا اپلتونه، و قفل گوشی هم یه کلید دیگه‌ی همون گاوصندوقه. پس رمز قفل گوشی هم نباید چیزی مثل 1234 باشه.

اگه رمز اصلی یادم بره

این روی دیگه‌ی «دانش صفر»ه: چون شرکت رمز اصلی شما رو نداره، نمی‌تونه برگردونه‌ش. Bitwarden توی راهنماش صاف نوشته هیچ راهی برای دیدن، برگردوندن یا عوض کردن رمز اصلی شما نداره. یعنی اگه هم رمز اصلی یادتون بره و هم هیچ راه دیگه‌ای نداشته باشید، گاوصندوق برای همیشه بسته می‌مونه.

راهنمای Bitwarden چند تا راه برای این وضعیت می‌گه، که خوبه از همین حالا آماده‌شون کنید:

• اگه روی یه دستگاه دیگه هنوز با قفل عددی (PIN) یا اثر انگشت وارد هستید، از همون‌جا رمزها رو بیرون بکشید.
• اگه یادآور رمز (Hint) گذاشته بودید، می‌تونید بخواید براتون ایمیل بشه؛ یادآور نباید خود رمز یا چیزی باشه که بقیه هم بفهمن.
• ورود با یه دستگاه شناخته‌شده‌ی دیگه، یا با پس‌کی، اگه از قبل راهش رو روشن کرده باشید.

برای KeePassXC هم همینه: رمز فایل یادتون بره، هیچ‌کس نمی‌تونه بازش کنه. برای همینه که یه نسخه‌ی کاغذی رمز اصلی، توی خونه، بخش مهم کاره. مدیر رمز گوگل و اپل این‌جا راحت‌ترن، چون با بازیابی حساب گوگل یا اپل، معمولا گاوصندوق هم برمی‌گرده.

شروع، قدم‌به‌قدم

1. یه مدیر رمز رو، طبق بخش «کدوم رو انتخاب کنم»، انتخاب کنید و از جای رسمیش نصبش کنید.
2. رمز اصلی رو بسازید و نسخه‌ی کاغذیش رو جای امن بذارید.
3. برای خود مدیر رمز، یا حساب گوگل یا اپلتون، ورود دومرحله‌ای رو روشن کنید.
4. افزونه‌ی مرورگر و برنامه‌ی گوشیش رو نصب کنید تا همه‌جا باشه.
5. رمزهای قدیمی رو بیارید توش (بخش بعد).
6. از رمز ایمیل شروع کنید و رمزها رو یکی‌یکی با رمزهای تصادفی تازه عوض کنید.

لازم نیست همه رو یه روزه عوض کنید. هر بار که به یه سایت می‌رید، رمز همونو عوض کنید؛ چند هفته بعد، بیشتر حساب‌های مهمتون رمز تازه دارن.

آوردن رمزهای قدیمی

بیشتر مدیرهای رمز می‌تونن رمزهایی که توی مرورگرتون ذخیره شده رو بیارن. معمولا از مرورگر یه فایل خروجی می‌گیرید و توی مدیر رمز تازه واردش می‌کنید. اینجا یه خطر کوچیک ولی مهم هست: این فایل خروجی، معمولا یه فایل ساده با پسوند .csvه که همه‌ی رمزها توش بی هیچ قفلی نوشته شده.

• فایل رو فقط روی کامپیوتر خودتون بسازید، نه کامپیوتر مشترک.
• هیچ‌وقت برای خودتون ایمیل یا توی پیام‌رسان نفرستیدش.
• همین که وارد شد، پاکش کنید، و از سطل زباله هم پاکش کنید.
• بعد از اینکه همه‌چیز توی مدیر رمز تازه بود، رمزها رو از مرورگر قبلی پاک کنید، تا دو تا گاوصندوق نداشته باشید.

ساختن رمز تصادفی

هر مدیر رمزی یه بخش «ساختن رمز» (Generator) داره. وقتی توی یه سایت حساب می‌سازید یا رمز عوض می‌کنید، از همین بخش یه رمز بخواید. چند تا نکته:

• طول رو دست‌کم ۱۶ بذارید؛ وقتی حفظ کردن لازم نیست، رمز بلندتر هیچ هزینه‌ای نداره.
• بعضی سایت‌ها نمادهای خاص رو قبول نمی‌کنن یا یه حد بالا برای طول دارن؛ اگه خطا داد، نمادها رو خاموش کنید و طول رو بیشتر کنید.
• برای رمزهایی که باید گاهی دستی تایپ کنید، مثل رمز وای‌فای یا رمز ورود به یه تلویزیون، گزینه‌ی چندکلمه‌ای (Passphrase) راحت‌تره.
• پیش از اینکه دکمه‌ی «ذخیره» سایت رو بزنید، مطمئن بشید مدیر رمز رمز تازه رو ذخیره کرده؛ وگرنه ممکنه رمز تازه گم بشه.

پاکسازی رمزهای قدیمی

وقتی همه‌ی رمزها یه جا جمع شدن، تازه می‌بینید چند تا رمز تکراری داشتید. بخش بررسی رمزها، توی گوگل و اپل و خیلی از مدیرهای رمز، این‌ها رو جدا نشون می‌ده: رمزهای لو رفته، تکراری و ضعیف. ترتیب درست برای عوض کردن:

1. رمزهای لو رفته، از هر حسابی که باشن.
2. ایمیل، چون کلید بقیه‌ست.
3. بانک و هر جایی که پول یا کارت بانکی توشه.
4. پیام‌رسان‌ها و شبکه‌های اجتماعی.
5. بقیه، کم‌کم.

حساب‌هایی که دیگه استفاده‌شون نمی‌کنید رو هم به جای عوض کردن رمز، پاک کنید؛ حسابی که نیست، لو نمی‌ره. درس حق پاک کردن درباره‌ی پاک کردن حساب‌هاست.

قفل دوم برای گاوصندوق

چون همه‌ی کلیدها توی یه گاوصندوقن، خود گاوصندوق باید یه قفل دوم هم داشته باشه. یعنی ورود دومرحله‌ای (Two-Factor Authentication)، برای خود Bitwarden، یا برای حساب گوگل یا اپلتون اگه از مدیر رمز اون‌ها استفاده می‌کنید. درس بعد، ورود دومرحله‌ای، کاملش رو می‌گه.

یه سوال که زیاد پیش میاد: بعضی مدیرهای رمز، مثل KeePassXC، می‌تونن کدهای شش رقمی ورود دومرحله‌ای رو هم کنار رمز نگه دارن. راحته، ولی راهنمای خود KeePassXC هشدار می‌ده که نگه داشتن کد دومرحله‌ای کنار رمز، فایده‌ی دومرحله‌ای رو از بین می‌بره، چون اگه یکی به گاوصندوق برسه، هر دو قفل رو با هم داره. برای حساب‌های خیلی مهم، کد دومرحله‌ای رو توی یه برنامه‌ی جدا روی گوشی نگه دارید.

اگه خود مدیر رمز هک بشه

این اتفاق افتاده. سال ۲۰۲۲، یکی از مدیرهای رمز معروف اعلام کرد که هکرها یه نسخه‌ی پشتیبان از گاوصندوق‌های کاربرهاش رو دزدیدن. ولی چون گاوصندوق‌ها با رمز اصلی خود کاربرها قفل شده بودن، کسی که رمز اصلیش بلند و تصادفی بود، رمزهاش امن موند. کسایی که رمز اصلی کوتاه یا تکراری داشتن، در خطر بودن، و نشانی سایت‌هایی که هر کس توشون حساب داشت، قفل نشده بود و لو رفت.

این داستان سه تا درس داره: رمز اصلی باید واقعا قوی باشه؛ مدیر رمزی انتخاب کنید که همه‌چیز رو، حتی نشانی سایت‌ها، قفل کنه؛ و اگه همچین خبری درباره‌ی مدیر رمز خودتون شنیدید، اول رمز اصلی و بعد رمزهای مهم رو عوض کنید. با همه‌ی این‌ها، مدیر رمز هنوز خیلی امن‌تر از رمز تکراریه: رمز تکراری با هک شدن هر سایت کوچیکی لو می‌ره، ولی گاوصندوق قفل‌شده حتی وقتی دزدیده بشه، بی رمز اصلی به درد نمی‌خوره.

دو تا خطر دیگه هم هست که مدیر رمز جلوشون رو نمی‌گیره. اول، برنامه‌ی مخرب روی خود دستگاه؛ اگه گوشی یا کامپیوتر آلوده باشه، وقتی گاوصندوق بازه، می‌تونه ببینه. دوم، افزونه یا برنامه‌ی جعلی با اسم یه مدیر رمز معروف. برای همین، گزینه‌ی «قفل خودکار» (Auto-lock) رو روشن کنید که گاوصندوق بعد از چند دقیقه بیکاری خودش قفل بشه، و فقط از جای رسمی نصب کنید.

شریک شدن با خانواده

توی هر خانواده‌ای رمزهای مشترک هست: وای‌فای، یه سرویس فیلم، حساب قبض. فرستادن این رمزها توی پیام‌رسان یعنی رمز برای همیشه توی تاریخچه‌ی گفتگو می‌مونه. مدیرهای رمز راه بهتری دارن:

• اپل طبق راهنماش یه «گروه مشترک» (Shared Group) داره که رمزهای انتخاب‌شده رو با خانواده یا آدم‌های مطمئن شریک می‌شه، و یه رمز تکی رو هم می‌شه با AirDrop امن فرستاد.
• نسخه‌ی رایگان Bitwarden اجازه می‌ده رمزها رو با یه نفر دیگه شریک بشید.
• مدیر رمز گوگل هم برای رمزهای مشترک با گروه خانوادگی گوگل، امکان شریک شدن داره.

قانونش همون قانون درس قبله: رمزهای مشترک خونه آره، ولی رمز ایمیل و بانک شخصی، نه.

وقتی نباشیم

یه سوال که کمتر کسی بهش فکر می‌کنه: اگه برای ما اتفاقی بیفته، خانواده‌مون چطور به حساب‌ها، عکس‌ها و پرونده‌های مهم می‌رسن؟ وقتی همه‌چیز پشت یه رمز اصلیه که فقط خود ما می‌دونیم، این سوال جدی‌تر می‌شه.

بعضی مدیرهای رمز «دسترسی اضطراری» (Emergency Access) دارن، که توی Bitwarden جزو نسخه‌ی پولیه. ولی یه راه رایگان و ساده هم هست: رمز اصلی رو روی یه کاغذ بنویسید، توی یه پاکت دربسته بذارید، و پیش یه آدم کاملا مطمئن یا کنار مدارک مهم خونه نگه دارید. گوگل هم توی حساب گوگل یه بخش «مدیر حساب غیرفعال» (Inactive Account Manager) داره که می‌شه تعیین کرد اگه حساب مدتی استفاده نشد، چه کسی چه چیزهایی رو دریافت کنه.

روی گوشی

روی گوشی، مدیر رمز معمولا با «پر کردن خودکار» (AutoFill) کار می‌کنه: وقتی یه برنامه یا سایت رمز می‌خواد، بالای کیبورد یه پیشنهاد میاد که با اثر انگشت یا چهره تاییدش می‌کنید. برای اینکه یه مدیر رمز مثل Bitwarden این کار رو بکنه، باید توی تنظیمات گوشی، بخش AutoFill یا Passwords، انتخابش کنید.

قفل گاوصندوق روی گوشی معمولا با اثر انگشت یا چهره باز می‌شه، که راحته و امنه. ولی هر چند وقت یه بار، رمز اصلی رو هم دستی بزنید که یادتون نره؛ خیلی‌ها چند ماه فقط با اثر انگشت باز می‌کنن و روزی که گوشی عوض می‌شه، می‌بینن رمز اصلی یادشون رفته.

مدیر رمز از کجا اومد

اولین مدیرهای رمز، اواخر دهه‌ی ۱۹۹۰ ساخته شدن؛ برنامه‌های کوچیکی روی کامپیوتر که رمزها رو توی یه فایل قفل‌شده نگه می‌داشتن. KeePass، که KeePassXC از نسلشه، اوایل دهه‌ی ۲۰۰۰ اومد و از همون اول متن‌باز بود. بعد که آدم‌ها چند تا دستگاه پیدا کردن، مدیرهای رمز ابری اومدن که گاوصندوق رو بین گوشی و کامپیوتر یکی نگه می‌داشتن، و بعد گوگل و اپل هم مدیر رمز رو داخل گوشی و مرورگر گذاشتن.

قدم بعدی، حذف خود رمزه. مدیرهای رمز امروز، کنار رمز، چیزی به اسم پس‌کی (Passkey) هم نگه می‌دارن که اصلا رمزی نداره که لو بره یا توی سایت جعلی زده بشه. درس پس‌کی می‌گه چطور.

اشتباه‌های رایج

• «همه‌ی رمزها یه جا؟ خطرناکه.» گاوصندوق قفل‌شده خیلی امن‌تر از یه رمز تکراریه که با هک شدن هر سایتی لو می‌ره.
• «رمز اصلی رو همون رمز همیشگی گذاشتم.» رمز اصلی باید تازه، بلند و فقط برای همین کار باشه.
• «مدیر رمز پر نکرد، دستی کپی کردم.» شاید سایت جعلی بوده؛ اول نشانی رو بخونید.
• «فایل خروجی رمزها رو برای خودم ایمیل کردم.» اون فایل قفل نداره؛ بسازید، وارد کنید، پاک کنید.
• «رمز اصلی یادم بره، پشتیبانی درستش می‌کنه.» توی دانش صفر، هیچ‌کس نمی‌تونه؛ نسخه‌ی کاغذی نگه دارید.
• «از KeePassXC استفاده می‌کنم و پشتیبان نمی‌گیرم.» کامپیوتر خراب بشه، همه‌ی رمزها با هم می‌رن.

آخرین بررسی راهنمای رسمی گوگل، Bitwarden، KeePassXC و اپل: ۲۴ مهر ۱۴۰۵.