#308: Чем локальный пароль отличается от мастер-пароля
Отредактирована: 6 дней назадЛокальный пароль используется для авторизации под учётной записью Пассворка. Мастер-пароль обеспечивает доступ к зашифрованным данным при включённом клиентском шифровании. Эти пароли выполняют разные задачи и изменяются независимо друг от друга.
Локальный пароль
При локальной авторизации Пассворк проверяет логин и пароль вашей учётной записи. Если в организации настроена интеграция с AD/LDAP, для входа может использоваться пароль учётной записи AD/LDAP — например, доменный пароль Active Directory. При SSO авторизация выполняется через настроенного поставщика удостоверений.
Локальный пароль можно изменить в Аккаунт → Аутентификация → Пароль. Для этого потребуется ввести текущий пароль и задать новый. Если вы входите с доменной учётной записью, пароль изменяется в Active Directory. Порядок его изменения можно уточнить у системного администратора вашей организации.
Мастер-пароль
Мастер-пароль создаётся пользователем при первоначальной настройке аккаунта. На его основе на устройстве вычисляется криптографический ключ, позволяющий расшифровать защищённые ключи пользователя и получить доступ к секретным данным.
Сам мастер-пароль не передаётся на сервер. Администратор не может посмотреть его в настройках или сообщить пользователю забытое значение. Подробнее о механизме — в разделе «Аутентификация и мастер-ключ».
Для изменения мастер-пароля откройте Аккаунт → Мастер-пароль, введите текущий мастер-пароль и задайте новый.
Как связан локальный и мастер пароль
Смена локального пароля или пароля учётной записи AD/LDAP не изменяет мастер-пароль. Например, после смены доменного пароля в Active Directory для авторизации через LDAP используется новый доменный пароль, а для доступа к зашифрованным данным — прежний мастер-пароль.
Успешная авторизация через SSO также не заменяет проверку мастер-пароля при включённом клиентском шифровании.
Что делать, если пароль забыт
Если забыт локальный пароль, администратор с соответствующими правами может сбросить его в Управление пользователями → нужный пользователь → Аутентификация. Пользователь получит временный пароль, который потребуется заменить при входе. Мастер-пароль при этом остаётся прежним.
Если забыт пароль учётной записи AD/LDAP, обратитесь к системному администратору вашей организации.
При сбросе мастер-пароля пользователь отключается от всех сейфов и теряет прежние ключи доступа к зашифрованным данным.
- Данные приватных сейфов, доступ к которым был только у этого пользователя, становятся недоступны. Установка нового мастер-пароля не возвращает возможность их расшифровать.
- Доступ к общим сейфам потребуется предоставить повторно. Для этого нужен другой пользователь, сохранивший доступ и имеющий право подключать пользователей к сейфу.
- Если доступ к сейфу был только у пользователя, которому сбросили мастер-пароль, обычное повторное предоставление доступа невозможно.
Смена известного мастер-пароля и сброс забытого — разные операции. При обычной смене сохраняется возможность расшифровывать данные. При сбросе создаются новые криптографические данные пользователя, которые не восстанавливают доступ к прежним секретам автоматически.
Более подробно: