Pytanie:
Czy istnieje dobry sposób na przechowywanie poświadczeń poza menedżerem haseł?
Hajar Qh
2019-03-26 01:44:00 UTC
view on stackexchange narkive permalink

Wielu użytkowników w mojej firmie używa swoich programów do zapisywania swoich haseł i nazw użytkowników lub arkuszy Excela z chronionym hasłem. Waham się, czy zainstalować oprogramowanie do zarządzania hasłami po przeczytaniu zaleceń / opinii na ich temat. Czy istnieje inne bezpieczne i przyjazne dla użytkownika rozwiązanie do przechowywania haseł?

Może zapytaj dział IT, czy ma zalecane rozwiązanie.Mogą już mieć pewne oprogramowanie, na które zezwalają.
Co jest takiego w rekomendacjach / opiniach, że się wahasz?
Potencjalny duplikat?https://security.stackexchange.com/questions/175075/password-manager-vs-password-book?rq=1
To pytanie brzmi dokładnie tak, jak „Chcę mieć menedżera haseł, ale nie menedżera haseł”.Hadżar, nie jestem pewien, co by cię zadowoliło.Każde wystarczająco dobrze wykonane rozwiązanie to menedżer haseł, więc zasadniczo ograniczasz się do wszystkiego, co „działa” w tym celu, ale nie na tyle dobrze, aby zostać nazwanym menedżerem haseł. ”Ograniczasz się do niedopracowanych hacków, takich jakte arkusze kalkulacyjne.
Komentarze nie służą do rozszerzonej dyskusji;ta rozmowa została [przeniesiona do czatu] (https://chat.stackexchange.com/rooms/91587/discussion-on-question-by-hajar-qh-is-there-a-good-way-to-store-dane uwierzytelniające).
Powiązane: https://security.stackexchange.com/questions/108746/how-to-store-passwords-written-on-a-physical-notebook Mimo to polecam menedżera haseł offline, takiego jak KeePass, gdy tylko jest to możliwe.
Czy wahałbyś się przed założeniem kamizelki kuloodpornej po przeczytaniu o ich wadach?
Menedżerowie haseł stwarzają takie zagrożenia, jak utrata dostępu do wszystkich haseł, ponieważ jest tylko kilka punktów dostępu, a menedżerowie haseł mogą uszkodzić Twoje hasła.
Istotne: [Czy bezpieczne jest przechowywanie haseł w dokumencie chronionym hasłem?] (Https://security.stackexchange.com/questions/158953/is-it-safe-to-store-my-passwords-in-a-text-document-protected-by-a-password)
Nie ma * nie * dobrego sposobu przechowywania haseł.Menedżer haseł to po prostu najmniej zła opcja.
Do każdej odpowiedzi powinieneś użyć menedżera haseł, ale to samo w sobie ** nie wystarczy **.Przechowywanie hasła „password123” lub imienia dziecka w l33tspeak w menedżerze haseł niczego nie poprawia.Generuj losowe hasła (wiele opcji, aby to zrobić, wiele menedżerów haseł ma tę funkcję) i przechowuj je.
Twój mózg.To jedna z najbezpieczniejszych rzeczy na świecie.
Trzynaście odpowiedzi:
ThoriumBR
2019-03-26 01:47:40 UTC
view on stackexchange narkive permalink

Zainstaluj menedżera haseł. Dobry menedżer haseł jest o wiele lepszy niż wszystko, co możesz zrobić samodzielnie.

Są to programy stworzone przez specjalistów ds. Bezpieczeństwa, przestrzegające surowych zasad programistycznych, są testowane przez wiele osób i atakowane przez dużo ludzi. Mają większą szansę na ochronę twoich haseł niż wszystko, co wymyślił przeciętny, nawet ponadprzeciętny użytkownik.

Skąd wiadomo, które z nich jest dobrym hasłem i czy faktycznie przestrzega wszystkich ścisłych zasad programowania?
@NigelFds Niektóre, takie jak hasło, są audytowane przez strony trzecie.https://support.1password.com/security-assessments/
Używam [Enpass] (https://enpass.io) i jest bardzo dobrze napisane.
@Schwern super, to dobrze wiedzieć
@NigelFds Inny przykład: KeePass Jest to open source, które można poddać audytowi dosłownie każdego i jeśli naprawdę chcesz, możesz nawet samodzielnie go skompilować.
Do użytku biznesowego, zarządzanego przez IT, polecam 1Password lub LastPass.Obie są wysoko cenione, a funkcje dla przedsiębiorstw sprawią, że biznes będzie szczęśliwy, a użytkownicy znacznie bezpieczniejsi.Użyłem ich obu.Polecam 1Password na Maca i LastPass na Windows / Linux.Nie wymyślaj własnego i nie dodawaj do „cienia IT” w miejscu pracy.
@JesseM LastPass to oparty na chmurze menedżer haseł.Powinno to natychmiast kolidować z rozsądną polityką bezpieczeństwa firmy.Ponadto LastPass miał różne incydenty bezpieczeństwa i naruszenie.Nie polecałbym go nikomu, nawet do celów osobistych.Trzymaj się menedżerów haseł offline.
@NigelFds Ostatecznie sprowadza się to do zaufania, ale lepiej jest ufać „programistom + wielu specjalistom z innych firm” niż tylko „programistom”.Jest powód, dla którego KeePass i LastPass są powszechnie szanowane.
Aby być uczciwym, bez względu na to, jak dobrze rozwinięty jest menedżer haseł, nie zapobiega to przedostawaniu się złośliwego oprogramowania do innego oprogramowania, a następnie leniwemu odczytywaniu wszystkich haseł z menedżera haseł.Oczywiście menedżerowie haseł bardzo powoli się poprawiają, utrudniając to (https://www.helpnetsecurity.com/2019/02/20/flawed-password-managers-allow-malware-to-steal-passwords-from-computer-memory/), ale na koniec dnia umieszczanie haseł w tym samym systemie, co wszystkie inne programy, jest ryzykowne (a program papierowy może być bezpieczniejszy).
@scai _ „Powinno to natychmiast kolidować z rozsądną polityką bezpieczeństwa firmy” _ Total BS.Dopóki używane jest właściwe szyfrowanie, możesz przechowywać swoje sekrety _ w dowolnym miejscu_, w tym w chmurze._ „Ponadto LastPass miał różne incydenty związane z bezpieczeństwem i naruszenie” _ Przeczytaj [odpowiedź Schwerna] (https://security.stackexchange.com/a/206109/3992) i przestań rozpowszechniać FUD.Ponadto: ZAWSZE używaj 2FA (jeśli możesz / jest obsługiwany przez tę witrynę).
Schwern
2019-03-26 05:25:48 UTC
view on stackexchange narkive permalink

Prawdopodobnie odnosisz się do ostatnich artykułów o błędach w menedżerach haseł.

To właśnie w tytułach menedżery haseł mają wady i nadal powinieneś ich używać , ponieważ są bezpieczniejsze niż to, co robi wielu ludzi, jak przechowywanie haseł w programie Excel, wysyłanie ich pocztą e-mail, wklejanie ich na czacie, gdzie będą rejestrowane przez wszystkich ...

Każde oprogramowanie ma wady. Menedżerowie haseł i ogólnie oprogramowanie zabezpieczające są poddawane wyższym standardom niż zwykłe oprogramowanie. Błędy w menadżerach haseł, o których mówią te artykuły, nie są błędami początkującymi, ale kompromisami ryzyka.

1Password zawiera opis najnowszych błędów oraz dogłębna dyskusja na ich forach. To nie pomyłka, ponieważ jest to konsekwencja kompromisu w celu uniknięcia innych gorszych błędów pamięci. Ważną kwestią jest to, że Twój komputer został już przejęty i niedawno wpisałeś swoje hasło główne. Jak to ujął jpgoldberg z 1Password...

... musimy wziąć pod uwagę, że aby umożliwić atak, osoba atakująca musi

  1. Być w stanie odczytać pamięć procesu 1Password, gdy 1Password jest zablokowane.
  2. Nie być w stanie odczytać pamięci procesu 1Password, gdy 1Password jest odblokowane.

Liczba 1 wymaga, aby osoba atakująca poważnie zagroziła urządzeniu. Numer 2 oznacza, że ​​osoba atakująca (która poważnie naruszyła Twoje urządzenie) ma tę kontrolę tylko w dziwnie ograniczonych momentach.

Jeśli Twój komputer jest już tak przejęty, atakujący może odczytać pamięć procesową 1Password nie potrzebują tego exploita. Mogą po prostu poczekać, aż odblokuje się 1Password.

A jeśli Twój komputer jest zagrożony, przechowywanie haseł w arkuszu kalkulacyjnym programu Excel nie zapewnia żadnej ochrony.

Menedżerowie haseł mogą zrobić inne rzeczy, aby zwiększyć Twoje bezpieczeństwo.

  • Udostępniaj swoje hasła i zarządzaj nimi między wszystkimi urządzeniami, w tym urządzeniami mobilnymi.
  • Udostępniaj i zarządzaj hasłami i danymi uwierzytelniającymi współpracownikom.
  • Bezpieczne przechowywanie nie tylko haseł .
    • Klucze GPG i SSH oraz hasła
    • Generatory haseł jednorazowych
    • Klucze odzyskiwania
    • Pytania zabezpieczające
    • Klucze API
    • Uwagi
    • Karty kredytowe (prawdopodobnie lepsze niż zapisywanie ich na stronach internetowych)
    • Konta bankowe
    • Członkostwa
    • Licencje na oprogramowanie
  • Informowanie o niezabezpieczonych hasłach
    • Ponownie używanych haseł
    • Naruszenia haseł
  • Generuj bezpieczne hasła
  • Autouzupełnianie haseł (pozwala uniknąć przeglądania ramion)
  • Auto- rejestruj nowe konta
  • Ochrona przed oprogramowaniem ransomware (jeśli przechowuje r w innym miejscu)

Unikają złych praktyk, takich jak ponowne używanie haseł, używanie słabych haseł, udostępnianie ich za pośrednictwem poczty e-mail lub czatu lub udostępnionego dokumentu, zapisywanie ich (na papierze lub w pliku) i nadal używać naruszonych haseł.

Przechowywanie generatorów haseł w menadżerach haseł _zmniejsza_ bezpieczeństwo, jeśli cokolwiek (wszystkie jajka w tym samym koszyku).Jednak nadal to robię: /
Używanie generatora OTP (zazwyczaj TOTP) z poziomu menedżera haseł zabezpieczonego dobrym hasłem (lub nawet 2FA) jest nadal lepsze niż nieużywanie tej funkcji, ponieważ ziarno TOTP staje się drugim sekretem, który musisz znać oprócz użytkownikahasło.
„(…) przechowywanie haseł w arkuszu kalkulacyjnym Excel nie zapewnia żadnej ochrony” -> właściwie, z tego, co wiem, kiedy ustawiasz hasło w dokumencie Excela, nowoczesne wersje Excela szyfrują to za pomocą AES z PBKDF2 na górze.Jest to całkiem dobre, biorąc pod uwagę, że AES nie jest zepsuty (o ile wiemy), a PBKDF2 czyni go odpornym na ataki siłowe (o ile masz dobre hasło).
@RaduMurzea Ale nadal możesz zobaczyć hasło wszystkich, czytelne, bez większego wysiłku: wystarczy fizyczny dostęp lub nawet „przez ramię”.Gorzej: możesz zrobić kilka jego zdjęć w jednej chwili i mieć kopię offline.
@RaduMurzea Tak, możesz to zaszyfrować (a założę się, że większość tego nie robi), a to dałoby ci trochę ochrony ... dopóki go nie odszyfrujesz.Odszyfrowanie dokumentu powoduje odszyfrowanie całego dokumentu, pozostawiając hasła w pamięci i prawdopodobnie plik tymczasowy łatwo przechwycony przez typowe złośliwe oprogramowanie, o którym mowa.Zobacz [odpowiedź Tschallackiej] (https://security.stackexchange.com/a/206125/22452), aby dowiedzieć się więcej.Lubimy skupiać się na szyfrowaniu dla bezpieczeństwa, ale złamanie szyfrowania to * ostatnia * deska ratunku atakującego.
@IsmaelMiguel: Proste rozwiązanie: stwórz własną czcionkę, w której znaki są nie do odróżnienia i użyj jej w pliku Excel!;)
@Flater Tak, ponieważ przeciętny pracownik sekretariatu naprawdę wie, jak zrobić czcionkę ...
owacoder
2019-03-26 08:03:08 UTC
view on stackexchange narkive permalink

Nigdzie nie ma najbezpieczniejszego miejsca do przechowywania hasła. Powinien to być bezpieczny token, który istnieje tylko w pamięci posiadacza. Niestety, wielu używa hasła, które jest zbyt proste i niepewne, aby było łatwiej je zapamiętać. Natomiast bezpieczniejsze hasła są trudniejsze do zapamiętania (dla większości ludzi).

Jeśli nie możesz polegać na swojej pamięci, zdecydowanie powinieneś użyć menedżera haseł. Menedżerowie haseł uniemożliwiają dostępowi fizycznemu złamanie haseł. Mała fizyczna książeczka z hasłami jest tak dobra, jak zamek w drzwiach, który jest znacznie mniej bezpieczny niż hasło główne do menedżera haseł, który jest przechowywany tylko w Twojej pamięci.

Czy to oznacza, że hasło do usługi może istnieć wyłącznie w głowie?Druga strona nadal musi go przechowywać;nie ma to znaczenia, jeśli możesz przypomnieć sobie złożone hasło, ale jego koniec zostanie naruszony - jest to szczególnie warte uwagi, jeśli używasz tego samego hasła do innych usług.Jak na ironię, główne hasło menedżera jest tak bliskie, jak tylko poleganie na twojej pamięci.
@lucasgcb - Prawidłowe przechowywanie haseł do celów porównawczych powinno obejmować szyfrowanie kryptograficzne wraz z saltingiem, dzięki czemu samo hasło nigdy nie jest faktycznie przechowywane.Prawidłowe solowanie zapobiega również porównywaniu skrótów, jeśli ** używasz ** tego samego hasła do różnych usług.
Chociaż usługi powinny, niestety nie zawsze mają odpowiednią pamięć masową (nawet ostatnio na Facebooku to zepsuło https://newsroom.fb.com/news/2019/03/keeping-passwords-secure/).Dlatego hasła muszą być nie tylko mocne, ale i niepowtarzalne dla każdego celu. Wątpię, czy nawet najbardziej wiarygodne umysły są w stanie to zrobić bez dodawania jasnych wzorców - więc nawet jeśli masz niezawodną pamięć, menedżer haseł jest nadal lepszy pod względem bezpieczeństwa.
Nie zgodziłbym się z ostatnim punktem.Mamy znacznie większe doświadczenie w fizycznym zabezpieczaniu przedmiotów i dokumentów niż w zabezpieczaniu danych.To, czy wymagania dotyczące bezpieczeństwa fizycznego są odpowiednie dla środowiska, to zupełnie inna kwestia.
@Dan - Zgadzam się z doświadczeniem związanym z zabezpieczaniem przedmiotów fizycznych, ale większość zamków, zarówno kłódkowych, jak i wbudowanych w drzwi, można włamać w około 5 minut lub krócej, używając tylko narzędzi ręcznych.Wiem z doświadczenia w wykonywaniu przymusowego wejścia jako strażak.Złamanie bezpiecznych haseł powinno zająć * znacznie * więcej czasu.Dla porównania, przeciętne środki ostrożności podjęte w celu zapewnienia bezpieczeństwa fizycznego (w przypadku mieszkań lub firm) nie są tak dobre, jak bezpieczne hasło.
@owacoder Zgoda, ale bezpieczeństwo fizyczne to znacznie więcej niż tylko zamek.Jak wspomniałem, chodzi o wyważenie tego.Na przykład, czy osoba we własnym domu z zamkniętą szufladą jest bardziej czy mniej podatna na kradzież danych uwierzytelniających niż zarażenie się czymś niecnym na komputerze?Z pewnością nie mówię, że bezpieczeństwo fizyczne jest koniecznie lepszą opcją, mówię tylko, że nie jest to _zła_ opcja sama w sobie.
@Dan - Zgoda.Myślę, że jesteśmy na tej samej stronie.Należy zastosować zarówno fizyczne *, jak i * komputerowe zabezpieczenia.Chciałem tylko podkreślić, że nasze postrzegane i rzeczywiste bezpieczeństwo fizyczne często nie jest równe.Uważamy, że nasze fizyczne bezpieczeństwo jest znacznie większe dzięki zamkowi w drzwiach, ale realistycznie może to tylko dodać odstraszający.Zdecydowanie zgadzam się jednak z prawdopodobieństwem zarażenia lub włamania.
@lucasgcb druga strona zdecydowanie NIE powinna przechowywać twojego hasła.Powinni używać skrótu Twojego hasła, co najmniej solonego.
Nie jest nawet prawdą, że wnętrze pamięci właściciela jest najbezpieczniejszym miejscem do przechowywania hasła we wszystkich modelach zagrożeń.Przechowywanie hasła, którego nie da się zapamiętać lub niewidocznego na nośniku fizycznym, może utrudnić skłonienie właściciela do ujawnienia hasła za pomocą środków przymusu lub oszustwa, które mogą być lub nie być poważniejszym zagrożeniem niż sposoby uzyskania dostępu do nośnika fizycznego.
Tschallacka
2019-03-26 13:53:34 UTC
view on stackexchange narkive permalink

Szyfrowanie w dokumentach biurowych Microsoft jest całkiem dobre i bezpieczne pod każdym względem, o ile nie otworzysz dokumentu i nie masz certyfikatu bezpieczeństwa przekazanego przez administratora IT.

Ma kilka słabych punktów

https://docs.microsoft.com/en-us/deployoffice/security/remove-or-reset-file-passwords-in-office

Wcześniej, jeśli pierwotny twórca hasła do pliku zapomniał hasła lub opuścił organizację, plik był niemożliwy do odzyskania. Korzystając z pakietu Office 2016 i klucza escrow, który jest generowany z magazynu certyfikatów kluczy prywatnych Twojej firmy lub organizacji, administrator IT może „odblokować” plik dla użytkownika, a następnie pozostawić plik bez ochrony hasłem lub przypisać nowe hasło plik. Ty, jako administrator IT, jesteś opiekunem klucza depozytowego, który jest generowany z magazynu certyfikatów kluczy prywatnych Twojej firmy lub organizacji. Możesz po cichu wypchnąć informacje o kluczu publicznym do komputerów klienckich za pomocą ustawienia klucza rejestru, które można utworzyć ręcznie lub można utworzyć za pomocą skryptu zasad grupy. Gdy użytkownik później utworzy chroniony hasłem plik Word, Excel lub PowerPoint, ten klucz publiczny jest zawarty w nagłówku pliku. Później informatyk może użyć narzędzia Office DocRecrypt do usunięcia hasła dołączonego do pliku, a następnie opcjonalnie zabezpieczyć plik za pomocą nowego hasła. Aby to zrobić, specjalista IT musi mieć wszystkie następujące elementy:

Menedżer IT lub osoba mająca dostęp do certyfikatów głównych może odszyfrować wszystkie dokumenty. Więc jeśli złośliwy napastnik mógłby uzyskać do niego dostęp, mógłby odszyfrować wszystkie dokumenty chronione hasłem.

Istnieje dodatkowy problem z plikami tymczasowymi pakietu Microsoft Office. W momencie otwarcia pliku w Microsoft Office i wpisaniu prawidłowego hasła Microsoft Office tworzy plik tymczasowy, który wyświetla zawartość. Każdy przeglądający ten plik może go po prostu zaznaczyć i zobaczyć zawartość w okienku podglądu Eksploratora Windows, o ile ktoś go otworzył.

W większości sieci Windows można po prostu przejść do komputera kolegium i zajrzeć do dokumentów na swoim komputerze lub do dowolnego udziału, na którym mogą mieć te dokumenty.

Więc w swoim własnym, z pozoru może wydawać się bezpieczny, ale na dole ktoś musi po prostu zainfekować stacja robocza z programem, który czeka na otwarcie wszelkich zaszyfrowanych dokumentów, do których ma dostęp, a następnie po prostu odczytuje zawartość pliku tymczasowego. A większość ludzi po prostu pozostawia ten dokument z hasłem otwartym w tle po otwarciu.

Większość menedżerów haseł ma zabezpieczenia, które pozwalają odszyfrować hasło tylko wtedy, gdy jest to potrzebne, a następnie przechować hasło przez krótką chwilę w schowku przed jego nadpisaniem. , minimalizując możliwość ujawnienia hasła.

Dla porównania menedżerowie haseł zapewniają większe bezpieczeństwo.

Przez „wszystkie zamiary i cele” masz na myśli „nie we wszystkich zamiarach i celach”.Ponieważ jeśli nawet kiepski administrator systemu może uzyskać dostęp do tego, co zamierzasz chronić, zwiększyłeś społeczną powierzchnię ataku co najmniej o współczynnik 2, tak jak hasła są łamane w wielu przypadkach w świecie rzeczywistym.Bez uwzględnienia wielu rażących słabości oprogramowania, które zapewnia przechowywanie haseł .norm.
Cóż, jeśli jest zrobiony na komputerze bez przesłanego certyfikatu grupowego i tylko Ty znasz klucz / hasło szyfrowania, nikt nie dostanie się do twoich dokumentów, dopóki plik jest zamknięty.Najlepszym scenariuszem jest przechowywanie tego dokumentu na odłączonym od sieci Ethernet, pozbawionym powietrza komputerze PC w dźwiękoszczelnym pudełku w klatce Faradaya.Chroni dokumenty przed przypadkowym przeglądaniem zawartości.
Zauważ, że narzędzie DocRecypt i pliki tymczasowe nie mają zastosowania do MS Access, dlatego można ich używać do przechowywania haseł bez tego słabego punktu.Jednak dodatkowym słabym punktem prawie wszystkich aplikacji pakietu Office jest automatyzacja COM.Każda aplikacja może sprawdzić, czy pliki Office są otwarte i czytać ich zawartość, jeśli używają automatyzacji COM, co jest o wiele łatwiejsze niż odczytanie pamięci menedżera haseł i nie wymaga żadnych specjalnych uprawnień.
Monica Apologists Get Out
2019-03-26 18:58:36 UTC
view on stackexchange narkive permalink

Jasne! Oto schemat, który nie będzie często atakowany, jeśli zostanie wykonany perfekcyjnie [1]:

  1. Prowadź listę witryn, do których masz hasła. Umieść to w wystarczająco bezpiecznym miejscu. [2]

  2. Prowadź listę haseł. Trzymaj to złożone w portfelu. Zachowaj czujność, aby pokazać go podczas otwierania portfela lub używania z niego hasła. Zniszcz zapamiętane hasła.

  3. Jeśli Twój portfel zostanie zgubiony lub skradziony, ciesz się ogromnym bólem głowy związanym ze zmianą wszystkich haseł.

    4. ol >

    A więc właściwie to, co robi podstawowy menedżer haseł - łatwość zapamiętywania, mapowanie do witryn i poufność. To po prostu więcej pracy nóg niż używanie menedżera haseł. Jeśli popełnisz w ten sposób błędy, stanie się to znacznie mniej bezpieczne niż użycie menedżera haseł. Biorąc pod uwagę ludzką omylność, może menedżer haseł jest lepszy?

    [1]: Główną wadą tego schematu jest to, że w końcu wypadniesz z praktyki i będzie to wielki bałagan, gdy będziesz tego potrzebować aby faktycznie zmienić hasła.

    [2]: „Wystarczająco bezpieczne” będzie się znacznie różnić w zależności od Twoich potrzeb. Czy jesteś nudną osobą, która zapisuje swoje dane bankowe? Sejf w twojej piwnicy prawdopodobnie jest w porządku. Czy ukrywasz się przed NSA? Ten schemat prawdopodobnie nie jest wystarczający, szczerze.

Michael
2019-03-26 18:45:05 UTC
view on stackexchange narkive permalink

Nadal gorąco polecam korzystanie z menedżera haseł. Jeśli to niemożliwe i wszystkie poniższe są prawdziwe:

  • Ludzie mogą wybierać własne hasła.
  • Nikt nie musi udostępniać haseł.
    • ( Chronione pliki Excela sprawiają, że wydaje się to mało prawdopodobne.)

... wtedy możesz zasugerować kartę z hasłem do przechowywania w portfelu .

Zastrzeżenie dotyczące kart z hasłem polega na tym, że po użyciu należy je wyczyścić.Większość ludzi śledzi palcem po karcie podczas śledzenia hasła.To pozostawia oczywisty ślad dla kogoś, kto zdobędzie Twoją kartę.
@Adonalsium TBF, witryna karty hasła tak mówi._ „Nie czytaj dalej palcem, bo smuga powie złodziejowi, gdzie jest twoje hasło.” _
@LightnessRacesinOrbit ... Prawdopodobnie w tym miejscu pierwotnie przeczytałem tę poradę.Heck.
Ta karta z hasłem wygląda dla mnie na okropnie zły pomysł.Ma 8 rzędów po 30 znaków lub 240 pozycji początkowych.To około 8 bitów entropii lub prawie tak samo bezpieczne, jak hasło zawierające jedną małą literę i jedną cyfrę.
@dgnuff, Jeśli ktoś zna ziarno, które wygenerowało _twoją_ kartę, może.Ale poza tym jest to steganografia offline.
@dgnuff Czy nie byłoby dodatkowej entropii z wyboru kierunku i liczby znaków?Tak, muszę wybrać z 240 znaków, aby zacząć od, ale potem wybieram kierunek (8 wraz z przekątnymi) i liczbę znaków (8 - ??? w zależności od tego, czy / jak zdecyduję się zawinąć).
@Michael Zakłada się, że twoja karta jest zagrożona.Mało prawdopodobny, ale wciąż możliwy scenariusz ataku.
@Delioth Niewiele.Liczba znaków od 1 do 32 to tylko kolejne pięć bitów entropii, a 8 kierunków to 3, więc tylko kolejne 8 bitów, czyli łącznie około 16.Masz teraz odpowiednik dwóch cyfr i dwóch małych liter.
opsecwin
2019-03-27 08:27:58 UTC
view on stackexchange narkive permalink

Arkusz kalkulacyjny zaszyfrowany hasłem (np. w programie Excel 2016) będzie domyślnie używać szyfrowania „ ECMA-376 Document Encryption”, które korzysta z szyfrowania AES-256-bitowego. Pod warunkiem, że hasło nie jest słowem słownikowym, nie byłoby lepsze ani gorsze niż jakikolwiek inny menedżer haseł z punktu widzenia ryzyka związanego z danymi.

Arkusz kalkulacyjny byłby zgodny ze standardem FIPS-140-2 i przestrzegałbyś większości przepisów dotyczących szyfrowania, gdyby klucz lub dysk wymagał wyczyszczenia za pomocą metodologii bezpiecznego czyszczenia, zgodnie z NIST 800-88.

W przypadku użytkownika zarządzającego kilkoma hasłami nie widzę krótkotrwałego problemu z używaniem programu Excel i hasła ani problemu prawnego.

Długotrwały , rozwiązanie do przechowywania haseł, które umożliwia rotację zameldowania i wymeldowania, takie jak CyberArk lub Thycotic, byłoby znacznie lepsze z logowaniem i innymi funkcjami. Inną bezpłatną i prostą metodą jest Buttercup.

Wrażliwy na proste surfowanie po ramionach.
@Schwern nie, jeśli były to bardzo złożone hasła
@Ulkoma 1) Hasło może nie być wyborem użytkownika;wspólne hasła służbowe są często słabe, ponieważ są udostępniane w sposób trudny do zaktualizowania, na przykład w arkuszu kalkulacyjnym.2) Użytkownicy i organizacje, które używają arkuszy kalkulacyjnych do przechowywania haseł, prawdopodobnie mają słabą dyscyplinę haseł.3) (Oto kicker) telefony mają niesamowite aparaty.Dobre zabezpieczenia mają wiele warstw, więc jeśli ktoś zostanie naruszony, na przykład hasło łatwe do zapamiętania, lub jeśli Twoje założenie „moje hasło jest zbyt skomplikowane, aby surfować po ramieniu” jest błędne, masz inne warstwy ochrony, aby powstrzymać napastnika.
Billal Begueradj
2019-03-27 15:42:30 UTC
view on stackexchange narkive permalink

Sheneir na Zapisz swoje hasło:

Jesper Johansson z Microsoftu wezwał ludzi do zapisywania swoich haseł.

To jest dobra rada, i powtarzam to od lat.

Po prostu ludzie nie pamiętają już haseł wystarczająco dobrych, aby skutecznie bronić się przed atakami słownikowymi i są znacznie bezpieczniejsi, jeśli wybiorą hasło zbyt skomplikowane do zapamiętania, a potem Zapisz to. Wszyscy jesteśmy dobrzy w zabezpieczaniu małych kawałków papieru. Zalecam, aby ludzie zapisywali swoje hasła na małej kartce papieru i trzymali je razem z innymi cennymi kawałkami papieru: w portfelu.

Szokujące, słysząc takie rady od Microsoft.Chociaż, żeby być uczciwym, to sprzed prawie 15 lat.
Nie, to FUD.Przeczytaj odpowiedź Schwerna.
Menedżer haseł zapisuje Twoje hasło *, a następnie szyfruje je *, a następnie przechowuje w miejscu, w którym nie zostanie utracone.Nie jesteśmy dobrzy w zabezpieczaniu małych kawałków papieru, cały czas je gubimy.Wraz ze wzrostem liczby kont będziesz mieć bardzo gruby portfel.
Paris
2019-03-26 05:07:06 UTC
view on stackexchange narkive permalink

Jedynym rozwiązaniem jest wybranie haseł, które są trudne do złamania, ale łatwe do zapamiętania, a wtedy nie musisz ich nigdzie zapisywać!

Ale poważnie, może możesz poprosić dział IT o zainstalowanie serwera menedżera haseł dla całej firmy, wtedy nie musisz go instalować na swoim komputerze.

Myślę, że wahanie dotyczy korzystania z menedżera haseł w ogóle, a nie lokalnej instalacji.
Ale zwykle hasła są do czegoś, często do zasobów w sieci.Więc jeśli wysyłasz hasło przez Internet, możesz również przechowywać je na serwerze, który jest dostępny tylko wewnętrznie w sieci Twojej firmy, zabezpieczony Twoim prawdziwym hasłem, wielu użytkowników może udostępniać hasła do niektórych zasobów, bla bla, :-)
Problem z tą odpowiedzią polega na tym, że nie można zmusić użytkowników do tego.Wysłanie czegoś podobnego do [przykładu „prawidłowego zszywacza baterii dla konia”] (https://xkcd.com/936/) (ale w prostszym wyjaśnieniu) jako części polityki może pomóc im się nauczyć.
@CaptainMan, możesz napisać politykę haseł, która zezwala tylko na słowa ze słownika i ma dużą minimalną długość, ale to był bardziej kiepski pomysł na wypadek, gdyby menedżer haseł nie był pożądany.ale naprawdę wierzę, że zaoferowanie każdemu przyzwoitego menedżera haseł, w którym nie będą musieli niczego instalować, będzie bardzo pomocne.Jestem teraz w pierwszej firmie, która go używa i jest to duża pomoc w porównaniu z tym, jak była obsługiwana w moich poprzednich miejscach pracy.
Przepraszamy, to nie pasuje do rzeczywistości w żadnym współczesnym życiu.Mam 130 haseł * i zbyt późno je stosuję * i aktywnie staram się unikać haseł.Po prostu nigdy się nie kończy.Fakturowanie elektroniczne?Hasło.Program lojalnościowy?Hasło.Dostawa pizzy?Hasło.Uber?Hasło.Czy Twój zwrot podatku nie został zhakowany?Hasło.Plik elektroniczny?Kolejne hasło.401K?hasło.GP?Hasło.Specjalista?Hasło.Laboratorium?Hasło.Grać w grę?Hasło.Karta biblioteczna?Hasło.Nowe auto?Hasło.Kup podręcznik?Hasło.Nie możesz śledzić ich wszystkich bez oszukiwania lub zapisywania.
Stian Yttervik
2019-03-26 21:52:25 UTC
view on stackexchange narkive permalink

Wielu poleca menedżery haseł. Nie zgadzam się, to rzeczywiście dobra rada, ale istnieje inna możliwość.

Dość wykonalne jest umożliwienie im zapisywania informacji o tym, gdzie znaleźć hasło, bez znaczącego osłabiania integralności hasła - aby większość wektorów ataku. Niech każdy przyniesie osobistą książkę (pomyśl: Alicja w Krainie Czarów lub coś w tym rodzaju), które są trzymane razem na jednej półce i niech każde hasło będzie kombinacją 3-4 słów z książki. Następnie możesz zapisać w dowolnym miejscu numer strony, numer wiersza i numer słowa tych słów. Tak, wyszukiwanie hasła będzie wolniejsze, ale zwiększy bezpieczeństwo twoich haseł przed próbami brutalnej siły, zapewni, że konieczny jest fizyczny dostęp do biura, a także kto-book-is-ma złamać kod dostępu elektronicznego do ich „przechowywanego” hasła. To ogromna poprawa w porównaniu z przechowywaniem haseł w postaci zwykłego tekstu w pliku na stacji roboczej - co wymaga tylko jednej udanej próby phishingu.

Dodatkowo hasła są bezpieczniejsze i łatwiejsze do zapamiętania. Obowiązkowe xkcd

Ale z drugiej strony, jeśli nie przeszkadza im zapisywanie haseł w pliku Excela - ustalenie uciążliwej procedury, takiej jak jak to. YMMV.

To jest całkiem głupie.Po prostu zapisz swoje hasła w notatniku i zamknij je w szufladzie (lub w ognioodpornym sejfie na kluczowe hasła).
Nie ma znaczenia, w jaki sposób przechowywane są hasła, pojedyncza udana próba phishingu zawsze je złamie.
@orangedog, ale nie wszystkie.
Myślę, że nie wiesz, czym jest atak phishingowy.
@orangedog Mało, wygląda na to, że jestem całkiem przekonany.
@OrangeDog Nie chodzi mu o to, że „niektóre z jego haseł są odporne na phishing”.Chodzi o to, że nie są narażeni jako grupa, gdy popełnisz jeden błąd.
@Michael tylko wtedy, gdy menedżer, którego używasz, jest online, nie ma 2fa, i jesteś specjalnie wyłudzany w celu uzyskania hasła głównego.
Nie mówię o menedżerach haseł (chociaż mają problem, który właśnie opisałeś).Mówię o twoim komentarzu powyżej: _ "zapisz swoje hasła w notatniku i zamknij je w szufladzie" _ gdzie ktoś znajdzie / ukradnie / etc.klucz, wyraźnie mają listę twoich haseł.
Kolappan N
2019-03-27 14:22:54 UTC
view on stackexchange narkive permalink

Zgadzam się z innymi odpowiedziami, że menedżer haseł jest bezpieczniejszy niż metody niestandardowe. Zwróć również uwagę, że chronione arkusze kalkulacyjne Excel mogą być łatwo naruszone niż menedżer haseł.

Mimo to, jeśli zdecydowałeś się nie używać menedżera haseł, możesz zastosować następujące podejście

  1. Miej dwa pliki Excel chronione hasłem.
  2. Używaj różnych haseł dla każdego programu Excel.
  3. Przechowuj listę nazw użytkowników, usług itp. w jednym arkuszu i przypisz unikalne number / test (np .: A001 dla Adobe, S001 dla Stack Overflow, itp ...) dla każdego rekordu.
  4. Przechowuj unikalny numer i odpowiadające mu hasło w innym Excelu.
user197001
2019-03-26 02:44:11 UTC
view on stackexchange narkive permalink

Jeśli nie chcesz mieć programu do zarządzania hasłami, wydrukuj je i przechowuj w sejfie, a nie w zwykłym notatniku, którego używają Twoi współpracownicy.

Jest to w porządku jako kopia zapasowa dla bardzo ważnych haseł, takich jak hasło do menedżera haseł, ale w przypadku wszelkich haseł codziennych potrzebujesz ich w * wygodnej * i bezpiecznej lokalizacji.Sejf tego nie przetnie.
Przechowywanie hasła VPN w sejfie nie jest praktyczne.Dla twojego zimnego portfela bitcoin jest w porządku, ale nie do wszystkiego.
Jeffrey Roosendaal
2019-03-26 21:05:42 UTC
view on stackexchange narkive permalink

To nie jest odpowiedź na pytanie o współpracowników , ale do użytku osobistego sprawdza się świetnie, jeśli naprawdę nie chcesz używać menedżera haseł (takiego jak ja).

Możesz łatwo zachować to w pamięci: ale nie pamiętaj haseł, pamiętaj o wzorze .

Na przykład zacznij od słowa podstawowego, powiedzmy „ Hasło ”i pomyśl o kilku niestandardowych regułach:

  1. Liczba liter w nazwie witryny (Facebook: 8) i dodaj ją na końcu.
  2. Dopasuj wielkimi literami samogłoski (Facebook: A i O)
  3. Zastąp N-ty znak liczbą równą liczbie sylab (Facebook: 2)

Otrzymujesz P2sswOrd8 .

Możesz teraz „przechowywać” w głowie nieskończoną liczbę przeważnie unikalnych haseł (nawet przy 3 regułach).

To naprawdę nie jest kwestia tworzenia łatwych do zapamiętania haseł.Mamy już w tej sprawie pytanie kanoniczne.Wzorce haseł są z natury niepewne, a system nie uwzględnia konieczności zmiany hasła.Co robisz, zmieniasz zasady dla każdego hasła, które masz, gdy musisz zmienić tylko jedno?
Twoja odpowiedź na pytanie polega w zasadzie na użyciu formuły hasła, a istnieje już odpowiedź, która obejmuje tę opcję.Twoja przykładowa formuła ma wiele wad i w ogóle nie polecałbym tej formuły, gdybym zalecał formuły.
Chodziło o przechowywanie danych uwierzytelniających iw ten sposób * przechowuję * je.Po zhakowaniu użyj po prostu zapasowego słowa podstawowego.To hasło, które zostało zhakowane, a nie formuła.Poza tym, gdzie udawałem, że to jest idealne?Powyższe reguły to tylko * przykład *, pokazujący, jak łatwo jest tworzyć unikalne hasła z nawet kilkoma prostymi regułami, które są łatwe do zapamiętania.A kto wie, może to pomóc OP.
Czekaj, więc w swojej formule nadal musisz zapamiętać unikalne słowo na witrynę?Jak przechowujesz to słowo?Nie, nic nie przechowujesz, generujesz hasło.I nie, nie jest doskonały, też nie jest dobry.Do wyboru są znacznie bezpieczniejsze wzory.
[Entropia tej metody generowania haseł] (https://security.stackexchange.com/questions/6095) jest dramatycznie niska.Jeśli ktoś zna Twoją „formułę”, wystarczy znać słowo bazowe i nazwę witryny docelowej, aby wydedukować hasło.Jeśli polegasz na tym, że twoja formuła jest tajna, po jej odkryciu (poprzez inżynierię wsteczną ujawnionych haseł lub socjotechnikę), można będzie wydedukować wszystkie przeszłe i przyszłe hasła.Pamiętaj, że [security through obscurity] (https://en.wikipedia.org/wiki/Security_through_obscurity) jest iluzją.
Chociaż ten rodzaj formuły jest słaby kryptograficznie, ten pomysł powinien nadal działać dobrze ze względu na czynniki rzeczywiste.Jeśli Twoje hasło zostało skradzione w wyniku phishingu, naruszenia danych itp., Napastnik jest nadal ograniczony standardowymi zabezpieczeniami typu brute force w innych systemach, które z czasem nie dają wystarczających przypuszczeń, aby rozsądnie złamać nawet podstawowy szyfr.Nawet jeśli włamanie do zhakowanego systemu zajmuje tylko kilka sekund, portal, który blokuje cię na chwilę po każdych kilku nieudanych próbach, może uniemożliwić ci dostęp na kilka wcieleń.


ⓘ
To pytanie i odpowiedź zostało automatycznie przetłumaczone z języka angielskiego.Oryginalna treść jest dostępna na stackexchange, za co dziękujemy za licencję cc by-sa 4.0, w ramach której jest rozpowszechniana.
Loading...