Blokowanie wklejanych haseł nie daje żadnych istotnych korzyści w zakresie bezpieczeństwa; wręcz przeciwnie, prawdopodobnie osłabi bezpieczeństwo, zniechęcając do korzystania z menedżerów haseł do generowania i automatycznego uzupełniania losowych haseł. Chociaż niektórzy menedżerowie haseł są w stanie ominąć ograniczenia wklejania, nadal chodzi o to, że użytkownicy nie powinni być zmuszani do ręcznego wpisywania hasła.

Fragment odpowiedniego artykułu WIRED:

Witryny internetowe, przestań blokować menedżerów haseł. Jest rok 2015

Ale szalone jest to, że w 2015 roku niektóre strony internetowe celowo wyłączają funkcję, która umożliwiłaby łatwiejsze używanie silniejszych haseł - a wiele z nich robi to, ponieważ niesłusznie się o to kłócą sprawia, że ​​jesteś bezpieczniejszy.

Oto problem: niektóre witryny nie pozwalają na wklejanie haseł do ekranów logowania, zmuszając cię zamiast tego do ich wypisania. Uniemożliwia to korzystanie z niektórych rodzajów menedżerów haseł, które są jedną z najlepszych linii obrony, aby zablokować konta.

Wyłączenie wklejania pola hasła wprowadza „ efekt Cobry”. Efekt kobry „pojawia się, gdy próba rozwiązania problemu w rzeczywistości go pogarsza”.

Troy Hunt napisał niedawno artykuł, w którym wyjaśnia to bardziej szczegółowo. Zasadniczo jest to teatr bezpieczeństwa, podobnie jak to, co dzieje się na lotniskach, aby „uczynić nas bezpieczniejszymi”. Troy Hunt nazywa to efektem Cobry, ponieważ wyłącza używanie bezpiecznych, 50-znakowych haseł, które można by wkleić z menedżera haseł. W najlepszym przypadku zmusza ludzi do tworzenia haseł, które są łatwe do zapamiętania, a przez to łatwiejsze do zhakowania.

Niektórzy mogą powiedzieć, że zwiększa to bezpieczeństwo, ponieważ zapobiega kopiowaniu schowka przez złośliwe oprogramowanie, ale ignorują fakt że jeśli złośliwe oprogramowanie już to robi, może również kopiować wszystkie rodzaje naciśnięć klawiszy, a nie tylko Ctrl + V. To bez sensu.

Z perspektywy UX jest to po prostu denerwujące, jak mówisz. Jest to więc denerwujące z punktu widzenia UX i nie czyni nas bezpieczniejszymi. Ta „funkcja” nie ma sensu.

Nie, nie ma rozsądnego powodu, aby to robić. To zły UX, prosty i prosty. Wyłączenie wklejania w pole hasła w rzeczywistości zachęca do używania złych haseł. Menedżerowie haseł automatycznie usuwają schowek po wklejeniu, więc ten argument nie jest już ważny.

Głównym argumentem zabezpieczającym zakazującym kopiowania copy&pastowania haseł jest to, że hasło pozostaje później w schowku użytkownika. Może to prowadzić do przypadkowego ujawnienia hasła w niepowiązanym kontekście. Na przykład, gdy użytkownik przypadkowo wklei go do innego pola wejściowego w innej aplikacji (sieciowej lub innej). Innym możliwym scenariuszem może być sytuacja, gdy użytkownik odchodzi od swojego urządzenia bez blokowania go, a ktoś inny naciska ctrl + v, aby sprawdzić, co ma w schowku.

Jest to jednak naprawdę małe ryzyko w porównaniu z ogromne korzyści w zakresie bezpieczeństwa, jakie mają menedżerowie haseł. Ponadto menedżerowie haseł często mają funkcję automatycznego czyszczenia schowka kilka sekund po skopiowaniu z nich hasła, co znacznie zmniejsza to ryzyko.

Istnieją powody, by to zrobić, choć niezbyt dobre.

Zasadniczo odradza to kopiowanie i wklejanie. Oznacza to, że użytkownicy rzadziej zapomną o tym w swoim schowku i przypadkowo wyciekną. Ponadto, jeśli go wklejają, oznacza to, że zapisali go gdzieś (na przykład plik tekstowy), co nie jest tak bezpieczne jak ich mózg - więc jeśli plik tekstowy stanie się bezużyteczny, być może będą bardziej polegać na swojej pamięci.

Oczywiście to nie ma sensu. Wiele osób, które kopiują i wklejają, robi to ze swojego menedżera haseł, który jest bardzo dobrze chroniony. Menedżerowie haseł również automatycznie czyścą schowek, a jak wskazano w innym miejscu, jakie są szanse, że Twój użytkownik ma keyloggera, który może czytać schowek, ale nie naciska klawiszy?

Dla mnie takie rzeczy ujawniają rodzaj pogardy dla inteligencji użytkownika. Zasadniczo oznacza to, że „jesteś zbyt głupi, aby nie zostać skradzionym hasła, jesteś zbyt głupi, aby przestrzegać prostych zasad bezpieczeństwa. Zamierzamy po prostu przypiąć do Ciebie tę uprząż dla niemowląt, aby chronić Cię przed sobą”. Nieważne, że kradzież danych logowania jest znacznie bardziej prawdopodobna z powodu naruszenia danych po stronie serwera niż wycieku schowka po stronie klienta. Staram się unikać takich witryn, jeśli to w ogóle możliwe, ponieważ sprawiają, że myślę, że nie jestem odpowiednią grupą docelową dla witryny.

Na szczęście wielu menedżerów haseł w dzisiejszych czasach zaczyna po prostu naśladować naciśnięcia klawiszy zamiast prostych do wklejania, więc w końcu żart jest z nich.

Właściwie mogę wymyślić dokładnie jeden dobry powód, aby zabronić wklejania hasła. Podczas początkowego ustawiania lub zmieniania hasła.

Powodem jest to, że istnieje niewielka szansa, że ​​z jakiegoś powodu nie udało Ci się skopiować hasła do schowka, tak jak myślałeś, i co z tego wklejesz w pole hasła to właściwie tylko nonsens, który był wcześniej w twoim schowku. Ponieważ pole hasła jest maskowane, nie miałbyś pojęcia, że ​​właśnie wkleiłeś

826 W. Main St. w nowe pole hasła, zamiast

Bubblez84-l0ve!
lub
h*7dn$l83k&(4;p

tak jak myślisz miałeś. Co będzie poważnym problemem przy następnej próbie logowania.

Jestem menedżerem produktu ds. bezpieczeństwa online w bardzo dużej firmie.

Właściwie miałem dziś spotkanie dotyczące wyłączenia wklejania haseł. W tej chwili zezwalamy na wklejanie haseł, ale myślimy o ich zmianie.

Są różne perspektywy, z których możesz przyjąć to podejście, a zalety / wady mogą się całkowicie różnić w zależności od Twojego przypadku użycia i tego, jak Twoja witryna jest zabezpieczona oraz czy korzystasz z 2FA, czy nie.

Osobiście nie wyłączałbym wklejania haseł do witryn, które opierają się tylko na nazwie użytkownika & hasło do logowania.

Myślę o wyłączeniu go w naszym przypadku z kilku powodów

• Siła hasła nie zapewnia większego bezpieczeństwa w naszym przypadku. Tak, wiem, że od wieków mówimy ludziom, że powinni wybrać odpowiednio bezpieczne hasło, ale ostatecznie nie pomoże to Tobie / nam, jeśli Twój komputer jest zainfekowany złośliwym oprogramowaniem. Złośliwe oprogramowanie nie dba o to, czy Twoje hasło to „12345”, czy jakiś super skomplikowany szyfr 100-znakowy. Albo ją kradnie, albo przejmuje sesję.

• Nie grozi nam brutalna siła czy zgadywanie haseł. Istnieją sposoby na złagodzenie tego, które mamy w naszym przypadku.

• Istnieją rozwiązania biometryczne behawioralne, w których profile są budowane na podstawie dynamiki naciśnięć klawiszy itp., co pozwala z dużą dozą pewności stwierdzić, czy użytkownik wprowadzający dane uwierzytelniające jest rzeczywiście użytkownikiem oczekujemy. Poświadczenia są prawdziwe lub fałszywe. Jeśli ktoś ma Twoje dane uwierzytelniające, może je uwierzytelnić. Dlatego chciałbym wiedzieć, czy osoba, która wprowadza prawidłowe dane uwierzytelniające, jest rzeczywiście osobą, od której oczekujemy, że ją poznamy. Nazwa użytkownika i hasło muszą być wprowadzane za każdym razem podczas procesu logowania, więc te pola są dość interesujące, aby sprawdzić, czy takie rozwiązanie jest wdrożone w organizacji. Nie jest to możliwe, jeśli ktoś skopiuje / wklei swoje hasło.

Jeszcze nie zdecydowałem o wyłączeniu go w naszym przypadku. Jak zawsze musimy zachować równowagę między użytecznością a bezpieczeństwem.

Wiele odpowiedzi wskazuje, że jest to zła praktyka, ponieważ może spowodować uszkodzenie menedżerów haseł. Chociaż należy zachęcać do korzystania z menedżerów haseł, należy zdecydowanie odradzać przechowywanie haseł w schowku. Schowek nie jest jakąś specjalną, bezpieczną szafką na informacje i zgodnie z projektem ułatwia dostęp do zawartości i nie oferuje szyfrowania.

Oto tylko jeden scenariusz, w jaki sposób można to wykorzystać:

• Użytkownik kopiuje hasło zwykłym tekstem.
• Użytkownik odwiedza inną witrynę internetową z aplikacją Flash podczas zwykłego przeglądania sieci. Lub strona internetowa została celowo wysłana do ofiary przez atakującego.
• Flash umożliwia dostęp do schowka jako API. Dzięki temu zawartość schowka jest łatwo dostępna i może zostać wysłana do atakującego.

Zdarzały się nawet przypadki, gdy ktoś kupił kilka reklam multimedialnych na wielu dobrze znanych witrynach internetowych. Wyglądały na pozornie nieszkodliwą reklamę flashową, ale w rzeczywistości kradły dane ze schowka gości w nadziei na uzyskanie przydatnych informacji.

Podsumowując, jeśli masz coś, co chcesz zabezpieczyć, don nie przechowuj go w schowku .

Inne odpowiedzi zawierają bardziej szczegółowe wyjaśnienia, ale w skrócie należy pamiętać, że największe zagrożenie bezpieczeństwa w odniesieniu do haseł nadal wynika z ataków wymierzonych w serwery, a nie na klienta. Innymi słowy, posiadanie hasła w schowku nie naraża go na duże ryzyko, ponieważ gdyby zostało złamane, byłoby bardziej prawdopodobne, że zostałoby ono złamane z bazy danych haseł skradzionych z serwera lub nawet brutalnie wymuszone niż skradzione ze schowka.

Dlatego tak ważne jest to, że, jak wskazały inne odpowiedzi, uniemożliwienie użytkownikowi wklejenia hasła zniechęca go do posiadania złożonego hasła, dzięki czemu hasło jest łatwiejsze do złamania, a przez to mniej bezpieczne.

Myślę, że to zależy od usług, które zabezpiecza formularz logowania. Należy wziąć pod uwagę, że menedżer haseł może ograniczyć logowanie do urządzenia, na którym jest zainstalowany menedżer haseł, co nie zawsze zgadza się z usługodawcą. Na przykład, jeśli usługą był bank, który chce dać swoim użytkownikom możliwość zablokowania kart na wypadek zgubienia lub kradzieży, może chcieć zachować ten przywilej w przypadku zgubienia lub kradzieży urządzenia z menedżerem haseł.