Siento que tengo un problema muy común. Tengo demasiadas contraseñas para recordar, así como PIN para tarjetas de crédito / débito, códigos de acceso para puertas en mi lugar de trabajo o cerraduras de combinación. No parece que sea capaz de recordarlos todos, no importa cuánto lo intente, y no recordar ninguno de ellos en el momento en que lo necesito puede ser un inconveniente.

Estoy buscando una manera para almacenar de forma segura contraseñas y PIN. El método debe ser

  1. seguro contra sitios web comprometidos, es decir, si alguien rompe la base de datos del sitio A y logra obtener mi contraseña para A en texto plano, no debe obtener cualquier información sobre mi contraseña para el sitio B
  2. segura contra una máquina local comprometida, es decir, si alguien instala malware en mi computadora portátil, aún no podrá obtener mis códigos PIN y otras contraseñas que no se utilizan en el sitio comprometido máquina
  3. seguro contra robo, es decir, el método no debe involucrar un token físico que, si es robado, permitirá a un ladrón vaciar todas mis cuentas.
  4. portátil, es decir, debe trabajar sin mí sentado frente a mi computadora, por ejemplo, en un cajero automático o al pagar en una tienda.
  5. estar seguro contra la pérdida de datos, es decir, quiero poder hacer copias de seguridad en caso de falla del dispositivo, robo, etc.

Eso descarta algunos enfoques que conozco y que se han discutido previamente:

  • reutilizar contraseñas está en contra (1)
  • escribir contraseñas en una hoja de papel está en contra (3) y (5)
  • administrador de contraseñas en mi computadora (en línea o offline) está en contra (4) y (2)
  • generar contraseñas en mi cabeza está en contra (1) y (2) a menos que el el método en sí es seguro. De lo contrario, esto es esencialmente seguridad a través de la oscuridad y solo puede funcionar siempre que no muchos utilicen el mismo método.
  • un token físico que contenga muchos caracteres para «generar» contraseñas eligiendo un punto de partida o patrón diferente para elegir letras de ese token. Hay un problema con la regla (3) si el método es conocido o demasiado simple, o (1) y (2) si el método es simple y la ficha resulta ser un libro o algo más ampliamente conocido. Una vez más, huele a seguridad a través de la oscuridad. Además, es difícil hacer una copia de seguridad de forma segura (5).
  • cifrar los datos en una hoja de papel y descifrarlos manualmente es utilizar un método inseguro, o suena como algo que no puedo hacer en mi cabeza (me alegro si alguien me corrige en este caso). Tenga en cuenta que incluso hacerlo en papel no es una buena idea en un supermercado si eso significa que tengo que destruir de forma segura el papel en el que elaboré mi PIN después de cada uso.

Por lo tanto, mi pregunta es: ¿Hay alguna forma de almacenar / memorizar contraseñas que satisfaga los requisitos anteriores? Una posibilidad lo que me viene a la mente es un dispositivo dedicado que puede realizar el descifrado AES, por lo que podría almacenar contraseñas que fueron encriptadas con una contraseña maestra en mi teléfono inteligente, y luego usar ese dispositivo dedicado para obtener una contraseña en texto plano ingresando la contraseña encriptada y la maestra contraseña. Me interesaría especialmente un método que pueda utilizar sin herramientas o con dispositivos portátiles que puedo comprar fácilmente / barato en el mercado abierto, siempre que pueda estar razonablemente seguro de que el dispositivo no revela mis contraseñas. Por supuesto, sería genial si el método fuera fácil y rápido de usar.

No me considero un objetivo de alto perfil, por lo que estoy dispuesto a asumir que podría comprar algo como una calculadora de bolsillo en Amazon sin que alguien coloque un módulo GSM oculto en él. Sin embargo, no estoy dispuesto a asumir que un teléfono inteligente o una computadora determinados no tienen un caballo de Troya instalado.

Comentarios

  • ¿Confiaría en un teléfono antiguo que no ‘ no tiene conectividad de red y tiene Wi-Fi desactivado?
  • Una caja fuerte y un cuaderno de papel serán suficientes .
  • El cuaderno de papel de @DeerHunter puede ser robado si no está en una caja fuerte, y una caja fuerte no es muy portátil.
  • @NeilSmithline No, si no hay forma de evitarlo físicamente comunicándome ‘ no me gustaría confiar en él.
  • ¿Incluso si tienes dicho cuaderno contigo en todo momento? Encadenado a tu mano en una caja de acero con un dispositivo? Recuerde: en caso de duda, C4.

Respuesta

¡Creo que estás pensando demasiado en las cosas! Además, no está siendo realista acerca de los riesgos.

También recuerde que cualquier contraseña es «seguridad a través de la oscuridad», por lo que no siempre es el «chico malo» que se supone que es.

Entonces, un enfoque sensato podría ser un híbrido.

  • Inicios de sesión de baja sensibilidad: use un administrador de contraseñas. La mayoría tiene varias protecciones para ayudar a reducir el riesgo de secuestro de datos de malware. Muchos también tienen Capacidades de autenticación de 2 factores que mitigan muchos problemas. Ejemplos : foros.
  • Inicios de sesión de sensibilidad media: use el administrador de contraseñas para su comodidad, pero agregue 2 factores autenticación por seguridad. Por lo general, usa su teléfono o algún otro dispositivo de hardware, como un token. Los tokens de software como Google Authenticator pueden ser buenos ya que no dependen totalmente de una pieza de hardware. Ejemplos : redes sociales.
  • Inicios de sesión de alta sensibilidad: almacene parte de la contraseña en su administrador de contraseñas y use un patrón para mantener el resto en su cabeza, ¡pero aún así hacerlo único para cada sitio! También use la autenticación de 2 factores si está disponible. Ejemplo : banca y finanzas

Sin duda, hay muchas más formas de eliminar esto. Lo principal es pensar en los riesgos con sensatez y no hacer la vida un infierno solo para tratar de lidiar con un riesgo que es pequeño o, de hecho, un impacto que sería pequeño.

Comentarios

  • La seguridad a través de la oscuridad se refiere a un algoritmo que se oculta para hacer algo seguro, no un secreto como una contraseña.
  • Por cierto, no ‘ No creo que realmente hayas respondido la pregunta. No es realmente tu culpa, ya que el OP presenta un escenario poco razonable.
  • @JulianKnight ¿Por qué crees que no soy realista sobre los riesgos? Estoy de acuerdo con usted en que se necesita menos seguridad, por ejemplo, para mi contraseña de StackExchange, pero ¿qué pasa con los números PIN? Mi administrador de contraseñas no ‘ será útil aquí, y si los escribo de alguna manera Podría ser responsable de todo el daño si me roban la billetera y el banco se entera. O no debería preocuparme porque un ladrón solo tendrá tres intentos, por lo que incluso un simple ad-hoc en ¿La criptación servirá?
  • Por la Q, parecía que sí. Por PIN ‘ s, ¿te refieres a tarjetas bancarias o de crédito? Los míos están todos en un administrador de PW secundario que no está basado en la nube, pero tiene clientes para dispositivos móviles y de escritorio si no recuerdo uno. Utilice un código maestro FUERTE que recuerde. Un banco de buena reputación le dará crédito por administrar las cosas de manera segura; lo sé, solía trabajar para uno 🙂 En la mayoría de los países, NO será responsable si demuestra un cuidado razonable. Ciertamente no en el Reino Unido / UE / EE. UU.
  • El escenario es completamente irrazonable. Las bóvedas de contraseñas en el mercado casi cumplen con todos los requisitos de @ user3657600 ‘, pero no del todo. Esto es realmente sorprendente. Usar un teléfono móvil siempre será menos seguro y menos práctico, ‘ definitivamente no es una solución. Esa ‘ es la razón por la que existen los dispositivos de seguridad. La solución sería un dispositivo que pueda actuar como teclado (Mooltipass, OnlyKey) para un uso fácil e interoperable en computadoras. Necesita una pantalla para mostrar la contraseña en caso de que ‘ no pueda usar el dispositivo como teclado, p. Ej. CAJERO AUTOMÁTICO. Debe estar encriptado y / o ser resistente a manipulaciones (Mooltipass).

Responder

Pregunta interesante.

Sus puntos:

  • seguro contra sitios web comprometidos, es decir, si alguien rompe la base de datos del sitio A y logra obtener mi contraseña para A en texto plano, no debería obtener cualquier información sobre mi contraseña para el sitio B

  • segura contra una máquina local comprometida, es decir, si alguien instala malware en mi computadora portátil, aún no podrá obtener mis códigos PIN y otras contraseñas que no se utilizan en la máquina comprometida

  • seguro contra el robo, es decir, el método no debe involucrar un token físico que, si es robado, permitirá a un ladrón vaciar todos mis cuentas.

  • portátil, es decir, debería funcionar sin mí sentado frente a mi computadora, por ejemplo, en un cajero automático o al pagar en una tienda.

  • seguro contra la pérdida de datos, es decir, quiero poder hacer copias de seguridad en caso de falla del dispositivo , robo, etc.

  • estaría particularmente interesado en un método que pueda usar sin herramientas, o usando dispositivos portátiles que pueda comprar de manera fácil / económica en el mercado abierto, siempre que pueda estar razonablemente seguro de que el dispositivo no revela mis contraseñas.

Bueno, no va a ser bonito, pero esto puede cumplir con el «no «en red», y la parte fácil / económica.

Compre una Raspberry Pi, preferiblemente una Pi 2 B para velocidad y RAM, o una Pi A más un concentrador USB si no quiere el puerto Ethernet . Ningún Pi viene con Wifi, así que estás seguro allí, al menos.

Compra una pantalla táctil. Configúralo. Y tal vez una combinación de teclado / panel táctil portátil.

Configurar con Raspbian sin ningún espacio de intercambio, e instale KeePassX en él.

Compre un banco de energía USB como un Anker Powercore para puede ejecutar el Pi de forma remota.

Alternativamente, obtenga cualquier tipo de computadora portátil o portátil y elimine el hardware de red por completo; la conexión wifi en la mayoría de las más grandes es una tarjeta mini-PCIe, trivial de quitar. Ethernet, bueno, llena el puerto con superglue. Nuevamente, instale KeePassX (o KeePass).

Idealmente, instale LUKS (Linux) o Veracrypt (si insiste en Windows) también encriptación de disco completo.

Compre algunos FIPS 140 -2 dispositivos de almacenamiento USB validados, como el Apricorn AEGIS Secure Key USB2.0 más barato (también tienen unidades USB3.0 mucho más grandes, a un precio algo más alto) .

Coloque su base de datos KeePassX en su unidad Apricorn; haga una copia de seguridad de un Apricornio a otro.

Utilice este dispositivo e inserte su Apricorn solo cuando obtenga contraseñas de forma activa. Elimine siempre Apricorn tan pronto como haya terminado.

Ahora tiene hardware barato y no tiene ningún bloqueo de proveedor.

Los sitios web maliciosos y las máquinas comprometidas solo pueden obtener lo que escribes en ellos; nunca tienen acceso a la base de datos.

Si todo es robado mientras está apagado, el atacante necesita principalmente pasar la contraseña Apricorn (donde diez intentos incorrectos seguidos borran el drive, y está validado para ser resistente a manipulaciones en primer lugar), y luego pasa la contraseña de KeePass también.

Es portátil, más portátil que los viejos teléfonos de bolsillo, incluso con la Raspberry Pi + ejemplo de batería + teclado.

Es seguro contra la pérdida de datos: copia de Apricorn A a Apricorn B guardada en casa, Apricorn C guardada en una caja de seguridad, etc.

Respuesta

Podrías usar el nuevo PI zero para hacer precisamente eso. El factor de forma bajo lo hace ideal como periférico precisamente por esta razón. También recuerda, no necesita todas sus contraseñas.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *