Úgy érzem, nagyon gyakori problémám van. Túl sok jelszó van emlékszem, valamint PIN-kódok hitel- / betéti kártyákhoz, belépési kódok a munkahelyem ajtajaihoz vagy kombinált zárak. Úgy tűnik, nem tudok mindegyikre emlékezni, bármennyire is igyekszem, és kényelmetlen lehet, ha nem emlékszem egyikre sem.
Keresek egy utat A metódusnak
- biztonságosnak kell lennie a megsértett webhelyek ellen, azaz ha valaki megtöri az A webhely adatbázisát, és egyszerű szövegben sikerül megszereznem az A jelszavamat, akkor nem szabad bármilyen információ a B webhely jelszavával kapcsolatban
- biztonságos egy sérült helyi gép ellen, azaz ha valaki rosszindulatú programot telepít a laptopomra, akkor sem tudhatja meg a PIN-kódjaimat és egyéb olyan jelszavakat, amelyeket nem használnak a sérültek gép
- biztonságos lopás ellen, vagyis a módszer nem tartalmazhat fizikai tokent, amely ellopása esetén a tolvaj kiürítheti az összes fiókomat.
- hordozható, azaz dolgozzon anélkül, hogy a számítógépem előtt ülnék, például egy ATM-nél, vagy ha egy boltban fizetnék.
- biztosítson adatvesztés ellen, vagyis szeretnék tudjon biztonsági másolatot készíteni eszközhiba, lopás stb. esetén.
Ez kizár néhány olyan megközelítést, amelyekről tudom, és amelyekről korábban már volt szó:
- a jelszavak újrafelhasználása (1)
- a jelszavak papírlapra történő felírása (3) és (5) ellen szól
- a jelszókezelő a számítógépemen (online vagy offline) ellenzi a (4) és (2)
- jelszavakat generál a fejemben ellene van (1) és (2), hacsak maga a módszer biztonságos. Egyébként ez lényegében a homály által okozott biztonság, és csak addig működhet, amíg nem túl sokan használják ugyanazt a módszert.
- egy fizikai tokent , amely tartalmazza sok karakter a jelszavak “előállításához” egy másik kiindulási pont vagy minta kiválasztásával, hogy betűket válasszon az adott tokenből. Probléma van a (3) szabállyal, ha a módszer ismert vagy túl egyszerű, vagy (1) és (2), ha a módszer egyszerű, és a token történetesen könyv vagy valami más, széles körben ismert. Ismét a biztonság szaga a homályon keresztül. Ezenkívül nehéz biztonságosan biztonsági másolatot készíteni (5).
- adatok titkosítása egy papírlapra és kézi visszafejtés vagy egy bizonytalan módszer, vagy úgy hangzik, mint amit a fejemben nem tudok megtenni (örülök, ha valaki kijavít engem ezen a módszeren). Ne feledje, hogy még egy papíron sem jó ötlet egy szupermarketben, ha ez azt jelenti, hogy minden használat után biztonságosan meg kell semmisítenie azt a papírt, amelyen kidolgoztam a PIN-kódomat.
Ezért a kérdésem a következő: Van-e olyan mód a jelszavak tárolására / memorizálására, amely megfelel a fenti követelményeknek? eszembe jut egy dedikált eszköz, amely képes végrehajtani AES-dekódolást, így az okostelefonomon tárolhatnám azokat a jelszavakat, amelyeket mesterjelszóval titkosítottak, majd ezt a dedikált eszközt használva egyszerű szöveges jelszót kaphattam a titkosított jelszó és a mester megadásával. Különösen egy olyan módszer érdekelne, amelyet bármilyen eszköz nélkül használhatok, vagy olyan hordozható eszközöket használhatok, amelyeket én könnyen / olcsón vásárolhat a nyílt piacon, amennyiben ésszerűen biztos lehetek abban, hogy az eszköz nem fedi fel a jelszavakat. Természetesen nagyszerű lenne, ha a módszer könnyen és gyorsan használható lenne.
Nem tartom magam kiemelt célpontnak, ezért hajlandó vagyok feltételezni, hogy a zsebszámológéphez hasonlót vásárolhatnék Az Amazon anélkül, hogy valaki rejtett GSM modult illesztene bele. Nem vagyok hajlandó azonban feltételezni, hogy egy adott okostelefonhoz vagy számítógéphez nincs telepítve trójai faló.
Megjegyzések
- Megbízna egy olyan régi telefonban, amely ‘ nem rendelkezik hálózati kapcsolattal és ki van kapcsolva a WiFi?
- A széf és a papíros noteszgép megteszi .
- A @DeerHunter Paper jegyzetfüzet ellopható, ha nincs széfben, és a széf nem nagyon hordozható.
- @NeilSmithline Nem, ha fizikailag nem lehet megakadályozni nem kommunikálnék ‘ nem szívesen bíznék benne.
- Még akkor is, ha az említett jegyzetfüzetet mindig magánál tartja? A kezéhez láncolva acéltartóban, támadásgátlóval eszköz? Ne feledje: ha kétségei vannak, C4.
Válasz
Úgy gondolom, hogy túlgondolkodtatok! Ezenkívül nem vagy reális a kockázatokkal kapcsolatban.
Ne felejtsd el, hogy minden jelszó “homályon keresztüli biztonság”, tehát nem mindig az a “rossz fiú”, aminek készülnek.
Tehát az értelmes megközelítés hibrid lehet.
- Alacsony érzékenységű bejelentkezések – jelszókezelőt használjon. A legtöbb különféle védelemmel rendelkezik, hogy csökkentse a rosszindulatú programok adatok eltérítésének kockázatát. Kétfaktoros hitelesítési képességek, amelyek sok problémát enyhítenek. Példák : fórumok.
- Közepes érzékenységű bejelentkezések – a kényelem érdekében használja a jelszókezelőt, de adjon hozzá két tényezőt hitelesítés a biztonság érdekében. Általában a telefon vagy más hardver eszköz, például egy token használatával. Az olyan soft tokenek, mint a Google Authenticator, jók lehetnek, mivel nem teljesen függenek egy hardvertől. Példák : közösségi média.
- Nagy érzékenységű bejelentkezések – A jelszó egy részét tárolja a jelszókezelőben, és használjon mintát, hogy a többit a fejében tartsa, de mégis egyedivé tegye az egyes webhelyeket! Használjon 2-faktoros hitelesítést is, ha rendelkezésre áll. Példa : banki és pénzügyi
Ennek biztosan még sok más módja van. A legfontosabb az, hogy ésszerűen gondolkodjunk el a kockázatokról, és ne tegyük pokollá az életet, csak azért, hogy megpróbáljunk kezelni egy apró kockázatot, vagy akár egy csekély hatást is.
Megjegyzések
- A homályon keresztüli biztonság egy olyan algoritmust jelent, amely rejtve van, hogy valami biztonságos legyen, és nem titok, például jelszó.
- BTW, én nem ‘ nem gondolja, hogy valóban megválaszolta a kérdést. Nem igazán a te hibád, mivel az OP kissé ésszerűtlen forgatókönyvet mutat be.
- @JulianKnight miért gondolod, hogy nem vagyok reális a kockázatokkal kapcsolatban? Egyetértek veled abban, hogy kevesebb biztonságra van szükség, pl. a StackExchange jelszavamhoz, de mi a helyzet a PIN-számokkal? A jelszókezelőm nem lesz itt hasznos, ha valamilyen módon leírom őket. Lehetséges, hogy felelős vagyok a teljes kárért, ha ellopják a pénztárcámat, és a bank erről tudomást szerez. Vagy ne aggódjak, mert egy tolvajnak csak három próbálkozása lesz, tehát egy nagyon egyszerű ad-hoc hu a kriptálás megteszi?
- A Q-ból úgy tűnt. PIN ‘ s alatt hitel / bankkártyákat ért? Az enyémek mind egy másodlagos PW mgr-ben vannak, amely nem felhőalapú, de mobil- és asztali kliensekkel rendelkezik, ha nem emlékszem. Használjon egy STRONG fő kódot, amelyre emlékszik. Egy jó hírű bank hitelt ad Önnek a dolgok biztonságos kezeléséért – tudom, régen egynél dolgoztam 🙂 A legtöbb országban Ön NEM lesz felelős, ha megfelelő gondosságot tanúsít. Természetesen nem az Egyesült Királyságban / EU / USA-ban.
- A forgatókönyv teljesen ésszerűtlen. A piacon lévő jelszótárak szinte megfelelnek a @ user3657600 ‘ összes követelményének, de nem teljes mértékben. Ez valóban meglepő. A mobiltelefon használata mindig kevésbé biztonságos és kevésbé praktikus, ez ‘ biztosan nem jelent megoldást. ‘ ezért léteznek biztonsági eszközök. A megoldás egy olyan eszköz lenne, amely billentyűzetként működhet (Mooltipass, OnlyKey) a számítógépeken történő egyszerű és interoperábilis használat érdekében. Kijelzőre van szüksége a jelszó megjelenítéséhez arra az esetre, ha ‘ nem használhatja az eszközt billentyűzetként, pl. ATM. Titkosítottnak és / vagy szabotázsbiztosnak kell lennie (Mooltipass).
Válasz
Érdekes kérdés.
Pontjaid:
-
biztonságos a megsértett webhelyek ellen, azaz ha valaki megtöri az A webhely adatbázisát, és egyszerű szövegben sikerül megszereznie az A jelszavamat, akkor nem szabad bármilyen információ a B webhely jelszavával kapcsolatban amelyeket nem használnak a veszélyeztetett gépen
-
lopás elleni védelem, azaz a módszer nem tartalmazhat fizikai tokent, amely ellopásakor lehetővé teszi a tolvaj számára az összes számlák.
-
hordozható, azaz úgy kell működnie, hogy nem ülök a számítógépem előtt, például ATM-ben vagy boltban fizetek.
-
biztonságos az adatvesztés ellen, vagyis szeretnék biztonsági másolatot készíteni eszközhiba esetén , lopás stb.
-
különösen érdekelne egy olyan módszer, amelyet bármilyen eszköz nélkül használhatok, vagy olyan hordozható eszközök használata, amelyeket könnyen / olcsón vásárolhatok a nyílt piacon, mindaddig, amíg ésszerűen biztos lehetek abban, hogy az eszköz nem fedi fel a jelszavamat.
Nos, ez nem lesz szép, de ez megfelel a hálózatba kapcsolt “és könnyen / olcsón alkatrész.
Vásároljon egy Raspberry Pi-t – lehetőleg egy Pi 2 B-t a sebesség és a RAM számára, vagy egy Pi A-t és egy USB hubot, ha nem akarja az Ethernet portot . A No Pi nem rendelkezik Wifi-vel, így legalább ott biztonságban vagy.
Vegyél hozzá egy érintőképernyőt. Állítsd be ezt. És talán egy hordozható billentyűzet / érintőpad kombináció.
Beállítás töltse fel a Raspbian-val, anélkül, hogy helyet cserélne, és telepítse rá a KeePassX-et.
Vásároljon egy USB-bankot, például egy Anker Powercore -t távon futtathatja a Pi-t.
Alternatívaként szerezzen be bármilyen laptopot vagy notebookot, és teljesen távolítsa el a hálózati hardvert – a Wifi a nagyobbak többségénél egy mini-PCIe kártya, amelyet triviális eltávolítani. Ethernet, nos, töltse ki a portot szuperragasztóval. Ismét telepítse a KeePassX-et (vagy a KeePass-ot).
Ideális esetben telepítse a LUKS (Linux) vagy a Veracrypt (ha a Windows-hoz ragaszkodik) teljes lemezes titkosítását is.
Vásároljon néhány FIPS 140-et -2 hitelesített USB-tárolóeszköz, például az olcsóbb Apricorn AEGIS biztonságos kulcs USB2.0 (sokkal nagyobb USB3.0 meghajtókkal is rendelkeznek, valamivel magasabb áron) .
Helyezze a KeePassX adatbázisát az Apricorn meghajtóra; készítsen biztonsági másolatot egyik Apricornról a másikra.
Használja ezt az eszközt, és csak akkor helyezze be az Apricornt, ha aktívan kap jelszavakat. Mindig távolítsa el az Apricornt, amint elkészült.
Most már olcsó hardverrel rendelkezik, és egyáltalán nincs szállítói zárolása.
A rosszindulatú webhelyek és a veszélyeztetett gépek csak azt tudják elérni, amit beírod őket; soha nem férnek hozzá az adatbázishoz.
Ha az egészet kikapcsolt állapotban lopják el, akkor a támadónak elsősorban túl kell lépnie az Apricorn jelszaván (ahol egymás után tíz helytelen próbálkozás törli a meghajtót, és eleve manipulálhatatlannak bizonyult), majd a KeePass jelszót is túlhaladja.
Hordozható – sokkal hordozhatóbb, mint a régi táskák, még a Raspberry Pi-vel is + akkumulátor + példa a billentyűzetre.
Biztonságos az adatvesztés ellen – másolja az Apricorn A-tól az Apricorn B-ig otthon, az Apricorn C-t széfben stb.
Válasz
Ehhez használhatja az új PI nullát. Az alacsony formai tényező miatt éppen ezért perifériaként ideális. Emlékezzen arra is, nincs szüksége magára az összes jelszavára.