非常に一般的な問題があるように感じます。パスワードが多すぎて覚えられません。クレジットカード/デビットカードのPIN、職場のドアのアクセスコード、またはコンビネーションロックもあります。どんなに一生懸命頑張っても全部覚えられないようで、必要なときに覚えていないのは不便かもしれません。

方法を探していますパスワードとPINを安全に保存する方法。

  1. 侵害されたWebサイトに対して安全である必要があります。つまり、誰かがサイトAのデータベースを破壊し、Aのパスワードをプレーンテキストで取得できた場合、サイトBのパスワードに関する情報
  2. 侵害されたローカルマシンに対して安全です。つまり、誰かが私のラップトップにマルウェアをインストールした場合でも、侵害された場所で使用されていないPINコードやその他のパスワードを取得できないはずです。マシン
  3. 盗難から保護します。つまり、このメソッドには、盗まれた場合に泥棒がすべてのアカウントを空にすることができる物理トークンを含めるべきではありません。
  4. ポータブル、つまり、たとえば、ATMやお店で支払うときなど、コンピュータの前に座っていない状態で作業します。
  5. データの損失を防ぎます。つまり、デバイスの障害や盗難などが発生した場合にバックアップを作成できるようにします。

これにより、私が認識しており、以前に説明したいくつかのアプローチが除外されます。

  • パスワードの再利用は（1）に反します
  • パスワードを紙に書き留めることは（3）と（5）に反します
  • コンピューターのパスワードマネージャー（オンラインまたはオフライン）は（4）と（2）に反対します
  • パスワードを生成します私の頭の中では（1）と（2）に反対しますメソッド自体は安全です。それ以外の場合、これは本質的に隠すことによるセキュリティであり、同じ方法を使用する人が多すぎない場合にのみ機能します。
  • を含む物理トークン別の開始点またはパターンを選択してそのトークンから文字を選択することにより、パスワードを「生成」するための多くの文字。ルール（3）が既知であるか単純すぎる場合、または（1）と（2）メソッドが単純で、トークンがたまたま本または他の広く知られているものである場合、ルールに問題があります。繰り返しますが、隠すことによるセキュリティのようなにおいがします。さらに、安全にバックアップすることは困難です（5）。
  • 紙にデータを暗号化して手動で復号化する安全でない方法、または頭の中でできないことのように聞こえます（誰かがこれについて私を訂正してくれれば嬉しいです）。それが私を意味するのであれば、紙でそれを行うことはスーパーマーケットでは良い考えではないことに注意してください。使用するたびに、PINを作成した紙を安全に破棄する必要があります。

したがって、私の質問は次のとおりです。上記の要件を満たすパスワードを保存/記憶する方法はありますか？1つの可能性頭に浮かぶのは、AES復号化を実行できる専用デバイスなので、マスターパスワードで暗号化されたパスワードをスマートフォンに保存し、その専用デバイスを使用して、暗号化されたパスワードとマスターを入力することでプレーンテキストのパスワードを取得できますパスワード。ツールなしで使用できる方法、または私が使用しているポータブルデバイスを使用できる方法に特に興味があります。デバイスが私のパスワードを明らかにしないことを合理的に確信できる限り、公開市場で簡単に/安く購入することができます。もちろん、この方法が簡単ですぐに使えるといいですね。

私は自分自身を注目を集めるターゲットとは思わないので、ポケット電卓のようなものを購入できると思います。誰かが隠しGSMモジュールを取り付けていないAmazon。ただし、特定のスマートフォンまたはコンピューターにトロイの木馬がインストールされていないとは思いません。

コメント

  • 'ネットワーク接続がなく、WiFiがオフになっている古い電話を信頼しますか？
  • 安全で紙のノートブックで十分です。
  • @DeerHunter紙のノートブックは、金庫に入れないと盗まれる可能性があり、金庫は持ち運びに便利ではありません。
  • @NeilSmithlineいいえ、物理的に防ぐ方法がない場合は、 '信頼したくないと思います。
  • ノートブックを常に携帯していても、改ざん防止機能を備えたスチールケースに入れて手につなぎます。デバイス？覚えておいてください：疑わしい場合は、C4。

回答

あなたは物事を考えすぎていると思います！また、リスクについて現実的ではありません。

また、パスワードは「隠すことによるセキュリティ」であるため、必ずしも「悪い子」であるとは限らないことを忘れないでください。

したがって、賢明なアプローチはハイブリッドかもしれません。

  • 感度の低いログイン-パスワードマネージャーを使用します。ほとんどの場合、マルウェアによるデータのハイジャックのリスクを軽減するためにさまざまな保護があります。多くの問題を軽減する2要素認証機能。例：フォーラム。
  • 中程度の感度のログイン-便宜上パスワードマネージャーを使用しますが、2要素を追加しますセキュリティのための認証。通常、電話またはトークンなどの他のハードウェアデバイスを使用します。 Google Authenticatorのようなソフトトークンは、1つのハードウェアに完全に依存しているわけではないため、優れている場合があります。 例：ソーシャルメディア。
  • 高感度ログイン-パスワードの一部をパスワードマネージャーに保存し、パターンを使用して残りの部分を頭の中に保ちながら、サイトごとに一意にします。また、可能な場合は2要素認証を使用します。 例：銀行と金融

これを削減する方法は他にもたくさんあります。重要なことは、リスクについて賢明に考え、小さなリスクや実際には小さな影響に対処するためだけに人生を地獄にしないことです。

コメント

  • 隠すことによるセキュリティとは、パスワードなどの秘密ではなく、何かを安全にするために隠されているアルゴリズムを指します。
  • ところで、私は'あなたが本当に質問に答えたとは思いません。OPがやや不合理なシナリオを提示しているので、実際にはあなたのせいではありません。
  • @JulianKnightなぜ私はリスクについて現実的ではないと思いますか？ StackExchangeパスワードなど、必要なセキュリティが少ないことに同意しますが、PIN番号はどうですか？パスワードマネージャーはここでは役に立ちません。'何らかの方法でそれらを書き留めても、財布が盗まれて銀行がこれを知った場合、私は全額の損害賠償責任を負う可能性があります。または、泥棒は3回しか試行しないため、非常に単純なアドホックなenでも心配する必要はありません。暗号化でうまくいくでしょうか？
  • Qからはそう見えました。 PIN 'とは、クレジットカード/銀行カードを意味しますか？私のはすべて、クラウドベースではないセカンダリPWマネージャーにありますが、覚えていない場合は、モバイルとデスクトップのクライアントがあります。覚えている強力なマスターコードを使用してください。評判の良い銀行は、物事を安全に管理したことであなたに信用を与えます-私は知っています、私は以前は1つの銀行で働いていました:)ほとんどの国では、合理的な注意を示した場合、あなたは責任を負いません。確かに英国/ EU /米国ではありません。
  • シナリオは完全に不合理です。市場に出回っているパスワードボールトは、@ user3657600 'の要件をほぼすべて満たしていますが、完全ではありません。これは本当に驚くべきことです。携帯電話の使用は常に安全性と実用性が低下します。'は間違いなく解決策ではありません。それが'がセキュリティデバイスが存在する理由です。解決策は、コンピューター上で簡単かつ相互運用可能なキーボード（Mooltipass、OnlyKey）として機能できるデバイスです。 'デバイスをキーボードとして使用できない場合に備えて、パスワードを表示するディスプレイが必要です。 ATM。暗号化および/または改ざん防止（Mooltipass）が必要です。

回答

興味深い質問。

あなたのポイント：

  • 侵害されたWebサイトから保護します。つまり、誰かがサイトAのデータベースを破壊し、Aのパスワードをプレーンテキストで取得できた場合、その人は取得しないでください。サイトBのパスワードに関する情報

  • 侵害されたローカルマシンに対して安全です。つまり、誰かが私のラップトップにマルウェアをインストールした場合でも、私のPINコードやその他のパスワードを取得できないはずです。侵害されたマシンで使用されていないもの

  • 盗難から保護されています。つまり、このメソッドには、盗まれた場合に泥棒が私のすべてを空にすることができる物理トークンを含めるべきではありません。アカウント。

  • ポータブル。つまり、ATMやお店で支払うときなど、コンピューターの前に座っていなくても機能するはずです。

  • データ損失に対して安全です。つまり、デバイスに障害が発生した場合にバックアップを作成できるようにしたいです。 、盗難など。

  • ツールなしで使用できる方法、または公開市場で簡単に/安価に購入できるポータブルデバイスを使用する方法に特に関心があります。デバイスが私のパスワードを明らかにしないことを合理的に確信できる限り。

まあ、それはきれいにはなりませんが、これは「ネットワーク化された」部分、および簡単/安価な部分。

RaspberryPiを購入します。速度とRAMを確保するためにPi2 Bを購入するか、イーサネットポートが必要ない場合はPiAとUSBハブを購入します。 。 WifiにはPiが付属していないので、「少なくとも安全です。

タッチスクリーンを購入してください。セットアップしてください。ポータブルキーボードとタッチパッドの組み合わせかもしれません。

セットスワップスペースをまったく使わずにRaspbianを使用して、KeePassXをインストールします。

Anker Powercore のようなUSBパワーバンクを購入します。 Piをリモートで実行できます。

または、あらゆる種類のラップトップまたはノートブックを入手して、ネットワークハードウェアを完全に取り外します。大型のもののほとんどのWifiはミニPCIeカードであり、簡単に取り外すことができます。イーサネットは、まあ、ポートを瞬間接着剤で満たします。繰り返しになりますが、KeePassX（またはKeePass）をインストールします。

理想的には、LUKS（Linux）またはVeracrypt（Windowsを使用する場合）のフルディスク暗号化もインストールします。

FIPS140をいくつか購入します。 -2つの検証済みUSBストレージデバイス。たとえば、安価な Apricorn AEGIS Secure Key USB2.0（USB3.0ドライブもはるかに大きく、価格もやや高い） 。

KeePassXデータベースをApricornドライブに配置します。あるアプリコーンから別のアプリコーンにバックアップします。

このデバイスを使用し、パスワードを積極的に取得している場合にのみアプリコーンを挿入します。完了したらすぐにApricornを必ず削除してください。

ハードウェアが安価になり、ベンダーロックインがまったく発生しなくなりました。

悪意のあるWebサイトと侵害されたマシンは、何を取得することしかできません。入力すると、データベースにアクセスできなくなります。

電源がオフのときにすべてが盗まれた場合、攻撃者は主にApricornパスワードを通過する必要があります（10回続けて間違った試行を行うと、ドライブ、そしてそれは最初に改ざん防止であることが検証されています）、そしてKeePassパスワードも通過します。

それはポータブルです-RaspberryPiを使用しても古いバッグフォンよりもポータブルです+バッテリー+キーボードの例。

データ損失に対して安全です-自宅に保管されているApricornAからApricornBにコピーし、安全な保管ボックスに保管されているApricornCなど。

回答

新しいPIゼロを使用して、まさにそれを行うことができます。フォームファクタが低いため、まさにこの理由から、ペリフェラルとして理想的です。また、覚えておいてください。すべてのパスワードが必要なわけではありません。

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です