Jeg føler at jeg har et veldig vanlig problem. Jeg har for mange passord å huske, samt PIN-koder for kreditt- / debetkort, adgangskoder for dører på arbeidsplassen min eller kombinasjonslåser. Jeg ser ikke ut til å være i stand til å huske dem alle uansett hvor hardt jeg prøver, og jeg kan ikke huske noen av dem på den tiden som jeg trenger, kan være upraktisk.

Jeg leter etter en måte for å lagre passord og PIN-koder på sikker måte. Metoden skal være

  1. sikker mot kompromitterte nettsteder, dvs. hvis noen bryter databasen til nettsted A og klarer å skaffe passordet mitt for A i ren tekst, bør han ikke få all informasjon om passordet mitt for nettsted B
  2. som er sikkert mot en kompromittert lokal maskin, dvs. hvis noen installerer skadelig programvare på den bærbare datamaskinen min, kan han fremdeles ikke kunne få PIN-kodene mine og andre passord som ikke brukes på den kompromitterte maskin
  3. sikker mot tyveri, dvs. metoden skal ikke innebære et fysisk token som, hvis den blir stjålet, vil tillate en tyv å tømme alle kontoene mine.
  4. bærbar, dvs. jobbe uten at jeg sitter foran datamaskinen, for eksempel i minibank eller når jeg betaler i en butikk.
  5. sikker mot tap av data, dvs. jeg vil kunne ta sikkerhetskopier i tilfelle enhetsfeil, tyveri osv.

Det utelukker noen få tilnærminger som jeg er klar over og som har blitt diskutert tidligere:

  • gjenbruk av passord er mot (1)
  • nedskriving av passord på et ark er mot (3) og (5)
  • passordbehandling på datamaskinen min (online eller offline) er mot (4) og (2)
  • genererer passord i hodet mitt er mot (1) og (2) med mindre selve metoden er sikker. Ellers er dette i hovedsak sikkerhet gjennom uklarhet og kan bare fungere så lenge ikke for mange bruker samme metode.
  • a fysisk token som inneholder mange tegn for å «generere» passord ved å velge et annet utgangspunkt eller mønster for å velge bokstaver fra det tokenet. Det er et problem med regel (3) hvis metoden er kjent eller for enkel, eller (1) og (2) hvis metoden er enkel og token tilfeldigvis er en bok eller noe annet allment kjent. Igjen lukter det sikkerhet gjennom uklarhet. I tillegg er det vanskelig å sikkerhetskopiere sikkert (5).
  • kryptering av data på et papirark og dekryptering manuelt bruker enten en usikker metode, eller høres ut som noe jeg ikke kan gjøre i hodet mitt (jeg er glad hvis noen korrigerer meg på denne). Merk at selv å gjøre det på papir ikke er en god idé i et supermarked hvis det betyr at jeg må ødelegge papiret som jeg har utarbeidet PIN-koden min på etter hver bruk.

Spørsmålet mitt er derfor: Er det noen måte å lagre / huske passord som tilfredsstiller kravene ovenfor? En mulighet som kommer til å tenke meg er en dedikert enhet som kan utføre AES-dekryptering, så jeg kunne lagre passord som ble kryptert med et hovedpassord på smarttelefonen min, og deretter bruke den dedikerte enheten til å skaffe et passord med ren tekst ved å skrive inn det krypterte passordet og master passord. Jeg vil være spesielt interessert i en metode som jeg kan bruke uten verktøy, eller bruke bærbare enheter som jeg kan kjøpe enkelt / billig på det åpne markedet, så lenge jeg kan være rimelig sikker på at enheten ikke avslører passordene mine. Selvfølgelig ville det være flott om metoden var enkel og rask å bruke.

Jeg anser meg ikke som et høyt profilert mål, så jeg er villig til å anta at jeg kan kjøpe noe som en lommeregner på Amazon uten at noen har en skjult GSM-modul i den. Jeg er imidlertid ikke villig til å anta at en gitt smarttelefon eller datamaskin ikke har en trojansk hest installert.

Kommentarer

  • Vil du stole på en gammel telefon som ikke ‘ ikke har nettverkstilkobling og har WiFi slått av?
  • Et safe og en notatbok vil gjøre .
  • @DeerHunter Notatbok for papir kan bli stjålet hvis ikke i et safe, og et safe ikke er veldig bærbart.
  • @NeilSmithline Nei, hvis det ikke er noen måte å fysisk hindre det i å kommunisere, jeg vil ikke ‘ ikke stole på det.
  • Selv om du til enhver tid holder notatboken på deg? Lenket til hånden din i en stålhylse med en antitempering Husk: når du er i tvil, C4.

Svar

Jeg tror at du overtenker ting! Du er heller ikke realistisk med tanke på risikoen.

Husk også at ethvert passord er «sikkerhet gjennom uklarhet», så det er ikke alltid «den dårlige gutten» det er laget for å være.

Så en fornuftig tilnærming kan være en hybrid.

  • Logins med lav følsomhet – bruk en passordbehandling. De fleste har forskjellige beskyttelser for å redusere risikoen for kapring av skadelig programvare. Mange har også 2-faktor autentiseringsfunksjoner som reduserer mange problemer. Eksempler : forum.
  • Middels følsomhetspålogging – bruk passordbehandling for enkelhets skyld, men legg til 2-faktor autentisering for sikkerhet. Vanligvis bruker du telefonen eller en annen maskinvareenhet, for eksempel et token. Myke tokens som Google Authenticator kan være bra, da de ikke er helt avhengige av en maskinvare. Eksempler : sosiale medier.
  • Innlogginger med høy følsomhet – Lagre en del av passordet i passordbehandling og bruk et mønster for å holde resten i hodet, men gjør det likevel unikt for hvert nettsted! Bruk også 2-faktor godkjenning hvis tilgjengelig. Eksempel : bank og finans

Det er absolutt mange flere måter å kutte dette på. Det viktigste er å tenke på risikoen fornuftig og ikke gjøre livet til helvete bare for å prøve å håndtere en risiko som er liten eller faktisk en innvirkning som vil være liten.

Kommentarer

  • Sikkerhet gjennom uklarhet refererer til at en algoritme er skjult for å gjøre noe sikkert, ikke en hemmelighet som et passord.
  • BTW, jeg don ‘ ikke tro at du virkelig svarte på spørsmålet. Egentlig ikke din feil da OP presenterer et noe urimelig scenario.
  • @JulianKnight hvorfor tror du jeg ikke er realistisk om risikoen? Jeg er enig med deg i at mindre sikkerhet er nødvendig for eksempel for StackExchange-passordet mitt, men hva med PIN-nummer? Passordadministratoren min vant ‘ t være nyttig her, og hvis jeg skriver dem ned på noen måte Jeg kan være ansvarlig for full skade hvis lommeboken blir stjålet og banken får vite om dette. Eller burde jeg ikke være bekymret fordi en tyv bare vil ha tre forsøk, så til og med en veldig enkel ad hoc no cryption vil gjøre?
  • Fra Q virket det slik. Med PIN ‘ s mener du kreditt- / bankkort? Mine er alle i en sekundær PW mgr som ikke er skybasert, men som har klienter for mobil så vel som stasjonær burde jeg ikke huske en. Bruk en STARK hovedkode du husker. En anerkjent bank vil gi deg kreditt for å ha håndtert ting trygt – jeg vet, jeg jobbet tidligere for en 🙂 I de fleste land vil du IKKE være ansvarlig hvis du viser rimelig forsiktighet. Absolutt ikke i Storbritannia / EU / USA.
  • Scenariet er helt urimelig. Passordhvelv på markedet oppfyller nesten alle @ user3657600 ‘ s krav, men ikke helt. Dette er virkelig overraskende. Å bruke mobiltelefon vil alltid være mindre sikker og mindre praktisk, det ‘ er definitivt ikke en løsning. Derfor ‘ hvorfor det finnes sikkerhetsenheter. Løsningen vil være en enhet som kan fungere som et tastatur (Mooltipass, OnlyKey) for enkel og interoperabel bruk på datamaskiner. Det trenger en skjerm for å vise passordet i tilfelle du ‘ t kan bruke enheten som et tastatur, f.eks. Minibank. Den må være kryptert og / eller tålebestandig (Mooltipass).

Svar

Interessant spørsmål.

Dine poeng:

  • sikre mot kompromitterte nettsteder, dvs. hvis noen bryter databasen til nettsted A og klarer å skaffe passordet mitt for A i ren tekst, bør han ikke få all informasjon om passordet mitt for nettsted B

  • sikkert mot en kompromittert lokal maskin, dvs. hvis noen installerer skadelig programvare på den bærbare datamaskinen min, kan han fortsatt ikke kunne få PIN-kodene og andre passord som ikke brukes på den kompromitterte maskinen

  • sikker mot tyveri, dvs. metoden skal ikke innebære et fysisk symbol som, hvis den blir stjålet, vil tillate en tyv å tømme alle mine kontoer.

  • bærbar, dvs. det skal fungere uten at jeg sitter foran datamaskinen min, for eksempel i minibank eller når jeg betaler i en butikk.

  • sikker mot datatap, dvs. jeg vil være i stand til å ta sikkerhetskopier i tilfelle enhetsfeil , tyveri osv.

  • ville være spesielt interessert i en metode som jeg kan bruke uten verktøy, eller bruke bærbare enheter som jeg kan kjøpe enkelt / billig på det åpne markedet, så lenge jeg kan være rimelig sikker på at enheten ikke avslører passordene mine.

Vel, det kommer ikke til å være pent, men dette kan møte «ikke nettverksbasert del, og den lett / billig delen.

Kjøp en Raspberry Pi – helst en Pi 2 B for hastighet og RAM, eller en Pi A pluss en USB-hub hvis du ikke vil ha Ethernet-porten . Ingen Pi kommer med Wifi, så du er i det minste trygg der.

Kjøp en berøringsskjerm for den. Sett det opp. Og kanskje en bærbar tastatur- / pekeplate-kombinasjon.

Sett opp med Raspbian uten å bytte plass i det hele tatt, og installer KeePassX på den.

Kjøp en USB-strømbank som en Anker Powercore så du kan kjøre Pi eksternt.

Alternativt, skaff deg hvilken som helst bærbar PC eller bærbar PC og fjern nettverksmaskinvaren helt – Wifi på de fleste større er et mini-PCIe-kort, trivielt å fjerne. Ethernet, vel, fyll porten med superlim. Igjen, installer KeePassX (eller KeePass).

Ideelt sett installerer du også LUKS (Linux) eller Veracrypt (hvis du insisterer på Windows) full diskkryptering.

Kjøp noen FIPS 140 -2 Validerte USB-lagringsenheter, som den billigere Apricorn AEGIS Secure Key USB2.0 (de har også mye større USB3.0-stasjoner, til en noe høyere pris) .

Sett KeePassX-databasen på Apricorn-stasjonen; sikkerhetskopier fra ett aprikorn til et annet.

Bruk denne enheten, og sett inn aprikornet ditt bare når du aktivt får passord. Fjern alltid aprikornet så snart du er ferdig.

Nå har du billig maskinvare og ikke noe låsning av leverandører i det hele tatt.

De ondsinnede nettstedene og kompromitterte maskiner kan bare få det som du skriver inn i dem; de har aldri tilgang til databasen.

Hvis det hele blir stjålet mens det er slått av, må angriperen først komme forbi Apricorn-passordet (der ti feil forsøk på rad tørker stasjonen, og det er validert for å være manipulasjonsbestandig i utgangspunktet), og deretter forbi KeePass-passordet også.

Det er bærbart – mer bærbart enn gamle bagphones, selv med Raspberry Pi + batteri + tastatureksempel.

Det er sikkert mot datatap – kopi fra Apricorn A til Apricorn B oppbevart hjemme, Apricorn C oppbevart i en safe osv.

Svar

Du kan bruke den nye PI-null til å gjøre nettopp det. Den lave formfaktoren gjør den ideell som en perifer av nettopp denne grunn. Husk også, du trenger ikke alle passordene dine med deg.

Legg igjen en kommentar

Din e-postadresse vil ikke bli publisert. Obligatoriske felt er merket med *