Mam wrażenie, że mam bardzo częsty problem. Mam zbyt wiele haseł do zapamiętania, a także PIN-y do kart kredytowych / debetowych, kody dostępu do drzwi w moim miejscu pracy lub zamki szyfrowe. Wydaje się, że nie jestem w stanie zapamiętać ich wszystkich, bez względu na to, jak bardzo się staram, a nie pamiętanie żadnego z nich w tym czasie może być niewygodne.

Szukam sposobu do bezpiecznego przechowywania haseł i kodów PIN. Metoda powinna być

  1. zabezpieczona przed włamaniami do witryn internetowych, tj. jeśli ktoś złamie bazę danych witryny A i zdoła uzyskać moje hasło do witryny A w postaci zwykłego tekstu, nie powinien wszelkie informacje o moim haśle do witryny B
  2. zabezpieczone przed zhakowaną maszyną lokalną, tj. jeśli ktoś zainstaluje złośliwe oprogramowanie na moim laptopie, nadal nie będzie mógł uzyskać moich kodów PIN i innych haseł, które nie są używane na zaatakowanym komputerze maszyna
  3. zabezpieczona przed kradzieżą, tj. metoda nie powinna obejmować fizycznego tokena, który w przypadku kradzieży umożliwi złodziejowi opróżnienie wszystkich moich kont.
  4. przenośny, tj. powinien pracować bez mnie siedzącego przed komputerem, na przykład w bankomacie lub podczas płatności w sklepie.
  5. zabezpieczyć przed utratą danych, tj. chcę móc tworzyć kopie zapasowe w przypadku awarii urządzenia, kradzieży itp.

To wyklucza kilka podejść, o których wiem i które zostały wcześniej omówione:

  • ponowne używanie haseł jest przeciwko (1)
  • zapisywanie haseł na kartce papieru jest przeciwko (3) i (5)
  • menedżerowi haseł na moim komputerze (online lub offline) jest przeciwko (4) i (2)
  • generowanie haseł w mojej głowie jest przeciwko (1) i (2), chyba że sama metoda jest bezpieczna. W przeciwnym razie jest to zasadniczo zabezpieczenie poprzez zaciemnienie i może działać tylko wtedy, gdy nie zbyt wielu korzysta z tej samej metody.
  • a token fizyczny zawierający wiele znaków do „generowania” haseł, wybierając inny punkt początkowy lub wzór do wybierania liter z tego tokena. Istnieje problem z regułą (3), jeśli metoda jest znana lub zbyt prosta, lub (1) i (2), jeśli metoda jest prosta, a token jest książką lub czymś powszechnie znanym. Znowu pachnie jak bezpieczeństwo poprzez mrok. Ponadto trudno jest wykonać bezpieczną kopię zapasową (5).
  • szyfrowanie danych na arkuszu papieru i odszyfrowywanie ich ręcznie to użycie niezabezpieczona metoda lub brzmi jak coś, czego nie mogę zrobić w mojej głowie (cieszę się, jeśli ktoś mnie poprawia). Pamiętaj, że nawet robienie tego na papierze nie jest dobrym pomysłem w supermarkecie, jeśli to oznacza, że ja Muszę bezpiecznie zniszczyć papier, na którym opracowałem swój kod PIN po każdym użyciu.

Moje pytanie brzmi zatem: czy istnieje sposób przechowywania / zapamiętywania haseł, który spełnia powyższe wymagania? Jedna możliwość przychodzi mi do głowy dedykowane urządzenie, które może wykonywać deszyfrowanie AES, więc mogłem przechowywać hasła zaszyfrowane hasłem głównym na moim smartfonie, a następnie użyć tego dedykowanego urządzenia, aby uzyskać hasło w postaci zwykłego tekstu, wprowadzając zaszyfrowane hasło i główne Byłbym szczególnie zainteresowany metodą, z której mogę korzystać bez żadnych narzędzi lub przy użyciu urządzeń przenośnych, z których korzystam można łatwo / tanio kupować na wolnym rynku, o ile mam pewność, że urządzenie nie ujawnia moich haseł. Oczywiście byłoby wspaniale, gdyby ta metoda była łatwa i szybka w użyciu.

Nie uważam siebie za poważnego celu, więc jestem skłonny założyć, że mógłbym kupić coś takiego jak kieszonkowy kalkulator Amazon bez kogoś, kto umieściłby w nim ukryty moduł GSM. Nie jestem jednak skłonny zakładać, że na danym smartfonie lub komputerze nie ma zainstalowanego konia trojańskiego.

Komentarze

  • Czy zaufałbyś staremu telefonowi, który ' nie ma łączności sieciowej i ma wyłączone Wi-Fi?
  • Wystarczy sejf i papierowy notatnik .
  • @DeerHunter Papierowy notatnik może zostać skradziony, jeśli nie jest w sejfie, a sejf nie jest zbyt przenośny.
  • @NeilSmithline Nie, jeśli nie ma sposobu, aby fizycznie temu zapobiec komunikowania się Nie chciałbym ' mu ufać.
  • Nawet jeśli będziesz mieć przy sobie wspomniany notatnik przez cały czas? Przykuty do dłoni w stalowej walizce z zabezpieczeniem urządzenie? Pamiętaj: w razie wątpliwości C4.

Odpowiedź

Myślę, że myślisz za dużo! Nie podchodzisz też realistycznie do zagrożeń.

Pamiętaj też, że każde hasło jest „zabezpieczeniem poprzez ukrywanie”, więc nie zawsze jest „złym chłopcem”, za jakiego się podaje.

Rozsądnym podejściem może być więc hybryda.

  • Loginy o niskiej czułości – użyj menedżera haseł. Większość z nich ma różne zabezpieczenia, które pomagają zmniejszyć ryzyko przejęcia danych przez złośliwe oprogramowanie. Funkcje uwierzytelniania dwuskładnikowego, które łagodzą wiele problemów. Przykłady : fora.
  • Loginy o średniej czułości – użyj menedżera haseł dla wygody, ale dodaj 2-czynnik uwierzytelnianie dla bezpieczeństwa. Zwykle przy użyciu telefonu lub innego urządzenia sprzętowego, takiego jak token. Miękkie tokeny, takie jak Google Authenticator, mogą być dobre, ponieważ nie są całkowicie zależne od jednego elementu sprzętu. Przykłady : media społecznościowe.
  • Dane logowania o wysokiej czułości – przechowuj część hasła w menedżerze haseł i użyj wzoru, aby resztę zatrzymać w swojej głowie, ale nadal uczyń go wyjątkowym dla każdej witryny! Jeśli jest dostępna, użyj także uwierzytelniania dwuskładnikowego. Przykład : bankowość i finanse

Z pewnością istnieje wiele innych sposobów na rozwiązanie tego problemu. Najważniejsze to rozsądnie myśleć o ryzyku i nie robić z życia piekła tylko po to, aby spróbować poradzić sobie z ryzykiem, które jest niewielkie lub w istocie wpływ, który byłby niewielki.

Komentarze

  • Bezpieczeństwo poprzez zaciemnienie odnosi się do algorytmu ukrytego w celu zabezpieczenia czegoś, a nie tajemnicy, takiej jak hasło.
  • Przy okazji, nie ' nie sądzę, że naprawdę odpowiedziałeś na pytanie. To nie twoja wina, ponieważ OP przedstawia nieco nierozsądny scenariusz.
  • @JulianKnight, jak myślisz, dlaczego nie jestem realistą w kwestii ryzyka? zgadzam się z Tobą, że potrzebne jest mniejsze bezpieczeństwo, np. dla mojego hasła StackExchange, ale co z numerami PIN? Mój menedżer haseł nie ' nie będzie tutaj pomocny, a jeśli zapiszę je w jakikolwiek sposób Mogę ponieść odpowiedzialność za pełne szkody, jeśli mój portfel zostanie skradziony, a bank się o tym dowie. A może nie powinienem się martwić, ponieważ złodziej będzie miał tylko trzy próby, więc nawet bardzo prosta doraźna szyfrowanie zrobi?
  • Z Q wydawało się, że tak. Przez PIN ' s masz na myśli karty kredytowe / bankowe? Moje wszystkie znajdują się w drugorzędnym PW mgr, który nie jest oparty na chmurze, ale ma klientów zarówno na urządzenia mobilne, jak i komputery stacjonarne, jeśli ich nie pamiętam. Użyj MOCNEGO kodu głównego, który pamiętasz. Szanowany bank przyzna Ci kredyt za bezpieczne zarządzanie sprawami – wiem, kiedyś dla niego pracowałem 🙂 W większości krajów NIE będziesz odpowiedzialny, jeśli wykażesz się należytą starannością. Na pewno nie w Wielkiej Brytanii / UE / USA.
  • Scenariusz jest całkowicie nierozsądny. Dostępne na rynku magazyny haseł spełniają prawie wszystkie wymagania @ user3657600 ', ale nie całkowicie. To naprawdę zaskakujące. Korzystanie z telefonu komórkowego zawsze będzie mniej bezpieczne i mniej praktyczne, więc zdecydowanie nie jest '. To ' jest powodem istnienia urządzeń zabezpieczających. Rozwiązaniem byłoby urządzenie, które może pełnić rolę klawiatury (Mooltipass, OnlyKey) do łatwego i interoperacyjnego użytkowania na komputerach. Potrzebuje wyświetlacza, na którym będzie widoczne hasło, na wypadek, gdybyś ' mógł używać urządzenia jako klawiatury, np. BANKOMAT. Musi być zaszyfrowany i / lub odporny na manipulacje (Mooltipass).

Odpowiedź

Ciekawe pytanie.

Twoje uwagi:

  • Zabezpiecz się przed zainfekowanymi witrynami, tj. jeśli ktoś złamie bazę danych witryny A i zdoła uzyskać moje hasło do A w postaci zwykłego tekstu, nie powinien dostać wszelkie informacje o moim haśle do witryny B

  • zabezpieczone przed zhakowanym komputerem lokalnym, tj. jeśli ktoś zainstaluje złośliwe oprogramowanie na moim laptopie, nadal nie będzie mógł uzyskać moich kodów PIN i innych haseł które nie są używane na zhakowanej maszynie

  • zabezpieczone przed kradzieżą, tj. metoda nie powinna obejmować fizycznego tokena, który w przypadku kradzieży pozwoli złodziejowi opróżnić wszystkie moje kont.

  • przenośny, tzn. powinien działać bez siedzenia przed komputerem, na przykład w bankomacie lub podczas płatności w sklepie.

  • zabezpieczony przed utratą danych, tj. chcę mieć możliwość wykonywania kopii zapasowych w przypadku awarii urządzenia , kradzież itp.

  • byłby szczególnie zainteresowany metodą, z której mogę korzystać bez żadnych narzędzi lub przy użyciu urządzeń przenośnych, które mogę łatwo / tanio kupić na wolnym rynku, tak długo, jak mogę być dość pewny, że urządzenie nie ujawnia moich haseł.

Cóż, to nie będzie ładne, ale może to spotkać się z część sieciowa i ta łatwa / tania część.

Kup Raspberry Pi – najlepiej Pi 2 B dla szybkości i pamięci RAM lub Pi A i koncentrator USB, jeśli nie chcesz portu Ethernet . Żadne Pi nie jest dostarczane z Wi-Fi, więc jesteś tam przynajmniej bezpieczny.

Kup do niego ekran dotykowy. Ustaw to. A może przenośną kombinację klawiatury i touchpada.

Ustaw z Raspbian bez żadnego miejsca na wymianę i zainstaluj na nim KeePassX.

Kup bank mocy USB, taki jak Anker Powercore , więc możesz uruchomić Pi zdalnie.

Alternatywnie, weź dowolnego laptopa lub notebooka i całkowicie usuń sprzęt sieciowy – Wi-Fi w większości większych to karta mini-PCIe, której usunięcie jest banalne. Ethernet, cóż, napełnij port superglue. Ponownie zainstaluj KeePassX (lub KeePass).

Najlepiej zainstalować LUKS (Linux) lub Veracrypt (jeśli nalegasz na Windows) również pełne szyfrowanie dysku.

Kup kilka FIPS 140 -2 Zatwierdzone urządzenia pamięci masowej USB, takie jak tańsze Apricorn Bezpieczny klucz AEGIS USB2.0 (mają też znacznie większe dyski USB 3.0 za nieco wyższą cenę) .

Umieść bazę danych KeePassX na dysku Apricorn; Kopie zapasowe z jednego Apricorna do drugiego.

Używaj tego urządzenia i wkładaj Apricorn tylko podczas aktywnego pobierania haseł. Zawsze usuwaj Apricorna, gdy tylko skończysz.

Teraz masz tani sprzęt i w ogóle nie masz żadnego dostawcy.

Złośliwe witryny i zainfekowane maszyny mogą uzyskać tylko to, co wpisujesz je; nigdy nie mają dostępu do bazy danych.

Jeśli wszystko zostanie skradzione podczas wyłączania zasilania, atakujący musi przede wszystkim ominąć hasło Apricorn (gdzie dziesięć niepoprawnych prób z rzędu usuwa dysk i jest sprawdzony jako odporny na manipulacje w pierwszej kolejności), a następnie poza hasłem KeePass.

Jest przenośny – bardziej przenośny niż stare telefony typu bagphone, nawet z Raspberry Pi + bateria + przykład klawiatury.

Jest zabezpieczony przed utratą danych – kopia z Apricorn A do Apricorn B przechowywana w domu, Apricorn C przechowywana w skrytce depozytowej itp.

Odpowiedź

W tym celu możesz użyć nowego zerowego PI. Niska obudowa sprawia, że idealnie nadaje się jako urządzenie peryferyjne właśnie z tego powodu. Pamiętaj też, nie potrzebujesz wszystkich swoich haseł przy sobie.

Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *