Комментарии 136
Тогда уж написать прогу под дройда для хранения паролей с шифрованием.
Бумажный блокнот можно потерять.Это очень просто решается: достаточно записать туда ключик от какого-нибудь электронного кошелька, где лежит кругленькая сумма. Ни за что не потеряете, охранять блокнотик будете как зеницу ока.
Главное, отключить не только паранойю, но и камеры, чтобы они не увидели содержимое блокнота.
А в plain text можно просто grep или поиск в FAR.
Чтобы найти что-то в эксельке, надо запускать эксельку.
Разве эта проблема не ушла с появлением *.xlsx, который суть *.xml в архиве?
Там формат далеко не человекочитаемый.
А если файлов десятки?
НЕ удобно.
У меня консоль или фар всегда запущены, так что мне особо без разницы. Зато я очень хорошо себе представляю возможные уязвимости текстового файла. А что внутри KeePass, LastPass и др — не знаю…
Почему-то не вышло легко посмотреть опенсорс, решили собрать денег на специалистов
https://habrahabr.ru/post/224491/
Вроде бы аудит прошел не выявив ничего серьезного, но появилась целая куча теорий на базе закрытия проекта и удаления старых бинарников, вместо которых появились новые, подписанные другим ключом.
«Если не считать «Блокнот» с шифрованием текстового файла, то в этой области нет явного лидера.», а если посчитать KeePassX?
в этой области нет явного лидера
Хм, а как же 1Password? Я как-то даже не задумывался о других вариантах...
В текущей не устраивает:
1. Ценовая политика.
2. Облако.
По-поводу 2: насколько вижу, можно спокойно создавать локальные хранилища. Более того, если захотите – можно эти локальные хранилища синхронизировать с девайсами несколькими способами (как минимум, через локальный сервер, поднимаемый самим приложением 1Password, либо через Dropbox).
Недавно вот покупал stand-alone версию (захотелось еще и на виндовую машинку поставить), дали нехилую скидку — вышло те же 30 баксов с копейками.
Если же речь о всяких форумах или еще о чем подобном, так и вовсе нет смысла паранойей мучиться. Я проще делаю – там где безопасность ни к чему, регистрируюсь везде с одним уникальным логином и простым паролем.
который хранится дома и лишь иногда (в командировках, например) носится с собой в бумажнике вместе с деньгами/карточками
А объединённый сервис, это вот такая череда граблей, как у LastPass.
По поводу паролей, думаю увести базу с дропбокса намного проще чем с LastPass, все-таки во втором случае безопасность в приоритете. Но в любом случае, что с дропбоксом что с LastPass, база без мастер пароля для злоумышленника никакой ценности не несет. Косяки могут быть с автозаполнением, и на первое место выходит пряморукость разработчиков плагинов. Глядя на многочисленные подделки плагинов для KeePass, к разработчикам LastPass как-то больше доверия, уж извините. Ну а если автозаполнение вообще отключить, можно спать спокойно.
Какие ещё «плагины под браузеры»? )
Плагин для того, чтобы зашел на сайт, одним кликом автозаполнил поля, другим кликом залогинился, и все, без постоянного ввода мастер пароля, без постоянного держания открытым десктопного клиента или других вспомогательных сервисов, без копирования данных в буфер обмена. Плагин, который установил из магазина, залогинился, и пользуешься, а не выполняешь инструкцию по установке на 10+ пунктов.
Про двуфакторную авторизацию из коробки уже писали.
![](https://habrastorage.org/files/5f8/096/574/5f8096574bfa4c87aad0fb05d754d801.png)
Не знаю, лично я, ради удобства, готов рискнуть быть взломанным с вероятностью меньше чем выиграть в лотерею. Тем более что особо важные ресурсы защищены двуфакторной авторизацией.
Кстати постоянное вбивания мастер пароля, использование буфера обмена, копипаст, открывают другие возможности для атаки, вероятность которых не факт что ниже вероятности попадания в одну из дыр облачных хранилищ с браузерными плагинами.
Тоже самое, только использую Dashlane и везде где важно есть 2ФА, плюс на телефоне можно разблокировать отпечатком, что бы не вводить каждый раз длинный пароль.
Пробовал KeePass, не удобно, но храню там на локалке копию, на всякий :)
А вот если для вас в большем приоритете некоторые удобные вам интерфейсные отличия — тогда да… можно рассматривать другие решения.
Не пользуюсь никакими плагинами для него, основного функционала более чем достаточно.
Пряморукость разработчиков можно проверять только по исходным кодам. LastPass уже стал опенсорсным? А судя по найденным уязвимостям…
Косяки случаются у всех, но утечки секретных данных в LastPass ещё не было (по крайней мере публично никто об этом не заявлял :).
Уж скорее ошибка дизайна.
но только для новой ветки 4.X, и её просто забыли перенести в ветку 3.Х.
Знакомо до боли. В России этим грешат сплошь и рядом, в том числе, для систем, обрабатывающих информацию на миллиарды рублей.
Есть простой способ "хранить" неограниченное число паролей, не прибегая к бумажным или электронным помощникам. Нужно всего лишь поставить пароль в зависимость от идентификатора сайта (домена) или приложения (названия) и рандомизировать это производной вашего единственного секретного слова. Т.е. password = f(id, secret). Например, взять от идентификатора 5 четных символов с конца и добавить к ним последние (len(id) mod 5) символов вашего секрета. Сложность функции зависит от вашей способности помнить и решать ее в уме, ну и от степени параноидальности. При должной сложности утечка одного пароля не сильно скомпрометирует вашу защиту.
Это удобно и имеет смысл в основном для разных некритичных сайтов, непременно требующих логин. Или когда пароль будет сменён в ближайшем будущем.
Я, например, этим способом пользуюсь, когда нахожусь где-нибудь „в гостях“. Добираюсь до своего компа — меняю пароль и заношу его в менеджер.
Куда, вернее, откуда он утечет? Приличный для бытового уровня хэш придумать можно. Добавить шифр Цезаря, например. Потребуется знание более одного пароля, чтобы восстановить метод. Разумеется, это применимо не ко всем случаям, но тогда и любой другой plain text применим не всегда.
Приличный для бытового уровня хэш придумать можно.
Это уже по принципу Неуловимого Джо. Хэш никто не взломает, пока он особо никому не нужен.
*Диоген mode on, torch fired up*
Эй, нормальные люди, вы еще остались? Есть те, кто свои секреты хранит при себе, а не доверяет третьим лицам?
P.S. В любом случае иметь везде один/два пароля это менее безопасно, чем везде разные, но хранящиеся в сейфе какого-нибудь сервиса. Плюс это еще и такой себе импровизированный менеджер аккаунтов — не нужно помнить какие акки у тебя есть.
пароли это просто пароли, камон! Главное чтобы они не достались злоумышленникам, остальное пофиг вообще.
Я не злоумышленник, имел привод в милицию в 16 лет, о вас не знаю ничего, кроме ника. Дайте, пожалуйста, мне пароль от вашей почты, связанной с аккаунтом на GT. :D
Ответ я уже представляю и сразу говорю: «вот то-то и оно».
Если вы обычный человек, а не робот само собой) Использовать 5 паролей на всё про всё, не предлагать.
Начну с того что для некритичных сервисов (Которые даже если угонят то это не страшно) можно использовать один пароль. Сколько останется? Для важных варианты.
0. Т.К. во многих вариантах я предложу использовать слова то этот общий. Придумать и запомнить правила замены букв на симовлы или на похожие из других языков. И менять на ï например.
1. Выучить длинное стихотворение. Придется помнить только позицию слова и применять к нему 0 правило.
2. Придумывать то с чем у вас ассоциируется то от чего этот пароль или для чего этот аккаунт. В 2-3 слова. «Аккавитодляработорговли» например. Естесственно применяем правло 0.
3. Помните каким по счету зарегистрировали аккаунт? Учитесь считать на 2-3 языках, пишете порядковый номер аккаунта. Это конечно уже посложнее, но все таки дает какую-то отправную точку для памяти.
Как-то так.
2) Часть надо зашерить с моим бизнес партнером. Часть — для семьи
3) В некоторых местах требуется пароль менять каждые пару месяцев. Поменять можно. Но есть 2)
4) Одни требуют пароль не длиннее 12 символов. А другие требуют безумные комбинации с использованием символов !@%:* и т.д. А у других запрещены такие символы.
5) Надо иметь доступ с домашнего компутера, с рабочего, с остальных (цм 2) выше)
Ну и как тут быть?
Идеального «ластпасса» не существует. Идеально хранить все пароли в голове. Но это нереально. На бумажке? А как срочно перезагрузить удаленный сервер, когда ты в аэропорту, тебе звонят и кричат в трубку, что ничего не работает. А пароль пришлось поменять позавчера, поскольку этого потребовал провайдер, а у тебя есть 10 мин до самолета и три попытки вспомнить пароль, прежде чем логин заблокируют.
А если взломают сервер банка, то пофигу, насколько хороший пароль я придумал.
Если захотят взломать меня персонально, то ничего не поможет
Поэтому мы используем ластпасс и довольны.
Крошка сын к отцу пришел
И сказала кроха
-Жить с ластпассом хорошо,
Без ластпасса — плохо
Да, там много разных сайтов и форумов, но как-то совершенно случайно так случилось, что примерно на трети я администратор/модератор.
Я давно перестал использовать одинаковые пароли для разных ресурсов, во избежание, потому что не всегда от меня может зависеть утечка пароля на каком-то ресурсе.
Я совершенно не хочу держать в голове, на каком ресурсе могут быть зависимости, в том числе финансовые или моральные. Поэтому для меня ЛЮБОЙ ресурс, где я регистрируюсь достаточно важен, чтобы я озаботился созданием рандомного несловарного пароля. И понятно, что держать в голове пароли, которыми пользуешься нечасто — нереально.
Да, я в курсе про технику «выбери яркий образ», и если бы я жил в камере для сенсорной депривации и никогда не пользовался Интернетом, то мог бы легко запомнить фразу-пароль типа «Вечеринка гигантских Марсианских насекомых». Увы, я пользовался Интернетом, а это значит, что я видел, слышал и местами даже платил деньги за всё, что только можно представить. Я видел видеоролик «Вечеринка гигантских Марсианских насекомых», и я видел другой видеоролик, «Вечеринка гигантских Марсианских насекомых: Не говори маме», и оба ролика мне сильно не понравились, но это меня не остановило и я снял продолжение, «Вечеринка гигантских Марсианских насекомых: Возмездие». Так что мне невероятно сложно придумать хорошо запоминающийся образ, чтобы он выделялся среди того бурлящего океана нелепостей, что заполняет мою голову в результате потребления 31 часов медиа-контента за каждые 24 часа. Придумать запоминающийся образ сложно, а чтобы жизнь мёдом не казалась, безопасники вдобавок говорят, для разных вебсайтов нужны разные пароли. Так что подразумевается, что я должен помнить и «Вечеринку гигантских Марсианских насекомых» и «Структурно непрочную сумку Йети», и каким-то образом вдобавок надо запомнить, которая из этих фраз для моего онлайн-банка, а которая для другого вебсайта, не имеющего ничего общего ни с внеземными насекомыми, ни со снаряжением Йети. Это варварство и я требую от жизни большего.
Какой же парольный менеджер теперь лучше? Может, вернуться всё-таки к «Блокноту»?
KeePass без всяких расширений к браузеру.
На мой взгляд, лучше всего локальная база и менеджер паролей с открытым исходным кодом. Плюс, периодический бекап базы (естественно, зашифрованной) в облако.
Уже много лет пользуюсь KeePassX — все устраивает.
Лучше уже несколько паролей запомнить и пусть на некритичных сайтах они совпадают.
Поправьте меня если я не прав, или не учитываю каких то особых случаев использования.
Наверное :)
Лучше всего использовать аппаратный менеджер, как, например, Pastilda или Mooltipass. Чисто программные менеджеры довольно уязвимы. Поддержите нас с Пастильдой на crowd supply!
Тут все рекламируют keepass. Он действительно настолько надежен, что ему нет альтернатив?
А как с надежностью его различных клиентов под разные системы, есть ли канонические (прежде всего Windows, Linux, Sailfish, Maemo6/MeeGo1.2)?
Может ли кто чего плохого/хорошего написать про MeePasswords? Или имеет смысл мигрировать с него на Keepass?
В журнале Х… р тестировали Ваш KeePas и ему подобные!!!
Самая главная проблема был в том, что пароли перехватывались на этапе копирования и вставки!
Что блокнот, что эксель, что облако ЦРУ… результат ОДИН,
Только один (забыл уже) с трудом прошел проверку.
И как предлагается запрос на сервер для входа, если не через API операционной системы?
mov eax, "site.com"
mov ebx, "pass=123&login=abc"
ajax
))?Вопрос с клавиатурой решается дополнительной клавиатурой, которая шифрует коды нажимаемых клавиш (по типу того, как это сделано в банкоматах). Запрос на сервер делается обычным образом — вот только отправляемые данные перед этим, опять-таки, шифруются.
Разумеется, для обычного парольного менеджера общего назначения ни то, ни другое решения не применимы.
Для ресурсов более-менее ценных имеется «хэш-функция» по части имён, дней рождений и знаков зодиака моих родственников… Так я знаю, что это «мамин сайт», это мой, это жены, это отца, это деда и т. д. Сбрутить сложно — пароли по 10-12 символов. Криптоаналитик, наверное, разгадает, но я — неуловимый Джо, так что пофиг.
Банк-клиенты и прочие важные вещи под двухфакторной аутентификацией с автосгенерёнными паролями по 50-60 символов (копи-паста из KeePass), либо отпечаток пальца (под Android).
*Paranoid mode on*
Самый действенный, на мой взгляд, вектор атаки — перехват содержимого буфера обмена. Какие-нибудь методы защиты придумал кто-нибудь? (кроме банальных вещей типа «не запускай чего ни попадя, не ходи по сомнительным ссылкам и т. д.)
*Paranoid mode off*
Не использовать буфер, очевидно же. Т.е. прямая вставка из менеджера в нужную форму.
Но, как уже говорили выше, если дошло до возможности следить за буфером — то тут уже поздно беспокоиться.
LastPass отдавал пароли из Chrome/FF/Edge и допускал удалённое исполнение кода