Я долго собирал информацию о том, как организовать свои аккаунты. Как сделать доступ к ним достаточно надёжным и стойким к утере девайсов.
Меня интересовало, как я могу залогиниться туда, где многофакторная авторизация через телефон, в случае потери телефона.
Или, как обезопасить себя от забывания мастер пароля от менеджера паролей? На моей практике я несколько раз забывал пин-код от банковской карты, состоящий из 4-ёх цифр, после ежедневного использования на протяжении многих месяцев. Мозг - странная штука.
В итоге, спустя месяцы изучения темы, я пришёл к следующему сетапу, который решил описать в виде мануала.
Потребуется запомнить только 2 мастер пароля. Остальное будет доступно в комбинации с мастер паролями. (идея взята из этой статьи)
Схема защиты устройств и бэкапов моего сетапа
Чтобы проверить работоспособность схемы, попробуйте вычеркивать разные узлы (что будет значить, что узел утерян или недоступен). Проверьте, имеете ли вы доступ к своим аккаунтам без этого узла?
Например, если поломается телефон на котором приложение 2FA, сможете ли вы залогиниться в почту?
Так же для проверки представьте, что какие-то данные скомпрометированы. Например, если пароль от netflix по вине netflix попадёт к злоумышленникам, какие данные они смогут получить?
А если утечёт один из ваших мастер-паролей?
Сколько я не тестировал эту схемку, мне кажется, всё будет хорошо до тех пор, пока не утекут оба ваших мастер-пароля.
Инструкция
1. Придумайте два мастер-пароля
В начале придумываем надёжный пароль длиной в 14 символов для парольного менеджера.
Затем придумываем надёжный пароль длиной в 14 символов для шифрования.
14 символов вполне достаточно, что бы не сильно париться со спец-символами в пароле, но их наличие не повредит.
Буквы в верхних и нижних регистрах и цифры рекомендую добавить обязательно, так как это не создаёт неудобств при вводе пароля.
2. Создайте бэкап мастер-паролей
На случай если мы случайно забудем пароли, стоит их записать на бумажку. Чтобы повысить безопасность этой бумажки, следует добавить ещё 1 слой защиты. (идея взята из этой статьи)
С помощью Banana Split делим нашу заметку с паролями по схеме Шамира на несколько кусков, печатаем их и обязательно от руки дописываем фразу для восстановления.
Прячем эти куски по отдельности в физическом мире на случай, если забудем пароль.
По умолчанию будет 3 куска. Для восстановления данных понадобятся любые 2. Если кто-то случайно найдёт 1, он не только не поймёт что это, но и не сможет получить данные.
Пример 1.
1 кусок дома в сейфе, 1 кусок под чехлом телефона, 1 кусок дома у родителей в фотоальбоме с вашими фотками.
Если вы утопите телефон в реке - всё ок.
Если на ваш дом упадёт метеорит - всё ок.
Если вы поссоритесь с родителями и они решат сжечь альбом с вашими фотками - всё ок.
Если злоумышленник попытается получить ваши пароли, будет сложно достать даже 1 кусок, не говоря о двух.
Пример 2.
Вы поехали в путешествие. 1 кусок кидаем в чемодан, 1 кусок в чехол смартфона, 1 кусок оставляем в сейфе в номере. Какая бы ситуация не произошла, скорее всего всё будет ок.
Примечание: Banana Split красивая, но скорее для параноиков. И ещё она не работает на телефоне. Более простой вариант, который работает везде и тоже сохраняется в виде html-файла - реализация от Иана Коулмана
3. Заводим парольный менеджер
Регистрируемся в Bitwarden с паролем для парольного менеджера.
Можно использовать и другой менеджер, но этот:
облачный, значит будет доступен везде
исходные коды открыты, значит есть возможность детально разобраться как он работает под капотом и стоит ли ему верить
есть платная версия, а значит есть доходы, на которые его будут поддерживать
немецкий, а европейцы сильно помешаны на конфиденциальности(UPD: формально он в США)сквозное шифрование базы, а значит, без мастер пароля данные не доступны никому
ресурсо-стойкое шифрование, а значит, брутфорс будет невозможным, или дорогим
4. Подготавливаем 2FA (многофакторная авторизация)
Устанавливаем на телефон Aegis Authenticator и защищаем его паролем для шифрования + биометрией для удобства.
Можно использовать и другой аутентификатор, но этот:
приложение блокируется паролем и биометрией, а значит, если ваш телефон попадёт не в те руки, им это ничего не даст
исходные коды открыты, значит есть возможность детально разобраться как он работает под капотом и стоит ли ему верить
нидерландский, а европейцы сильно помешаны на конфиденциальности
сквозное шифрование базы, а значит, без мастер пароля данные не доступны никому
5. Добавляем 2FA в Bitwarden
Защищаем парольный менеджер при помощи 2FA Aegis
6. Подготавливаем шифровальный инструмент
Открываем веб версию Picocrypt, сохраняем её (жмём Ctrl+U, затем Ctrl+A, затем Ctrl+C, потом открываем текстовый редактор, жмём Ctrl+V и Ctrl+S) и копируем на все наши устройства и во все облака.
Можно использовать и другой шифратор, но этот:
автономный и кросс-платформенный, а значит будет работать и на телефоне, и на планшете, и на маке, и на винде
открытые исходные коды, есть даже инструкция по сборке и zip архив с исходниками всех зависимостей
автор - школьник азиатского происхождения, который пока слишком молод, чтобы творить зло (хотя это скорее минус, но более удобных альтернатив я пока не нашёл. Самое близкое - hat.sh)
7. Создаём бэкап 2FA
Экспортируем Aegis в не зашифрованном виде и шифруем с помощью Picocrypt, который мы только что везде сохранили.
В Aegis есть шифрованный экспорт, но так мы привяжем себя к инфраструктуре aegis, и если она окажется недоступной (приложение исчезнет из маркета), у нас могут появиться проблемы.
На случай, если ваш телефон сломался, а вам надо куда-то залогиниться, и другого телефона, чтобы установить aegis нету, можно воспользоваться 2FAuth, что бы 2FA был доступен с любого устройства. Но это сложный self-hosted инструмент, для которого нужен свой сервер и понимание что вы делаете, и как защитить ваши данные на серверном уровне.
8. Создаём облако для бэкапов инструментов авторизаций
Регистрируемся на Inbox.eu с паролем для шифрования. (Осторожно! Реферальная ссылка!)
Переходим в раздел файлов и загружаем туда бэкап из предыдущего шага и инструмент для расшифровки.
Можно и любое другое облако, потому что содержимое будет зашифровано собственными силами и утечки не критичны.
9. Добавляем нотификации для обновления бэкапов
Регистрируемся в rememberthemilk (пароль генерируем и храним в bitwarden)
Настраиваем ежемесячную задачу для напоминания о бэкапе. Настраиваем оповещение по email на вашу почту, на которую приходят ежемесячные счета для оплаты коммуналки.
Теперь раз в месяц вместе с оплатой счетов мы будем создавать 2 бэкапа - 2FA Aegis и Bitwarden и шифровать их с помощью Picocrypt.
Шифрованные файлы и файл Picocrypt для расшифровки будем закидывать на все наши личные устройства, личные облака, специальное облако для бэкапа авторизаций, на наш смартфон и на флэшку, которую будем хранить в сейфе.
Можно и любой другой инструмент нотификаций, главное, чтобы он был привязан к вашим ежемесячным привычкам (подробнее в книге Атомные привычки).
10. Создаём бэкап парольного менеджера
Экспортируем не шифрованный бэкап Bitwarden и шифруем его при помощи Picocrypt паролем от парольного менеджера.
В Bitwarden есть шифрованный экспорт, но так мы привяжем себя к инфраструктуре Bitwarden, и если она окажется недоступной (сервер уйдёт в оффлайн), у нас могут появиться проблемы.
11. Проверяем, что всё сделали правильно
Пробуем восстановить мастер-пароли через куски QR-кодов
Пробуем дешифровать бэкап паролей из парольного менеджера
Пробуем дешифровать бэкап 2FA
Пробуем стереть все данные в Bitwarden и восстановить по бэкапу
Пробуем удалить Aegis, установить его снова и импортировать бэкап
Пробуем залогиниться на облако бекапов авторизаций и скачать бэкапы
В день счетов проверяем свой почтовый ящик на наличие нотификации об обновлении бэкапов
Если все шаги проверены успешно, можно двигаться дальше.
Если что-то зафейлилос, надо попробовать исправить, либо повторить все шаги с самого начала, создав новые аккаунты.
12. Мигрируем
Идём по списку всех наших аккаунтов (список можно составить из головы + сохранённые пароли в браузере + списки oauth google и facebook) и:
меняем пароль на новый сгенерированный через Bitwarden
сохраняем новый пароль и авторизационные данные в Bitwarden
удаляем пароль из браузера
добавляем двухфакторную авторизацию через Aegis
Дополнительно
Чтобы упростить себе жизнь, можно купить физический ключ доступа в качестве дополнения второго фактора к Bitwarden.
Таким ключом может быть Yubico Security Key
Можно и другой, но этот:
шведский, а европейцы сильно помешаны на конфиденциальности
разработан в партнёрстве с Google, т.е. имеет стандарт поддерживаемый крупным игроком
относительно не дорогой, т.е. альтернатив дешевле я не встречал
других почти нет и выбор крайне ограничен
И ещё:
Для большей степени защиты можно использовать пароль, который дописывать после пароля из менеджера паролей. (идея взята из этой статьи)
Например, ваш дополнительный кусок пароля - bob.
Если в менеджере паролей хранится Wj8R#ieL, то для регистрации и логина вы его копируете и дописываете bob, чтобы получилось Wj8R#ieLbob.
Таким образом, если данные вашего парольного менеджера утекут, злоумышленник всё равно не будет иметь полных паролей.
По сути, таким образом мы добавили ещё один фактор.
Заключение
В заключении хочу добавить, что не следует быть параноиком, стоит просто соблюдать "гигиену" при организации логинов и паролей.
Ваши данные нужны кому-то только, если там детская порнография, или чёрная бухгалтерия с уходом от миллионов налогов.
Для нормального человека "гигиена" при организации логинов и паролей нужна для того, чтобы хакеры от вашего имени не рассылали спам и не занимались фишингом. Им интересны не данные, а возможность действовать от вашего лица.
Если в моём сетапе есть дыры, или вы знаете более хорошие альтернативы моим инструментам, смело отписывайте в комментариях.
