Комментарии 35
В Keepass автоввод можно гибко настроить под любой порядок ввода логина и пароля
PS недавно они «освежили» дизайн. Если бы убрали двухэтажный вход, было бы идеально.
но пошагово не получается
Это как? Перефразируйте. Вы два раза нажимаете ctrl+alt+a?
Я лично таким образом большинство двухэтажных форм победил.
Или так.
Через костыль {DELAY xxxx}
Это не костыль, оно специально для таких форм и создано.
Это не костыль, оно специально для таких форм и создано.Кажется, это и есть определение костыля, не для кипаса, а для таких идиотских форм, а их все больше.
Юзерям тяжелее пропагандировать менеджеры паролей, когда с точки зрения этого самого юзера для ввода л/п ему надо провести сложный магический ритуал.
Я использую персональный битварден и не в виде расширения браузера, а отдельным приложением, просто оттуда копирую то что нужно. Так лучше?
Относительно небезопасно, лучше - отдельным приложением. С точки зрения векторов атаки, рассматриваемых в статье, не важно оффлайн или онлайн, важно, что расширение фундаментально более уязвимо.
мне кажется, что статья в принципе про то, что через джаваскрипт можно все стащить, не важно где хостится твой блоб.
От фишинга не будет защиты, всё ещё можно обмануться похожей на реальную страницу.
Епрст.
Уже сам заголовок наводит выглядит небезопасно.
Использование онлайн менеджера паролей так же является их бэкапом, на который все так часто забивают.
Так что ещё вопрос: если отключить функцию автоматической вставки паролей, то есть ли реализуемый на практике вектор атаки по стыриванию паролей, столь же реальный, как и фишинг.
Я провел немало времени, чтобы понять, что такое "поверхность атаки". А вы?
Это просто специфический термин.
https://ru.wikipedia.org/wiki/%D0%9F%D0%BE%D0%B2%D0%B5%D1%80%D1%85%D0%BD%D0%BE%D1%81%D1%82%D1%8C_%D0%B0%D1%82%D0%B0%D0%BA%D0%B8
Как-то перед внутренним взором автоматически нарисовалась поверхность (именно в геометрическом смысле), натянутая на вектора атаки (именно в виде стрелочек) и мне настолько картинка целостной показалась, что вопрос сам отвалился)
xakep.ru/2006/12/16/35784
А в целом — безопасность это про компромисс. Автор предлагает использовать браузерную функциональность, но никак не поясняет, что делать, когда ты хранишь пароли не для браузера, или двухфакторный калькулятор, или у тебя украли комп, или у тебя те же сайты на телефоне, и тебе надо второй раз все пароли вводить (считаем, что мы не используем синхронизацию паролей, потому что автор против неё).
Или тебе надо хранить сканы документов, шифрованные записки, и т.д.
Менеджер Bitwarden в виде расширения браузера не использует скрипты контента для вставки пароля. В данном случае чем опасно его использование?
Расширение браузера спасает от банального фишинга – пароль не подставится, если адрес/страница не те, что записаны в менеджере паролей
Браузеры сегодня не поставляют функционал крипто-блокнотов или хранилища файлов
Также они не умеют объединять пароли в группы, например, если хочется сделать отдельный кошелёк для видео-подписок и шарить его с семьёй
В случае дефейса – вообще без разницы, кто источник введённого пароля, т.к. даже при ручном вводе пароль попабает на страницу с чужими скриптами
Нормальный менеджер паролей не предлагает/не подставляет пароли каждый раз, при входе на сайт. Функционал должен отключаться по истечении каких-то первых минут использования
Используя не расширение браузера, а отдельное приложение – люди не только могут не заметить фишинг, но и перемещают свои пароли через буфер обмена на ту же страницу. JS с ним также умеет работать, а ещё другие фоновые приложения...
Браузерные автофиллы работают как-то таки странно и не сильно завязываются на адрес страниц, как следствие можешь засветить пароль от ресурса А на ресурсе Б
Имхо – в большинстве случаев, при осознанном подходе, использовать менеджеры паролей таки будет лучше, чем браузер, который у тебя может синкаться с незапаролленым планшетом, соответственно все пароли утекают, при потере одного устройства. Либо ты шаришь пасс с семьёй путём копирования и теряют девайс они
Также сомневаюсь, что многие простые пользователи дополнительно устанавливают мастер-пароль в браузер, а менеджер паролей, даже в виде расширения, этот момент обязательно учитывает
В целом посыл у автора хороший, но не без изъянов. В некоторых ситуациях выводы автора напротив могут привести к состоянию угрозы
На злобу дня – в одном из менеджеров паролей был плохой рандом
https://donjon.ledger.com/kaspersky-password-manager/
Опасности пользования онлайн-менеджерами паролей