Una minaccia da tenere in considerazione è l'aggiornamento a Google Drive / Google Docs. Ad esempio aggiungono una funzione per l'auto-cache dei file usati di frequente e all'improvviso è tutto sul telefono in chiaro. In effetti potrebbe già essere lì. Oppure l'utente installa l'app di Google Drive con le opzioni predefinite per un motivo non correlato. Le grandi aziende di web-app si preoccupano della praticità e delle funzionalità, meno della sicurezza in senso stretto (2FA è una cosa, ma una volta che i dati sono nella tua mano è il tuo problema).

Quando pensi alla sicurezza, devi essere in grado di dire:

• quale minaccia vuoi indirizzare
• quale attaccante vuoi proteggere da

e poi rivedere i possibili punti deboli.

Un file di accesso limitato su un'unità Google ben configurata è protetto correttamente da tutti gli attacchi del ragazzo della porta accanto. Come dici tu che l'account Google è 2 modi protetti (cosa intendi esattamente?) Un ragazzo che non può indovinare come accedere non può accedere al file ... purché tu abbia piena fiducia in Google! / p>

E qui arrivano le debolezze ...

• poiché il file ha solo accesso limitato, qualsiasi dipendente di Google con privilegi di amministratore può leggerlo: sai quanti di questi esistono?
• Google è un'azienda nota per l'eccellenza tecnica, quindi il rischio che venga violato è ragionevolmente basso. Ma cosa succede se un dipendente licenziato decide di rendere i file pubblici di Google spacciati per vendetta, semplicemente perché sarebbe dannoso per la reputazione di Google?
• a causa del Patriot Act, le agenzie statunitensi di servizi di consulenza possono accedere a qualsiasi dato proveniente da società statunitensi e Google è uno di questi. Che sia o meno un problema dipende da te.

Per questo motivo, non memorizzerei mai le password in un file crittografato in modo non sicuro. Google Drive è sicuramente un repository corretto, ma preferirei utilizzare un file Keypass - che può essere sincronizzato da qualsiasi dispositivo - piuttosto che un semplice foglio di calcolo.

1. The document is on his personal Google drive protected by Google, as for the external attacks. So the location is more secure than e.g. his PC.
2. The access to document needs google login, which is 2-way secured.

Va bene se ti fidi di Google, compresi i molti dipendenti di Google con privilegi di amministratore, ritieni che Google non possa essere compromesso, e il governo che richiede i tuoi dati non è una delle tue preoccupazioni. Direi che è difficile dire che sia più sicuro di un PC, se ci si adopera per proteggere il PC.

3. The URL to that document is not known to anyone else except himself, his browser, and the shortener service, all of whom cannot access the document without login details. Rest of the world doesn't know the location/URL.
4. He opens the document only on his PC, laptop, and mobile.

Questa è sicurezza per oscurità e non è affatto un buon consiglio. Non si dovrebbe considerare questo tipo di cose come aggiungere sicurezza. Questi dati si diffondono in molti modi, come la cronologia del browser e forse anche i proxy.

Lasciami aggiungere un'altra cosa. Se per caso consente a un'app di accedere al proprio dispositivo Google utilizzando l'API di Google, potrebbe esporre questo file. Ho visto molte app che richiedono il pieno accesso all'API di Google Drive per funzionare.

Detto questo, non vedo perché uno preferirebbe fidarsi del foglio di calcolo di Google per questo, invece dei provider specializzati di cloud storage di sicurezza, come Lastpass, che sono focalizzati sulla protezione di questo tipo di dati e aggiungere così tante misure di sicurezza extra (che per non dire che sono MOLTO più utilizzabili).

Can you suggest an alternative as easy as typing a URL everytime he needs to recall a password?

Potresti aumentare notevolmente la sicurezza di ciò aggiungendo un piccolo aggiustamento:

Invece di utilizzare un foglio Google, memorizzare le password in un file di documento che può essere aperto da tutti i suoi dispositivi, crittografarlo con una crittografia avanzata utilizzando una password complessa diversa rispetto a quella utilizzata per l'account Google per accedere al file, quindi caricare il file su Google Drive.

Ad esempio, un file MS Excel 2007 (o più recente) può essere crittografato con AES a 128 bit.

Con questo approccio ottieni tutti i vantaggi e le comodità per la sicurezza forniti da Google, ma ottieni anche il vantaggio che anche se il tuo account Google è compromesso (o accessibile da un dipendente di Google), nessuno al mondo diverso da quello che puoi apri il file senza conoscere la password.

Il lato negativo è che devi digitare una password ogni volta per aprire il file, ma se sei veramente preoccupato per la sicurezza, questo è un pro piuttosto che un con.

Aggiornamento : di recente ho iniziato a utilizzare un nuovo gestore di password e ho deciso di memorizzarlo sul mio Google Drive in modo tale che tutti i miei dispositivi possano accedervi (e Drive lo fa in automatico per te in caso hai mai bisogno di ripristinare una versione precedente). Questo è fondamentalmente lo stesso principio del documento Excel criptato, con la sola differenza che il gestore usa AES 256 invece di AES 128, e c'è un'app mobile dedicata e un software desktop, che lo rende molto più facile da usare rispetto a un excel documento. Impedisce anche la tracolla consentendo di copiare le password senza visualizzarle. Esorto caldamente chiunque faccia il documento di Excel criptato a prendere in considerazione il passaggio a un gestore dedicato. È molto più pulito e più efficiente da usare.

Questa non è una pratica così negativa come si potrebbe pensare. Affronterò questo in un senso del mondo reale e tralasciamo alcune delle cose più tecniche.

Per prima cosa, quando misuro la sicurezza, di solito cerco di andare "migliore o peggiore" come quando sei all'oculista. Cercare di essere totalmente sicuro è uno scherzo, mentre allo stesso tempo non dovresti ignorare la sicurezza.

Quindi il suo metodo batte - note appiccicose, una password comune (condivisa), un file sul suo disco rigido, un foglio di carta con tutte le password scritte su di esso, un file non criptato su un servizio come dropbox (che crea file reali ).

Il suo metodo è meno sicuro di un gestore di password basato su cloud, un gestore di password basato su file locale. (Questo è quanto ho intenzione di andare con il più sicuro perché è più probabile che un normale utente PC possa andare.)

Quindi non sta andando male. È più sicuro quindi probabilmente il 90% degli utenti su Internet. Ancora più importante, è consapevole della necessità di essere sicuro e ha fatto alcuni passi.

Per quanto riguarda i "vettori di attacco" ce ne sono davvero pochi. Qualcuno con accesso fisico alle sue macchine (un gioco in ogni modo), qualcuno ha hackerato il suo account google. Sì, ce ne sono altri, ma anche i migliori gestori di password devono crittografare le cose in modo che possano essere decifrate. Quindi qualcuno che va da Google e accedendo al "suo" foglio di calcolo e rubando il suo ID, è pressappoco lo stesso di qualcuno che sta facendo il servizio postale a LastPass e sta invertendo l'hashing su alcuni dei file e usando quello.

Tuttavia, se qualcuno dovesse hackerare il suo account Google, è tutto finito, ma ancora una volta può essere vero per qualsiasi gestore di password basato su cloud o ospitato.

L'ultimo vettore è il più importante. Poiché sta utilizzando un servizio che non è destinato a memorizzare dati sensibili, non è possibile per un browser o un computer dire che i dati sono sensibili. Quindi, come altri hanno affermato, il documento o parti di esso possono essere memorizzati nella cache su telefoni o computer nel testo del piano. Veramente penso che questo sia il rischio più grande che affronti.

Quindi, è abbastanza sicuro da tenere i codici di lancio di nuke, probabilmente no, è abbastanza sicuro da contenere i suoi dati, è già sopra la media. Se fosse mio fritto gli consiglierei di guardare LastPass o Keepass come alternativa. Lastpass in particolare dovrebbe essere un passaggio molto semplice per lui.

P.S.

Non sto cercando di difendere questo come un modo di archiviare informazioni, sto semplicemente affermando che, il suo metodo è migliore di alcuni, e peggio di alcuni, e spetta all'utente decidere la quantità di sicurezza di cui hanno bisogno. Sarei più estatico se potessi convincere mia nonna a usare questo metodo.

Lasciando fuori dalla sicurezza la sicurezza di Google Documenti, il tuo amico non dà al browser la minima possibilità di accedere a informazioni sensibili. Di conseguenza, dovrebbero aspettarsi che le loro password vengano salvate in file casuali all'interno della directory della cache del browser e nel file di scambio se ne trovano uno.

Il tuo amico è meglio memorizzare le sue password in chiaro sui loro computer: almeno non avranno il falso senso di sicurezza in quel modo. Ovviamente, una soluzione consigliata è utilizzare un gestore di password.

Ecco qualcosa da considerare che gli altri rispondenti non hanno:

Se il file è accessibile in in qualsiasi modo , ALL delle password viene compromesso.

Un gestore di password degno di questo nome esporrà solo una password per ciascun utilizzo.

"Ma come si può rompere? Ha