Dovrebbe essere memorizzata una chiave di recupero 2FA insieme a una password?

Question

Dovrebbe essere memorizzata una chiave di recupero 2FA insieme a una password?

#1 da (2 voti)
#2 da (0 voti)

6

Molti siti web ti forniscono una chiave di ripristino o un elenco di codici di ripristino che possono essere utilizzati al posto di token 2FA se perdi il telefono o non riesci ad accedere al tuo generatore di token.

Quali sono le pratiche consigliate quando si tratta di memorizzare questi codici?

Questi codici di ripristino dovrebbero essere memorizzati insieme alla password in un gestore di password? Dovrebbero essere scritti fisicamente e conservati in un posto sicuro?

La mia preoccupazione principale è che il gestore di password sia un singolo punto di errore. Se il mio gestore di password è compromesso, 2FA è sostanzialmente inutile su tutti gli account che lo hanno abilitato.

password-management defense multi-factor

posta tangrs 24.11.2014 - 09:14

fonte

2 risposte

0

È possibile memorizzarli in un database Keepass (con una buona password). Puoi stamparli su carta e tenerli al sicuro.

È possibile creare una macchina virtuale Android in Virtualbox, installare Authenticator e utilizzarla come backup per 2FA. In Amazon AWS puoi utilizzare diversi di questi account, ma non so se Google lo consenta. Quella VM dovrebbe essere mantenuta su un volume crittografato come Truecrypt o DMG, preferibilmente su un'altra macchina. È possibile eseguire un backup su un disco esterno e utilizzare VirtualBox portatile per eseguirlo (su un host Windows).

risposta data 24.11.2014 - 14:13

fonte

Leggi altre domande sui tag password-management defense multi-factor

Mostrando il numero di conto corrente bancario / account e archiviandoli in modo sicuro Protezione della comunicazione http server-server

score 2 · Accepted Answer

Per la tua applicazione, ti suggerirei di conservare le chiavi di ripristino su carta comune da inserire in una cassastrong di casa. Questa è una sicurezza sufficiente. Preferiscono rubare il telefono o il token 2FA da te se vogliono davvero il tuo account. E gli attacchi fisici sono molto rari. In realtà, non hai nemmeno bisogno di metterli in una cassastrong. Puoi metterli nel cassetto della scrivania a casa.

Ma non memorizzarli all'interno del gestore password, poiché c'è un rischio troppo alto che un trojan possa compromettere i codici. Una volta sbloccato il gestore password con la password principale, qualsiasi trojan può compromettere qualsiasi password nel gestore password.