Sei sulla strada giusta: la singola cosa più importante che puoi fare è avere una password diversa per ogni sito in cui accedi. Il vantaggio principale è che se un sito viene violato (lo sono, tutti i giorni), i siti che utilizzano metodi deboli per offuscare la tua password rendono più facile la violazione della tua password. Avere la stessa password ovunque significa che se conoscono la tua password una volta, sanno anche molti altri posti.
La complessità è importante perché aiuta a sconfiggere i metodi di cracking. Ma gli schemi menzionati possono essere un po 'complicati, dal momento che ci sono altri modi in cui gli hacker ottengono la tua password che non ha bisogno di crack.
Quindi raccomando vivamente i gestori di password, e di tutti là fuori, 1Password è quello di cui mi fido di più poiché la loro strategia è quella di non memorizzare mai la password principale sui loro server. Anche altri gestori di password possono farlo, quindi ne vale la pena. Un gestore di password rende fattibile e conveniente avere una password lunga, complessa, casuale e unica per ogni sito. Anche i migliori fanno molto di più.
E per i siti più importanti, usa la loro autenticazione a più fattori (MFA o 2FA). È un dolore totale perché devi avere qualcosa, in genere un telefono, che fornirà un codice secondario. Ma per l'account e-mail che sarà quello utilizzato per confermare le password dimenticate, usalo.
Ci sono molti modi in cui le persone cattive ottengono le password. Li indovinano da usi comuni come P @ ssw0rd !, password debolmente criptate vengono rubate dai siti violati e poi crackate usando parole del dizionario. Il tuo metodo risolve questi.
Ma ce n'è un terzo: siti scarsamente protetti o hackerati, o phishing / social engineering truffe che ti permettono di digitare una password - gli hacker ora lo sanno con pochissimo sforzo. I siti dedicati alla sicurezza proteggono da questo e monitorano gli schemi che suggeriscono le violazioni. Ma la maggior parte non lo fa. (Oggi, questi metodi sono il modo più comune per ottenere efficacemente le password).
Se supponiamo che un hacker conosca la tua password per un sito specifico, quanto è sicuro il metodo adesso?
Diciamo che la parte comune della password è una stringa lunga e complessa - userò XXXX per rappresentarla. Ma se crei un suffisso o un prefisso basato su qualcosa sul sito, che non è complesso o è ipotetico, come un SXXXX, usando la prima lettera di "stackexchange", ora sei a rischio. Rendilo più lungo, come sTaXXXX? In realtà più indovinabile. Rendilo complicato, come sT @ XXXX o atsXXXX ... diventando più caldo. Incorporare dentro, come XsXtXaX, meglio ancora, probabilmente.
Ma questa tecnica generale è una strategia ampiamente promossa perché è l'unica che gli umani possano effettivamente ricordare, quindi le persone che cercano di hackerarlo sanno cosa cercare.
Quindi, una volta che il tuo pattern è indovinato, hanno il tuo indirizzo email, quindi prova ad accedere lì - se Google, quindi XgXoXoX, giusto? E ora, cambiano la password di Google e iniziano a reimpostare tutte le altre password. Ora sei davvero affondato. Come lo so? Mi è quasi successo nel 2007, tranne che sono stato fortunato. E da allora: 1Password.
Le password sono un terribile, terribile mezzo di sicurezza. Una chiave fisica per la tua casa è migliore: hai bisogno della chiave o di una copia, e devi essere a casa! Le password casuali generate da software come 1Password, in particolare combinato con l'autenticazione a più fattori per i siti critici sono la strada da percorrere. Non esistono due siti in cui ho account su cui condividere una password e non ne conosco uno solo. Quelli di cui la mia famiglia ha bisogno sono memorizzati in un "vault" separato con una password separata, e io sono la persona solo che conosce il master, e lo cambio spesso.
Spero che questo aiuti!