Con un gestore di password, le tue password non sono archiviate in chiaro sul tuo computer. In altre parole, anche se un attore malintenzionato accede al tuo sistema, non avranno ancora le tue password.

Anche i gestori di password fanno un buon lavoro aiutandoti a creare password lunghe e complesse (anziché distruggere le chiavi in un documento Excel), nel caso in cui il sito che stai registrando venga compromesso. Puoi anche avere password diverse per ogni sito, riducendo ulteriormente il rischio. Inoltre, puoi avere una chiave USB necessaria per accedere a tali password, quindi quando non sei vicino al tuo computer togli il tasto di accesso . Gli aggressori possono usare la forza bruta tutto il giorno, è probabile che non abbiano accesso alle password. Questo batte un file protetto da password tutto il giorno.

Nota a margine: quando eseguo test di penetrazione, dopo aver ottenuto l'accesso alla rete interna, una delle prime cose che faccio è cercare tutte le condivisioni sul Dominio per la stringa: "Password". Ottengo colpi ogni volta :( non lasciare che siate voi.

Ci sono diversi modi per ottenere l'accesso a un sistema. Considera i seguenti due scenari.

Scenario 1: le tue app sono in modalità sandbox, un'app è compromessa

Supponiamo che tu usi un sistema come Apple OS ~ X con app per Mac App Store. Tutte le tue app sono in sandbox. Alcune app, come gli editor di testo, hanno una ragione legittima per accedere a livello di codice ai tuoi documenti di testo. Se una di queste app viene compromessa dal malware, l'utente malintenzionato potrà leggere il file della password.

Tuttavia, supponendo che tu abbia implementato un gestore di password come Linux, in cui le app possono utilizzare la comunicazione tra processi per recuperare esclusivamente le password memorizzate, l'app compromessa non sarà in grado di estrarre tutte le tue password. Sarà solo in grado di interrogare (e inviare all'utente malintenzionato) le password relative all'app compromessa stessa. E l'attaccante potrebbe rubarli quando li digiti comunque all'interno dell'applicazione.

L'utente malintenzionato dovrebbe (1) uscire da sandbox e (2) interrompere la crittografia del file in cui il gestore password memorizza i tuoi segreti, oppure ottenere lo stesso gestore di password per eseguire un exploit.

In questo scenario, il gestore delle password rappresenta sicuramente un aumento della sicurezza. Altri vettori di attacco includono cose come l'abuso di interfacce di input virtuali per installare keylogger. Lasciamo da parte questi per ora e diciamo che quando si utilizza la sandbox, almeno si arriva a mediare e controllare quali app utilizzano tali capacità.

Scenario 2: nessun sandboxing, qualsiasi app è compromessa

Il tuo documento di testo è ovviamente vulnerabile a ogni singola app che hai. Altre app possono essere utilizzate come punti di ingresso nel tuo sistema allo scopo di rubare quel file.

Il tuo gestore di password è a malapena protetto. Gli aggressori possono banalmente modificare qualsiasi aspetto del desktop per installare i keylogger, farti caricare ulteriori librerie sull'intera sessione utente, magari addirittura sostituire il binario del gestore password. Potrebbero essere in grado di ispezionare anche la memoria del tuo gestore delle password in esecuzione, a seconda del sistema operativo e di come è configurato.

L'attacco è ancora molto più difficile da eseguire rispetto al semplice furto di un file di testo, specialmente se l'exploit utilizzato consente solo all'utente malintenzionato di effettuare il targeting ed estrarre un singolo file anziché eseguire codice arbitrario. Pertanto, il gestore delle password riduce il rischio di altri attacchi di base, ma non di quelli più avanzati.

Conclusione

Al momento i gestori di password forniscono un certo livello di sicurezza aggiuntiva, poiché crittografano il contenuto del file delle password e richiedono che gli autori di attacchi compromettano il gestore di password stesso.

Tuttavia, i loro veri benefici aumenteranno quando il sandboxing diventerà più sistematico. Diventa quindi molto più difficile attaccare il gestore di password o la sessione utente stessa.

Oltre alle altre risposte, un file crittografato è vulnerabile solo al malware mentre tu lo stai utilizzando. Le tue password possono essere rubate solo quando hai sbloccato.

Ciò significa che non possono essere rubati tramite il furto fisico di un telefono, un laptop, un tablet o una memoria USB. Significa che non possono essere rubati da qualsiasi cloud o storage di rete viene utilizzato per sincronizzarli. Non possono essere rubati da dischi rigidi, backup o dispositivi scartati, anche se non li cancelli completamente come dovresti. Se si utilizza un servizio online invece di un'applicazione gestita localmente, la crittografia significa che le password non possono essere rubate da una violazione del proprio provider.

È vero che un'app per malware specializzata sul tuo dispositivo può sconfiggere qualsiasi gestore di password mentre lo usi attivamente. Ma è anche vero che lo stesso malware potrebbe rubare qualsiasi password digitato, comunque. Quindi non ti rende meno sicuro crittografare le tue password, e fa riduci la superficie di attacco che hai presente, o almeno abilita comportamenti comodi che sarebbero spericolati senza crittografia, come la sincronizzazione tramite lo storage cloud , o portare in giro una copia in tasca su una pen drive.

Inoltre, un gestore di password basato su browser ti aiuterà ad evitare gli attacchi di phishing, dal momento che non sarà ingannato dal nome apparente del dominio e semplicemente non riempirà automaticamente il campo della password nell'URL di phishing che potresti aver inavvertitamente fatto clic!