Uso 1password e ho visto 1password che consente di memorizzare token 2FA nello stesso posto in cui è stata salvata la password.
Non mi piace l'idea di avere tutto nello stesso posto come se qualcuno rubasse la mia password da 1 password per accedere al mio account e ottenere sia i token di sicurezza che quelli di sicurezza. In realtà, sto utilizzando l'Auth di Google per 2FA e 1password per le password.
È una buona idea tenerli separati per aumentare la sicurezza? Ha senso?
Lavoro per 1Password e I ha scritto esattamente su questa domanda quando abbiamo introdotto la funzione.
La risposta dipende dalle proprietà di sicurezza che si desidera effettivamente da TOTP. Il "secondo factorness" di TOTP è una delle numerose proprietà di sicurezza che offre e potrebbe essere il meno importante in molti casi. Non lasciarti fuorviare dal fatto che tutto questo va sotto il termine "2FA", come se fosse l'unico vantaggio di sicurezza che ottieni da questi schemi.
Quindi ho intenzione di elencare alcune delle proprietà di sicurezza che ottieni con TOTP e confrontarle con l'utilizzo della password tipico .
Il segreto a lungo termine non viene trasmesso durante l'autenticazione. Con TOTP ottieni un segreto a lungo termine che viene trasmesso solo (in genere il codice QR), quando ti iscrivi. Il segreto a lungo termine non viene trasmesso quando viene effettivamente utilizzato. (Questo è diverso dall'utilizzo tipico della password in cui la password viene trasmessa sulla rete, e quindi dipende da altre protezioni, come TLS). Questo significa anche che il segreto a lungo termine non può essere phishing (anche se i codici numerici possono essere.)
Il segreto a lungo termine è non percettibile . Il segreto a lungo termine viene generato dal server al momento della prima iscrizione e pertanto viene generato in base agli standard di casualità del servizio. Di nuovo, questo è diverso dall'uso tipico delle password con password create dall'uomo.
Il segreto a lungo termine è unico. Non finirai per riutilizzare lo stesso segreto a lungo termine di TOTP tra i vari servizi. Di nuovo, questo è diverso dall'uso tipico delle password, in cui le persone riutilizzano le password.
Oh sì. E metti il segreto a lungo termine su "qualcosa che hai", se per qualche motivo è importante per te.
Nella maggior parte dei casi in cui viene distribuito TOTP, lo fa a causa delle proprietà # 2 (non guidabilità) e # 3 (unicità). Infatti, quando Dropbox ha introdotto per la prima volta TOTP sui loro servizi, essi digitano le loro ragioni come aiuto per proteggere gli utenti che stavano riutilizzando le password.
Dopo l'unicità e l'inaffidabilità dei segreti a lungo termine, il prossimo vantaggio più importante (per la maggior parte delle persone) è che il segreto a lungo termine non viene trasmesso. Ciò rende più difficile l'acquisizione su una rete compromessa.
Probabilmente il meno importante delle proprietà di sicurezza che TOTP ci offre è il secondo factorness. Non sto dicendo che non ci sia alcun beneficio, ma per i casi in cui la maggior parte delle persone usa il TOTP, è probabilmente il meno importante.
In quanto sopra ho elencato quattro proprietà di sicurezza di TOTP e le ho confrontate con l'uso tipico delle password. Ma ora consideriamo qualcuno che sta usando un gestore di password al massimo delle sue potenzialità. Se si utilizza bene un gestore di password per un sito o un servizio4, si avrà una password generata casualmente (e quindi non gestibile) per quel sito e si avrà una password univoca per quel sito. E quindi l'uso di TOTP non aggiunge davvero molto in termini di queste due proprietà di sicurezza.
Se guardiamo la proprietà n. 1 (segreto a lungo termine non trasmesso), TOTP offre ancora qualche sicurezza aggiuntiva, anche se stai usando un gestore di password. Tuttavia, l'uso di un gestore di password riduce la possibilità di essere phishing, e quindi il guadagno di TOTP, mentre è reale, non è così grande come sarebbe per qualcuno che non utilizza un gestore di password.
L'unica cosa rimasta è la # 4. Se i due fattori di fatto sono davvero il motivo per cui consideri TOTP, allora non mantenere il segreto a lungo termine in 1Password. Ma per molte persone, il valore di TOTP deriva dall'avere un segreto strong e unico a lungo termine che non viene mai trasmesso.
Ti consiglio di valutare cosa riesci a ottenere veramente da TOTP (invece di rimanere coinvolto nell'intera retorica 2FA), e quindi prendere in considerazione i compromessi. Scommetto che se cose come TOTP dovessero chiamarsi "Autenticazione segreta univoca" anziché "Autenticazione a due fattori", la domanda non sarebbe mai venuta fuori.
L'intero punto di avere un secondo fattore per l'autenticazione è di proteggerti nei casi in cui il primo fattore (password) è già fallito. Pertanto, la memorizzazione dei token 2FA nello stesso posto in cui vengono memorizzate le password li rende meno efficaci.
Combina questo con il fatto che i gestori di password (usati correttamente, con password separate generate casualmente per ciascun account) ti proteggono già da molte delle stesse minacce che fanno i token 2FA (come attacchi brute force e credential stuffing) e inizio per chiedere perché dovresti preoccuparti di 2FA affatto se hai intenzione di memorizzare i token in questo modo.
Detto questo, sono alcuni scenari in cui una parte malintenzionata potrebbe rubare una singola password dal proprio gestore di password senza compromettere l'intero database delle password:
Se non ti interessa la possibilità che il tuo database delle password venga compromesso e i vettori di minacce che ho elencato sopra sembrano plausibili e abbastanza seri da meritare il passo extra di dover inserire un codice 2FA ogni volta che accedi , quindi vai per questo. Altrimenti potresti voler memorizzare i tuoi codici 2FA separatamente dal tuo database delle password, o rinunciare all'uso dei token 2FA basati su HOTP / TOTP interamente a favore dei token U2F o WebAuthn che offrono una maggiore protezione.
Raccomando di mantenere i codici 2FA su 1Password, in quanto l'app di Google Auth non ha il backup dei dati (a meno che tu abbia root e uno strumento di backup esterno, come Titanium Backup). Nel tuo caso, perdere il telefono significa perdere tutti i codici di autenticazione 2FA che hai avuto. Se non si desidera memorizzare 2FA su 1Password, archiviarlo su un'altra applicazione che supporta il backup del cloud.
Aumenterai un po 'la sicurezza, perché ogni utente malintenzionato dovrà compromettere 2 applicazioni, ma creerai un altro punto di errore. In caso dell'app GoogleAuth, perdere il telefono può potenzialmente bloccarti su alcuni account.
Vorrei creare una password sicura, lunga e unica e utilizzare solo un gestore di password.
posizione
In un mondo ideale dovresti avere le chiavi del secondo fattore su esattamente un dispositivo. In questo modo può davvero essere qualcosa che hai (oltre a qualcosa che conosci come la tua password). Tenendo le chiavi sul telefono protetto da un PIN o da un'altra sicurezza, quando si perde il telefono è possibile cancellare il telefono da remoto e accertarsi che i codici non siano sfuggiti.
Ma questo è FAR da realistico ...
Nel mondo reale abbiamo bisogno di backup. Sì, puoi memorizzare le tue informazioni in 1Password (o in qualsiasi gestore di password) e sarai comunque più sicuro della persona media (rendendoti un bersaglio molto meno probabile). Quindi se la decisione non è di backup o di archiviazione in 1Password, memorizzarla in 1Password.
Tuttavia, come dici tu, sta mettendo tutte le tue uova in un paniere. Se il tuo deposito 1Password viene violato in qualche modo, sei fregato.
Quindi quello che suggerisco (che Tim ha menzionato anche qui) è quello di memorizzare i tuoi secondi codici di fattore su qualcosa di INTERAMENTE diverso dalla tua 1Password. Che si tratti di stamparli, caricarli su un telefono secondario, utilizzare un servizio come Authy (che ha backup) o qualsiasi altra cosa. Quindi hai due punti di errore. Qualcuno può entrare nella tua 1Password e non ha ancora accesso ai nostri account multi-factor.
Personalmente amo il suggerimento di stampa qui. Stampando il codice lo stai rimuovendo interamente dalla tua vita digitale in modo che nessun hacker sia in grado di raggiungerli. Chiudile in una cassastrong, mettili in una cassetta di sicurezza. Nulla. E poi è facile caricare un nuovo telefono con i codici quando si perde il telefono o si desidera aggiornare.
TL; DR: avendo un secondo fattore, sei già avanti rispetto al pacco. Quindi assicurarli in 1Password può essere considerato come un rischio calcolato e, sebbene non perfetto, è ancora ragionevolmente sicuro. Tuttavia, nel perseguimento di un modello di sicurezza più perfetta, conservarli separatamente e preferibilmente aria-gapped da internet in modo un tentativo di attacco non sarà in grado di ottenere il vostro 1Password E i vostri codici di sicurezza tutto in una volta.
Bene, la risposta semplice è Sì. Nonostante tutta la fiducia che abbiamo nei gestori di password, è una buona idea praticare in modo approfondito la decisione. Il motivo per cui hai 2FA è quello di aggiungere quel livello aggiuntivo di sicurezza per aumentare la password. Sconfigge lo scopo se la stessa password è memorizzata insieme al secondo fattore. La sicurezza è più basata sui principi di qualsiasi altra cosa.
Supponendo che tu stia parlando dei codici di emergenza e / o della possibilità di recuperare i tuoi due fattori su un nuovo dispositivo, personalmente trovo piuttosto sconcertante avere quei codici disponibili ovunque online. Questo è un caso perfetto per i backup offline.
La mia preferenza è mantenere una copia del codice qr / chiave di ripristino / ecc. offline (su carta o su una chiavetta USB). Un preferito personale (supponendo un PC Windows) è una chiavetta USB bitlock, custodita in una cassetta di sicurezza.
Leggi altre domande sui tag passwords account-security multi-factor