Gestori di password con rischi di sicurezza U2F

Penso che il punto del proverbio "se gli attaccanti possiedono la tua macchina allora sei già fregato" è in mostra con la tua domanda. Non vuoi che il tuo gestore di password decodifichi nulla tranne la singola password che stai richiedendo. Ma qualsiasi malware sul tuo sistema può intercettare e modificare quella richiesta. Questo malware teorico può dire al tuo gestore di password di fornirgli tutti i dati decrittografati pur continuando a dare l'impressione che sia stata decifrata solo una password.

Una volta che la tua macchina è di proprietà, non dovresti aver fiducia in essa per svolgere qualsiasi funzione che possa essere compromessa. In realtà questo tipo di malware dovrebbe essere più difficile da creare data la sua complessità, ma potresti non voler fare affidamento su quell'ostacolo dato il tuo livello di paranoia.

Quello che potresti preferire è un dispositivo separato dai tuoi computer o dispositivi mobili per gestire le tue password. Quando hai bisogno di una password, esegui l'autenticazione sul dispositivo attendibile, leggi quella particolare password e inseriscila nel dispositivo potenzialmente compromesso. L'archivio delle password è essenzialmente in stato di inattività e puoi concentrarti maggiormente sull'impedire che il dispositivo venga compromesso. Questo potrebbe non soddisfare i tuoi altri criteri di semplicità.

Ciò a cui ti riferisci è un "con" nell'argomento per i pro e i contro dei gestori di password in generale.

I gestori di password presentano un singolo punto di errore, nel senso che se il gestore viene compromesso, anche tutte le credenziali assortite all'interno vengono compromesse.

Sebbene questo sia un rischio, deve essere considerato in considerazione del fatto che i gestori di password attenuano numerosi altri rischi , in particolare il riutilizzo delle password e l'applicazione di strong e uniche password.

Se qualcuno utilizza la stessa password o password simile per molti siti, se uno di questi siti viene compromesso, tali credenziali possono essere ritentate su altri siti. I gestori di password aiutano a mitigare questa vulnerabilità e riducono anche l'area di superficie in modo tale da dover compromettere un singolo gestore di password, piuttosto che un sito con molti utenti assortiti, per ottenere le credenziali.

È possibile attenuare il rischio di un singolo punto di errore proteggendo gli account di alto valore utilizzando l'autenticazione a due fattori con un token separato (ad esempio smartphone, Google Authenticator, separato YubiKey). Pertanto, il tuo gestore di password avrà accesso solo alla metà delle credenziali necessarie per accedere.

Devi valutare personalmente i pro / contro di ciascun approccio e vedere quali strategie di mitigazione (ad es. 2FA) vuoi mettere in atto. Tuttavia, per la maggior parte degli utenti, un gestore di password aumenterà notevolmente la sicurezza attenuando i vettori di attacco e diminuendo le superfici di attacco; più che aumentare il rischio creando un potenziale single point of failure.

Se segui la tua logica, il modo migliore per restare al sicuro è non usare affatto un computer! Tutto ciò che fai è un rischio, il lavoro è gestire il rischio e renderlo accettabile, non tentare di rimuoverlo completamente. In questo modo giace la follia - letteralmente.

Lo scopo dei gestori di password è di gestire le password, ovviamente c'è qualche rischio nel concentrare questo in una singola applicazione. Mentre in teoria è possibile decifrare solo una singola voce alla volta, ciò implica che si dovrebbe avere una password diversa per ciascuna?!

La verità è che i gestori di password prenderanno qualsiasi provvedimento per impedire l'accesso ai dati sbloccati, tranne che attraverso le loro interfacce, ma nulla eliminerà del tutto il problema.

LastPass infatti ha un processo OTP per usarlo su computer non fidati, quindi puoi usarlo sempre, se vuoi, ma il processo è doloroso se lo usi sempre e ti arrenderesti rapidamente.

Ci sono un paio di modi in cui puoi, più praticamente migliorare la sicurezza se sei veramente paranoico.

Innanzitutto, assicurati di bloccare / disconnettere il gestore della password il prima possibile. Significa che devi accedere di nuovo ogni volta, ma almeno il db rimane crittografato per la maggior parte del tempo.

In alternativa, passa a uno schema di password della carta come quello proposto da Steve Gibson. Password carta perfetta .

Altrimenti, ti consiglio di fare un passo indietro e di pensare ai rischi reali. Sarai in un ambiente ad alto rischio? Gestisci informazioni particolarmente sensibili o preziose? In tal caso, potresti avere ragione ad adottare ulteriori precauzioni sebbene la gestione delle password sia solo una delle tante che dovresti prendere.

Se non ti trovi in quella situazione, segui le pratiche sicure con il tuo PC e poi usa un gestore di password perché avere poche password online è molto più probabile che avere un gestore di password compromesso.

Hai alcune opzioni. Come dici tu, generalmente LastPass e gestori di password simili, insieme alla sincronizzazione del browser in browser come Chrome, si fidano del computer per un po 'di tempo dopo che ti sei identificato, nel senso che se qualcuno ottiene il tuo portatile ancora connesso, può accedervi. p>

LastPass ha un'impostazione chiedimi sempre '- sospetto che anche altri manager lo facciano.

Inoltre, è possibile adottare misure per proteggere il laptop stesso: disporre di un criterio di blocco automatico in modo che, se lo si lascia solo, si blocchi dopo un breve periodo di tempo; assicurarsi che i dischi del laptop siano crittografati; se si utilizza MacOS, abilitare File Vault; avere una password sicura per accedere al sistema operativo. Se non riescono ad accedere al gestore delle password in esecuzione, non possono comprometterlo.

Inoltre, siti veramente importanti che potresti non includere nel gestore delle password, anche se direi che l'aumento della lunghezza della password che è possibile con un gestore di password probabilmente riduce il pericolo più del rischio che un gestore di password fa.

Tutto ciò presuppone, ovviamente, che la password del gestore password sia eccellente - raccomando una lunga frase (ish) che contiene parole non comuni. Aggiungere alcuni numeri o caratteri speciali a quella frase è un bonus.