Mi sento come se avessi un problema molto comune. Ho troppe password da ricordare, oltre a PIN per carte di credito / debito, codici di accesso per porte sul mio posto di lavoro o serrature a combinazione. Non mi sembra di riuscire a ricordarli tutti, non importa quanto ci provi, e non ricordare nessuno di quelli che ho bisogno di essere inopportuno.
Sto cercando un modo per archiviare in modo sicuro password e PIN. Il metodo dovrebbe essere
- sicuro contro siti Web compromessi, ad esempio se qualcuno rompe il database del sito A e riesce a ottenere la mia password per A in chiaro, non dovrebbe ottenere alcuna informazione sulla mia password per il sito B
- sicuro contro una macchina locale compromessa, ad esempio se qualcuno installa malware sul mio portatile, non dovrebbe essere in grado di ottenere i miei codici PIN e altre password non utilizzati sulla macchina compromessa
- sicuro contro il furto, cioè il metodo non dovrebbe coinvolgere un token fisico che, se viene rubato, permetterà a un ladro di svuotare tutti i miei account.
- portatile, cioè dovrebbe funzionare senza di me seduto davanti al mio computer, ad esempio presso un bancomat o pagando in un negozio.
- sicuro contro la perdita di dati, cioè voglio essere in grado di fare backup in caso di guasto del dispositivo, furto, ecc.
Questo esclude alcuni approcci di cui sono a conoscenza e che sono stati discussi in precedenza:
- riutilizzare le password è contro (1)
- scrivere le password su un foglio di carta è contro (3) e (5)
- password manager nel mio computer (online o offline) è contro (4) e (2)
- generare password nella mia testa è contro (1) e (2) a meno che il metodo stesso sia sicuro. Altrimenti questa è essenzialmente la sicurezza attraverso l'oscurità e può funzionare solo fino a quando non molti usano lo stesso metodo.
- a token fisico che contiene un sacco di caratteri per "generare" le password scegliendo un punto di partenza o un modello diverso per scegliere le lettere da quel token. C'è un problema con la regola (3) se il metodo è noto o troppo semplice, o (1) e (2) se il metodo è semplice e il token sembra essere un libro o qualcos'altro ampiamente conosciuto. Di nuovo, odora di sicurezza attraverso l'oscurità. Inoltre, è difficile eseguire il backup in modo sicuro (5).
- crittografia dei dati su un foglio di carta e decrittografia manuale sta usando un metodo non sicuro, o suona come qualcosa che non posso fare nella mia testa (sono felice se qualcuno mi corregge su questo). Si noti che persino il fatto di farlo su carta non è una buona idea in un supermercato se ciò significa che devo distruggere in modo sicuro il foglio su cui ho elaborato il mio PIN dopo ogni utilizzo.
La mia domanda è quindi: esiste un modo per archiviare / memorizzare password che soddisfino i suddetti requisiti? Una possibilità che mi viene in mente è un dispositivo dedicato in grado di eseguire la decrittografia AES, in modo da poter memorizzare password crittografate con una password principale sul mio smartphone, e quindi utilizzare quel dispositivo dedicato per ottenere una password in chiaro inserendo la password crittografata e la password principale. Sarei particolarmente interessato a un metodo che possa essere utilizzato senza strumenti o utilizzando dispositivi portatili che posso acquistare facilmente / a basso costo sul mercato aperto, a condizione che sia ragionevolmente sicuro che il dispositivo non rivela le mie password. Ovviamente sarebbe bello se il metodo fosse facile e veloce da usare.
Non mi considero un obiettivo di alto profilo, quindi sono disposto ad assumere che potrei comprare qualcosa come una calcolatrice tascabile su Amazon senza che qualcuno inserisca un modulo GSM nascosto. Tuttavia, non sono disposto ad assumere che un dato smartphone o computer non abbia installato un cavallo di Troia.