Master Password vs Passphrase

Dipende dal modo in cui generi la passphrase.

Una passphrase derivata da una storia, o una canzone, o una citazione di un libro o poesia, è intrinsecamente insicura. I cracker sono già utilizzando citazioni da lavori disponibili pubblicamente e trasformazioni comuni (come prendere la prima lettera di ogni parola) per indovinare le password.

Una passphrase inventata da te è migliore, ma è comunque intrinsecamente meno sicura di una password completamente randomizzata. Avrà una struttura di frasi, probabilmente favorirà le parole comunemente scelte, ecc. Quanto meno sicuro è molto difficile da quantificare; ci sono stati studi che individuano l'entropia dei passphrase carattere per carattere. Tuttavia, è meglio di una frase disponibile pubblicamente e un lotto migliore di una password a parola singola con o senza trasformazioni.

Ma potresti anche creare una passphrase completamente casuale, diceware . Con abbastanza parole, queste possono essere rese sicure come vuoi; una frase segreta diceware con parole N tende ad essere più sicura di caratteri casuali, a caratteri misti con cifre e caratteri speciali con caratteri 2N . Con una passphrase casuale, non c'è nulla di intrinsecamente insicuro a riguardo; puoi utilizzare questo metodo ogni volta che il servizio consente di inserire caratteri sufficienti per 6-8 parole.

Sì, può essere sfruttato per ottenere l'accesso alle tue password più facilmente che se tu avessi una password più sicura che protegge la tua password di Firefox Sync. Stai aggiungendo potenziale per un utente malintenzionato che è in grado di capire la tua password di sincronizzazione di Firefox.

L'e-mail che ricevi per permetterti di scaricare il blob crittografico non è crittografato. Può essere letto dagli altri. Questo potenzialmente (le e-mail possono essere crittografate anche tra i fornitori, non solo tra il fornitore e te. Tuttavia, spesso non lo sono.) Include i grandi governi, il governo del tuo paese, il tuo ISP, qualsiasi altro fornitore di servizi tra il tuo ISP e i server di Firefox Sync e i rispettivi governi. Ma potenzialmente include anche tutti quelli a cui wifi o Ethernet ti connetti mentre ricevi l'email e le persone che controllano il malware che potrebbe essere presente su quella rete, ad esempio nel router.

Nota che alcuni dei precedenti possono essere mitigati se ricevi le tue e-mail crittografate tramite SSL. Tuttavia, SSL ha un sacco di problemi.

Supponiamo che la chiave privata di qualche azienda anti-virus arbitraria sia compromessa. Chi può intercettare il traffico SSL solo se lo incontra che rende molto più plausibile l'attacco da parte di malware sul router o dal tuo ISP.

Inoltre, il tuo account di posta elettronica potrebbe avere una password complessa ma mostrare altri punti deboli. Ad esempio, potrebbe esserci una domanda di recupero password che richiede semplicemente il nome da nubile di tua madre, il che è davvero facile da scoprire se l'aggressore sa chi sei. Ciò rende la forza della password del tuo account di posta elettronica praticamente inutile. In aggiunta a ciò, potrebbe esserci un indirizzo email di recupero assegnato al tuo account di posta elettronica. Se l'account di quell'indirizzo email di recupero presenta una password debole che presenta altri punti deboli (ad es. Il recupero tramite il nome da nubile della madre), ciò significa anche che il tuo account di posta elettronica non è sicuro.