איך אתם שומרים סיסמאות?

[yossik]

@adamshalev @מתכנת -
זה לא רק פריצה, זה חטיפת זהות שלא קיימת בדיסק און קי.

אם אתה זוכר 20 ססמאות זה אומר שהן כנראה לא חזקות במיוחד. אתה יודע להגיד כמה ביטים של אנטרופיה יש להן?

16 תווים באנלית - תווים משונים שמשמעותיים עבורי, אותיות קטנות וגדולות.

מה בדיוק מונע משני דיסקאונקיס להפסיק לעבוד פתאום?

מאוד קרוב ל 0.

 

[adamshalev]

זה לא רק פריצה, זה חטיפת זהות שלא קיימת בדיסק און קי.

אתה מתכוון שהמסמכים המזהים החשובים שלך הם בדיסקאונקי, ושאם הם יהיו בענן אז מישהו יכול לגנוב לך את הזהות?
אם כן, משתמע מזה שאתה שומר אותם על הדיסקאונקי לא מוצפנים, שכמובן אין שום סיבה לעשות את זה, לא בדיסקאונקי ולא בענן. אני מצפין את כל המסמכים החשובים שלי והם עולים לענן מוצפנים, הכל קורה אוטומטית עם boxcryptor.

עדיין לא ענית על השאלה - איך אתה מצפין את הססמאות (והמסמכים?) על הדיסקאונקי.

מאוד קרוב ל 0.

מה הנזק עבורך אם המידע כן יאבד ללא יכולת שחזור?

 

[מתכנת]

- אל תשים את הקובץ בשם ברור כמו MyPasswords.kdbx, אלא תקרא לו כמו משהו ״אילת.jpg״.

ותתפלל שבבוא העת - כשתצטרך את הקובץ - תזכור איזה שם פיברקת

 

[adamshalev]

ותתפלל שבבוא העת - כשתצטרך את הקובץ - תזכור איזה שם פיברקת

באופן כללי - רצוי לרענן על בסיס תקופתי כל דבר שמצריך זכרון. ולא יזיק גם לוודא שכל דבר שאנחנו זוכרים, רשום במקום כלשהו שנגיש לאדם אחר. שכחה קורת. למשל, יש לי מעט מאד ססמאות שאני חייב לזכור בעל פה (למשל הססמא למנהל ססמאות נניח) - והיא רשומה במנהל הססמאות של בת הזוג, למקרה שאשכח אותה, והיא יודעת את זה.
וואטסאפ למשל פעם בחודש +\- מחייבים אותי להזין את הpin בן 6 ספרות שמגן על המידע באפליקציה, במפורש כדי שאני לא אשכח אותו.

 

[ido15]

@adamshalev איך אפשר לשים את הקובץ סיסמאות שלי בטרזור? לא הצלחתי להבין עד עכשיו...
ממה שהבנתי זה ארנק וירטואלי שנמצא אצלנו פיזי שתומך במטבעות דיגטילים

 

[מתכנת]

איך אפשר לשים את הקובץ סיסמאות שלי בטרזור?

הקובץ סיסמאות עצמו שמור במחשב.
סיסמת הפתיחה שלו מגונרטת באמצעות הטרזור וגם שמורה בו (אם בכלל אפשר לקרוא לזה שמורה, כי בתכלס עד כמה שהבנתי זה נגזר מהסיד וממוקם אלגוריתמית ב path מסוים, כך שניתן לשחזרו אבל לא באמת שמור AS IS)

ממה שהבנתי זה ארנק וירטואלי שנמצא אצלנו פיזי שתומך במטבעות דיגטילים

זה התקן עם ממשק למחשב שיודע לקבל מהמחשב קלט ולהצפין/לפענח אותו ולהחזיר למחשב פלט.
במקרה של עסקה במטבעות קריפטו הוא חותם את העסקה ומחזיר אותה למחשב חתומה.
במקרה של מנהל סיסמאות הוא מצפין/מפענח את הסיסמה ומחזיר אותה למחשב.

 

[ido15]

הקובץ סיסמאות עצמו שמור במחשב.

השאלה איזה קובץ? מסמך וורוד שעשיתי? קובץ של הקי פאסס?
עדיין קצת מתקשה להבין...

 

[adamshalev]

השאלה איזה קובץ? מסמך וורוד שעשיתי? קובץ של הקי פאסס?
עדיין קצת מתקשה להבין...

הטרזור מייצר את הקובץ בפורמט משלו, ושומר אותו בדרופבוקס שלך (לא צריך דרופבוקס מותקן, אתה רק נותן לו הרשאה קריאה/כתיבה לספריה הפרטית שלו בדרופבוקס שלך והוא עושה את זה דרך API).
הקובץ בפועל זה קובץ json שמכיל את כל הססמאות שלך רק שכל ססמא בקובץ מוצפנת עם מפתח נפרד, ובנוסף כל הקובץ עצמו מוצפן גם.

 

[sogi]

הבעיה בטרזור היא שהוא משתמש בדפדפן, ובימנו זה לא הדבר הכי מאובטח שיש כי יש פרצות אבטחה והדפדפן מחובר במקביל לא רק לדרופבוקס אלא גם לאתרים אחרים. יכול להיות שפתיחת סיסמאות בטאב אחד חשופה למתקפה על ידי אתר בטאב אחר...

בנוסף יש גם extensions שהמשתמש מוכרח לתת להן הרשאה לקרוא את כל התכנים, כדי להשתמש בהן. הן יכולות לקרוא את הסיסמאות שהמשתמש פותח.

לא ברור למה טרזור לא מפתחים תוכנה standalone עבור סיסמאות (שרק תתחבר לדרופבוקס).

 

[adamshalev]

@sogi אני דווקא מאד מעדיף שזה יהיה בדפדפן.

ובימנו זה לא הדבר הכי מאובטח שיש כי יש פרצות אבטחה

הדפדפן הוא דווקא מאד מאובטח, רוב בעיות האבטחה מגיעות ממקורות שקשורים לגלישה ברשת, אך לא בדפדפן עצמו, כגון:
- תוספים כמו פלאש ו-Java, שברוך השם הורחקו לצמיתות מהדפדפן
- תוספי Extensions שהם או מזיקים בעצמם, או שגורמים זדוניים משתלתים עליהם ללא ידיעת המפתח והופכים אותם לזדוניים
- חולשות XSS באתרים כאלה ואחרים
- פרסומות שמפיצות חורנה
- אתרים שמנצלים zero-days וכד׳

למרות שבגדול אני מסכים איתך, תוכנה יעודית תהיה יותר מאובטחת, בפועל אם אתה נוקט מידה נאותה של אמצעי זהירות אין הבדל.
בפרט:
- להשתמש בטרזור רק על מכונה נקיה (שאין עליה עוד תוכנות מותקנות)
- לא להתקין עוד תוספים על הדפדפן
- לא לגלוש באתרים נוספים במקביל לשימוש בטרזור, בטח לא אתרים ״אקראיים״
- לחסום פרסומות ולחסום java script בכלל

בפועל, אני מאמין שהדרכים שרוב האנשים נדבקים בהם בחורנה ברשת, זה לא ישנה אם הטרזור יהיה דרך דפדפן או תוכנה יעודית, כי אם המחשב שלך נגוע, זה game over בכל מקרה, ואילו בכל מה שנוגע לאבטחת גישה cross site ו-cross extension הדפדפן מגן עליך לא רע.

 

[קפה שחור]

חורנה

?

 

[adamshalev]

?

תוכנות חרא. malware, spyware וכיוצא בזה

 

[משתמש מחוק6]

אם כבר מדברים על אבטחת מידע יש לי שאלה קצת דומה: מה דעתכם על רמת האבטחה במערכות Mac? באמת מאובטח יותר או שהכל חרטא?

 

[מתכנת]

מה דעתכם על רמת האבטחה במערכות Mac?

שטעות פסיכית כמו להשאיר משתמש ROOT בלי סיסמה יכולה לקרות גם אצלם.

 

[קפה שחור]

על רמת האבטחה במערכות Mac?

נראה לי שלאחרונה מצאו איזה באג אבל הם זריזים בתיקונים, לפי מיטב הבנתי הם מעסיקים מחלקה שלמה למציאת פירצות
לא בטוח בדיוק בדבריי...

 

[adamshalev]

אם כבר מדברים על אבטחת מידע יש לי שאלה קצת דומה: מה דעתכם על רמת האבטחה במערכות Mac? באמת מאובטח יותר או שהכל חרטא?

בעיני עבור משתמש בקיא ב best practices שלושת מערכות ההפעלה בטוחות באותה מידה.
עבור משתמש ״טיפש״, מאק בטוח יותר מווינדוס בגלל האופן שבו הממשק מרגיל את המשתמש לעבוד (בעיקר מול האפסטור) והגדרות ברירת המחדל. אבל בתכלס, משתמש ״טיפש״ לא ממש אכפת לו מאבטחה, הוא רוצה לגלוש בפייס ולשמוע מוסיקה ביוטיוב.
אני בפועל עובד ביומיום גם על מאק ועל לינוקס ועל ווינדוס, ומה שהכי משפיע בעיני על מידת האבטחה זה מה מתקינים על המחשב, ולא איזה מערכת הפעלה רצה (כל עוד כמובן מקפידים על דברים בסיסיים כמו להתקין עדכונים).

אגב למפתחים שבינינו - אני מחשיב כל סביבת עבודה של פיתוח תוכנה כסביבה נגועה. הסיבה לכך היא שכל תהליך פיתוח מודרני כולל התקנה של עשרות ואפילו מאות חבילות שבפועל מריצות קוד על המחשב, אשר מגיעות ממפתחים מכל העולם ומפוקחות בעיקר ״קהילתית״, בזמן שיש כבר כמה וכמה מקרים של חבילות פופולריות שהכילו קוד זדוני סרק (של מישהו שרצה להוכיח נקודה) וגם לא סרק.

 

[ido15]

אם אני מחבר את הטרזור במחשב נגוע זה game over ?

 

[adamshalev]

אם אני מחבר את הטרזור במחשב נגוע זה game over ?

לא.
כשאתה מחבר אותו לא קורה כלום.
כשאתה פותח את מנהל הססמאות (ומאשר את זה בטרזור), רשימת החשבונות נטענת (ונחשפת) למחשב הנגוע, וכוללת את שמות המשתמש/אימייל של החשבונות, אך לא את הססמאות ולא את ההערות (שזה שדה חופשי לשמור כל מידע סודי).
כאשר אתה מבקש לפתוח רשומה, אתה צריך לאשר בטרזור, ורק אז המידע נפתח בתוך הטרזור ומועבר למחשב. כל רשומה שפתחת ואישרת על מחשב נגוע, נחשפה לנוזקה על המחשב, אבל כל שאר הרשומות לא.

 

[ido15]

אני מצטער אבל באמת שאני קצת מתקשה להבין... יש במקרה אולי סרטון הדרכה ביוטוב שבאמת מפשט לי את עניין הטרזור וחשיפה לסיסמאות? כי כל מה שאני מחפש על טרזור מוצא לי ארנק וירטואלי לשמירת הביטקוין

 

[Everything_Nice]

רק אני עתיק ששומר חלק בדף נייר ? וגם שם זה רק סיסמה או שם משתמש. ב"ה חלק מהחשובות יושבות בראש.