איך אתם שומרים סיסמאות?

[מתכנת]

קניתי את הגרסה החדשה Trezor T

האם כבר קיבלת אותו?
יש תובנות לגביו או אינפטוט כלשהו?

 

[adamshalev]

האם כבר קיבלת אותו?
יש תובנות לגביו או אינפטוט כלשהו?

יש עיכובים. הבאטצ׳ הראשון אמור לצאת סוף החודש. אני באטצ׳ שני.

 

[מתכנת]

@adamshalev
מה דעתך על המכשיר הזה ?
https://crp.to/p

 

[adamshalev]

@adamshalev
מה דעתך על המכשיר הזה ?
https://crp.to/p

שקלתי אותו, טרזור נראה לי עדיף ויותר רב שימושי.

 

[מתכנת]

טרזור נראה לי עדיף ויותר רב שימושי.

תוכל לפרט (מעבר לקריפטוכסף) ?

המחיר של טרזור (החדש) פי 4 ממנו !!

אחד (הפצפון) במחשב עבודה, אחד (פצפון) במחשב בבית,

כשנכנסים נניח לחשבון גוגל שמקושר לכמה Yubikeys, גוגל שואל עם איזה מהם להשתמש?

 

[adamshalev]

כשנכנסים נניח לחשבון גוגל שמקושר לכמה Yubikeys, גוגל שואל עם איזה מהם להשתמש?

הוא מקבל כל אחד מהם, לא משנה איזה (כולל טרזור).

תוכל לפרט (מעבר לקריפטוכסף) ?

U2F, מטבעות קריפטו, אישור כל ססמא לחוד ולא מפתח מאסטר (קילר פיטצ'ר מבחינתי), יכול לשמש גם ל-ssh/pgp agent (אם כי לא משתמש בזה). יש לו גם קהילה חזקה וחברה שנראית טוב מאחוריו.

 

[מתכנת]

Yubikey וקיפאס זה שילוב מעניין, אבל צריך להבין אותו טוב.
מה שהוא *לא עושה* זה להוסיף 2 factor auth לפתיחה של הקובץ. אם יש לך גורם זדוני על המחשב כשאתה פותח את הקובץ, זה גיים-אובר עם או בלי היוביקי.
מה שהוא *כן עושה* זה להפוך כל ססמא, לא משנה כמה היא חלשה, לחזקה ובלתי פריצה, ע״י זה שהוא מחייב אותה לעבור גם דרך מחרוזת אקראית שיושבת רק על היוביקיי. מה שנח זה שניתן לצרוב אותה לכל יוביקי כך שכל עוד אתה שומר עותק שלה במקום מאובטח, אתה תהיה בסדר. אבל במקרה ואיבדת את כל היוביקיס שהיא הייתה צרובה עליהן ואיבדת את המחרוזת גיבוי, יו אר פא*ד.

מסתבר שלא.
בניגוד לחשבונות אונליין למינהם, ב keepass לא ניתן להשתמש עם כמה Yubikeys, בגלל שלמעט global counter וכד' ל Yubikey אין בכלל יכולת כתיבה (אלא אם בא לך להיפרד מ 650$)

אפרופו keepass, נתקלתי באוסף של טיפים להגברת הבטיחות.

U2F,...., אישור כל ססמא לחוד ולא מפתח מאסטר (קילר פיטצ'ר מבחינתי), יכול לשמש גם ל-ssh/pgp agent

חפרתי קצת על המכשיר אז אשתף תובנות שיש לי לגביו,
הוא עונה בעיקרון על כל הדרישות שלך, ועוד שלל פיצ'רים (למשל Yubikey מובנה).
* Password Manager קלאסי מאפשר להגדיר לכל Entry משתמש, סיסמה, TOTP, URL, U2F וכד' שנשמרים על המכשיר עצמו (בניגוד לטרזור ששומר בקובץ על המחשב).
* ssh/pgp agent נראה שפיצ'ר שעושה שימוש בתוכנה נפרדת ולא קשור ניהול סיסמאות, אבל עצרתי את ההתעניינות ופסלתי אותו בגלל הסעיף הבא.
* יש מגבלה של 24 Entries בלבד, זה חיסרון משמעותי שהופך אותו לבלתי שימושי, הגדילו לעשות והם מציעים להשתמש ב LastPass בשביל יתר החשבונות (ולשמור מקום אחד מתוך 24 בשביל ה LastPass), פשוט ביזיון:

OnlyKey stores up to 24 unique accounts in offline storage and can be used to secure an unlimited number of accounts if used in conjunction with a software password manager. Learn about password security strategy or see example here.

While most users have hundreds of accounts they need to protect, only a handful of those accounts are most valuable. With this hybrid prioritized approach you don’t just have to hope that you don’t get hacked, you can conveniently do something about it.

 

[adamshalev]

מסתבר שלא.
בניגוד לחשבונות אונליין למינהם, ב keepass לא ניתן להשתמש עם כמה Yubikeys, בגלל שלמעט global counter וכד' ל Yubikey אין בכלל יכולת כתיבה (אלא אם בא לך להיפרד מ 650$)

אפשר ועשיתי את זה. רק שזה מצריך ״צריבה״ עם תוכנה מיוחדת במחשב ולא סתם זכרון RAM.
ככה אפשר לצרוב להרבה יוביקיס את אותה מחרוזת ״סודית״ שתשמש לערבול מול קיפאס.

 

[מתכנת]

אפשר ועשיתי את זה. רק שזה מצריך ״צריבה״ עם תוכנה מיוחדת במחשב ולא סתם זכרון RAM.

אפשר רפרנס לצריבה? (ובאיזה פלגין של keepass השתמשת?)

 

[adamshalev]

אפשר רפרנס לצריבה? (ובאיזה פלגין של keepass השתמשת?)

השתמשתי ב KeePassXC שהוא לטעמי עדיף על KeePass המקורי ותומך ב-yubikey בילטאין ללא צורך בפלאגינים.
הוראות והסבר מפורט לגבי איך קיפאס עובד עם יוביקי יש כאן.

 

[מתכנת]

KeePassXC שהוא לטעמי עדיף על KeePass המקורי

מדוע?

 

[adamshalev]

מדוע?

בעיקר כי הוא מפותח ע״י קהילה פעילה שמתנהלת באופן שקוף ב github לעומת פרוייקט סולו של איש אחד שכותב את KeePass. נראה גם שהם מקדמים פיטצרים בקצב טוב עם התוספת של יוביקי כדוגמא.

 

[מתכנת]

פרוייקט סולו של איש אחד שכותב את KeePass.

מעניין מה שאתה אומר, אף פעם לא שמתי לב לנקודה הזו וגם היא לא מאוד הטרידה אותי כל עוד ניתן להוריד קוד מקור ולקמפל לבד.
הוותק של הפרויקט וכמות הפורטים/פורקים שלו מרשימים מאוד (נראה לי גם כולם שומרים אמונים ומתאימים עצמם לאותו פורמט קובץ)
יצא לך לבחון פורקים נוספים לפני שהלכת על XC ?

לא מצאת עדיין אף מנהל סיסמאות שעושה אינטגרציה עם טרזור (פתיחת כל סיסמה בנפרד על גבי המכשיר) או התקן חומרתי אחר ?

 

[adamshalev]

יצא לך לבחון פורקים נוספים לפני שהלכת על XC ?

לא בדקתי את כולם, אבל XC נראה הכי פעיל. אכן כולם מתיישרים פחות או יותר לפורמט של KeePass.

לא מצאת עדיין אף מנהל סיסמאות שעושה אינטגרציה עם טרזור (פתיחת כל סיסמה בנפרד על גבי המכשיר)

נתקלתי בכמה מימושים פרטצ'יים למנהל ססמאות מבוסס טרזור. אתה גם יכול לעשות את זה בעצמך - יש פשוט קריאה של "הצפן מפתח-ערך", ו-"פתח מפתח-ערך". כל השאר זה UI. המימוש של Trezor עצמם הוא by far הכי נח וכמובן שיש את העניין של לסמוך על המפתח (אלא אם כן אתה רוצה לפתח בעצמך).

או התקן חומרתי אחר ?

לא ראיתי עד עכשיו משהו יותר טוב מבחינת דגש על אבטחה.
אני כן חושב שהתחום הזה יגדל עם הזמן ככל שנושא האבטחה נהיה יותר ויותר מהותי.

 

[adamshalev]

אחד מדגמי הyubikey חשוף למתקפת פישינג (משהו שהוא אמור להיות חסין מולו לחלוטין) בעקבות שינוי שגוגל הכניסו לפני שנה לכרום.
https://www.wired.com/story/chrome-yubikey-phishing-webusb/amp

 

[מתכנת]

אחד מדגמי הyubikey חשוף למתקפת פישינג (משהו שהוא אמור להיות חסין מולו לחלוטין) בעקבות שינוי שגוגל הכניסו לפני שנה לכרום.
https://www.wired.com/story/chrome-yubikey-phishing-webusb/amp

הדפדפן היה ונשאר החוליה החלשה והמסוכנת ביותר.

 

[adamshalev]

הדפדפן היה ונשאר החוליה החלשה והמסוכנת ביותר.

חשבתי שהממשק בין הכסא למקלדת הוא החוליה החלשה ביותר.

 

[מתכנת]

חשבתי שהממשק בין הכסא למקלדת הוא החוליה החלשה ביותר.

אתה צודק כמובן, אבל יש לו נטיה להתנער ולהפיל האשמה על אחרים.

 

[hommie]

לא שומר ססמאות.

רק אחת,וזוכר אותה...של גוגל. כל השאר משחזר כשצריך עם המייל (גוגל...).

 

[sogi]

שאלה למשתמשי trezor.
האם אתם מרגישים בטוח להשתמש במכשיר עם seed ששומר גם מטבעות ?
או שאולי כדאי לרוקן את המטבעות כדי להסתובב בחופשיות עם ה-password manager ?

אני שוקל לקנות עוד trezor כדי להוציא את המטבעות...