איך אתם שומרים סיסמאות?

[מתכנת]

קניתי את הגרסה החדשה Trezor T

האם כבר קיבלת אותו?
יש תובנות לגביו או אינפטוט כלשהו?

 

[adamshalev]

האם כבר קיבלת אותו?
יש תובנות לגביו או אינפטוט כלשהו?

כן. עובד איתו כבר חודשים.
בגדול - ה Trezor One המקורי יותר נח לשימוש מהחדש, לפחות באופן השימוש שלי. הישן קטן יותר וזה משמעותי במחזיק מפתחות. החדש מחייב הקלדה של ה pin code על המסך מגע שלו שזה בתכלס לא נח כי הוא נורא קטן ולא פעם אני מפספס ספרה. החדש גם לא נועל את עצמו אוטומטית אחרי כמה זמן, שזה פער אבטחתי אם משאירים אותו מחובר למחשב - גם כאשר המחשב כבוי הוא ממשיך לקבל מתח מה USB ונותר לא נעול (אולי אפשר לשנות את זה, ככה זה מתנהג אצלי מהקופסא). יש לו באג לפעמים שהוא לא מקבל בקשות לפתוח סיסמא, אבל יתכן שזה נובע מהעבודה שלי עם מכונה ווירטואלית (לא חקרתי). ניתוק-חיבור מחדש פותר את זה. הוא יקר יותר.
בסה״כ עבור שימוש כמנהל ססמאות, אני אמליץ על הישן על פני החדש. הם גם הוזילו את המחיר של הישן לא מזמן.

אבל לחדש יש ויהיו יכולות שלישן אין, בפרט בתחום של מטבעות קריפטו. קריאה מהמסך שלו היא גם מאד נוחה, לעומת הישן שמצריך מאמץ בשביל לקרוא.

 

[קפה שחור]

אבל לחדש יש ויהיו יכולות שלישן אין

אילו יכולות?

 

[adamshalev]

אילו יכולות?

ברמת החומרה - סלוט של מיקרו SD (יש כל מני שימושים פוטנציאליים לזה), מסך מגע שמספיק גדול כדי להציג מידע עשיר, יותר כח עיבוד. ברמת התוכנה, הדגם הישן מריץ קוד c שקשה יותר לתחזוקה ופיתוח יכולות והחדש מריץ פיטון שיאפשר פיתוח מהיר יותר.
עבורי זה 99% מנהל ססמאות נטו, שהוא המאובטח ביותר בעולם נכון להיום.

 

[קפה שחור]

ברמת התוכנה

האם הדגמים הישנים מקבלים גם שידרוגי תוכנה?

 

[מתכנת]

עבורי זה 99% מנהל ססמאות נטו, שהוא המאובטח ביותר בעולם נכון להיום.

מעבר לחוסר בנעילה אוטומטית שלא בדקת האם ניתן להגדיר, האם לחדש יש מאפייני אבטחה משופרים על פני הישן?
פורמט קובץ הסיסמאות והתוכנה במחשב זהים בין החדש לישן?

אבל לחדש יש ויהיו יכולות שלישן אין, בפרט בתחום של מטבעות קריפטו.

אילו יכולות בתחום הקריפטו?

 

[adamshalev]

האם הדגמים הישנים מקבלים גם שידרוגי תוכנה?

כן

מעבר לחוסר בנעילה אוטומטית שלא בדקת האם ניתן להגדיר, האם לחדש יש מאפייני אבטחה משופרים על פני הישן?
פורמט קובץ הסיסמאות והתוכנה במחשב זהים בין החדש לישן?

אילו יכולות בתחום הקריפטו?

הוא לא יותר מאובטח אם זאת השאלה, פרט לדבר אחד - עצם זה שהפתיחה של ה pin code מתבצעת על המכשיר עצמו ולא דרך המחשב פוסלת את האפשרות שתוקף ממוקד יאזין ל pin code ואז יגנוב את הטרזור (לא מודאג מזה). מכיר את מתקפת ה-5$ של xkcd ?
פורמט הקובץ והתוכנה זהים. אני משתמש בשני המכשירים כל הזמן, אחד על מחזיק מפתחות עם המחשב הנייד ואחד צמוד למחשב הנייח בבית (כן לא מנהג טוב, אבל הגנת ה pin code מספיק אפקטיבית בעיני).

בקריפטו - פשוט תמיכה ביותר מטבעות ובקצב גבוה יותר.

 

[סולידי]

מה בדיוק לא קוד פתוח? כל התוכנה והחומרה הם קוד פתוח בגיט, ואנשים בנו מכשירי טרזור בעצמם מאפס על בסיס חומרה שאתה יכול לקנות בקלות בכל מקום בעולם.
בנוסף, ווידאתי בעצמי שניתן בהינתן קובץ הססמאות המוצפן וה seed לחלץ את כל הססמאות ללא צורך בחומרה, אז אתה לא Locked in.

החלטתי לעבור למנהל ססמאות. מעלה מהאוב שרשור ישן.
עברתי על השרשור כולו, ונראה לי ש-trezor באמת נותן את ההגנה הטובה ביותר. הספק היחיד שנותר לי הוא בעקבות ההודעה הזאת שלך, @adamshalev .
אם ניתן לחלץ את כל הססמאות ללא שמוש בחומרה, אז מה בדיוק התפקיד שלה? נראה שהחומרה כאן לא מספקת רמה נוספת של אבטחה (משהו שיש לך) אלא רק נוחות. זה נכון?

 

[adamshalev]

החלטתי לעבור למנהל ססמאות. מעלה מהאוב שרשור ישן.
עברתי על השרשור כולו, ונראה לי ש-trezor באמת נותן את ההגנה הטובה ביותר. הספק היחיד שנותר לי הוא בעקבות ההודעה הזאת שלך, @adamshalev .
אם ניתן לחלץ את כל הססמאות ללא שמוש בחומרה, אז מה בדיוק התפקיד שלה? נראה שהחומרה כאן לא מספקת רמה נוספת של אבטחה (משהו שיש לך) אלא רק נוחות. זה נכון?

החומרה מחזיקה את ה-seed. הוא נוצר בחומרה, מוצג בחומרה כדי שתוכל לרשום אותו על דף נייר, ונשמר בחומרה. בלעדיו אין לך גישה לכלום.
מה שבדקתי זה שאם אני מזין את הseed במחשב אני יכול לפענח את הססמאות בתוכנה. זה לכאורה שקול למנהל ססמאות רגיל, רק שזה תרחיש שאתה באופן רגיל לעולם לא תעשה כי אתה לא אמור אף לעם להזין את הseed למחשב, זה מביס את עקרון ההגנה הפיסית של הטרזור.
לדעתי הוא באמת נותן את ההגנה הכי טובה שקיימת היום אבל זה לא הכי נח לשימוש, רוב האנשים יעדיפו מנהל ססמאות רגיל.

 

[סולידי]

החומרה מחזיקה את ה-seed. הוא נוצר בחומרה, מוצג בחומרה כדי שתוכל לרשום אותו על דף נייר, ונשמר בחומרה. בלעדיו אין לך גישה לכלום.
מה שבדקתי זה שאם אני מזין את הseed במחשב אני יכול לפענח את הססמאות בתוכנה. זה לכאורה שקול למנהל ססמאות רגיל, רק שזה תרחיש שאתה באופן רגיל לעולם לא תעשה כי אתה לא אמור אף לעם להזין את הseed למחשב, זה מביס את עקרון ההגנה הפיסית של הטרזור.

תודה. בינתיים קראתי על זה קצת ואני חושב שאני מבין את העקרון.
לכאורה, אם לטלפון שלי אין גישה לארנק, אני יכול להריץ את התוכנה של ה-trezor על הטלפון ולחסוך רכישה ונשיאה של חומרה הנוספת. נכון?

לדעתי הוא באמת נותן את ההגנה הכי טובה שקיימת היום אבל זה לא הכי נח לשימוש, רוב האנשים יעדיפו מנהל ססמאות רגיל.

מה לא נוח בו לשימוש? רציתי להתנסות בו לפני שאני קונה trezor אבל לא הצלחתי להתקין אותו ללא coupling עם חומרה.

 

[adamshalev]

תודה. בינתיים קראתי על זה קצת ואני חושב שאני מבין את העקרון.
לכאורה, אם לטלפון שלי אין גישה לארנק, אני יכול להריץ את התוכנה של ה-trezor על הטלפון ולחסוך רכישה ונשיאה של חומרה הנוספת. נכון?

מה לא נוח בו לשימוש? רציתי להתנסות בו לפני שאני קונה trezor אבל לא הצלחתי להתקין אותו ללא coupling עם חומרה.

אין אפשרות להריץ במנותק מהחומרה. אלא אם כן אתה מקמפל אימולטורים בפייטון ותאמין לי שזה לא נחמד.
מה שלא נח זה היעדר תמיכה בנייד, והצורך לחבר את המכשיר פיסית כל פעם שאתה משתמש בו, פלוס ההקלדה של ה pin code. זה במקור יועד לשימוש נדיר עבור פעולות קריפטו, אבל היישום של מנהל ססמאות מעל זה הוא אדיר, רק לא הכי קל לשימוש כמו מנהל ססמאות בדפדפן או אפילו keepass.

 

[GunnerWSM]

לא הבנתי מה הבעיה פשוט לשמור הכל בדפדפן אוטומטית?

 

[Lian]

גם אני שומרת באוטו' של הדפדפן - זה לא טוב? של גוגל, כרום.

 

[adamshalev]

לא הבנתי מה הבעיה פשוט לשמור הכל בדפדפן אוטומטית?

זה אותה רמת אבטחה כמו לשמור את כל הססמאות בקובץ notepad.
אפילו פחות, כי את הקובץ צריך למצוא, את הדפדפן לא.

 

[GunnerWSM]

זה אותה רמת אבטחה כמו לשמור את כל הססמאות בקובץ notepad.
אפילו פחות, כי את הקובץ צריך למצוא, את הדפדפן לא.

אתה מתכוון אם יפרצו לך למחשב או אם המחשב ייגנב?
אתה מקליד מחדש פרטי התחברות כל פעם בכל אתר?

 

[adamshalev]

אתה מתכוון אם יפרצו לך למחשב או אם המחשב ייגנב?
אתה מקליד מחדש פרטי התחברות כל פעם בכל אתר?

אם יפרץ. אם ייגנב. אם חבר / בן משפחה רק ״משתמש״ בו לרגע. יש לך אפס הגנה מכל אדם שיש לו גישה למחשב. ברצינות שלקובץ טקסט יש יותר הגנה.

באתרים החשובים אני לא שומר ססמאות בכרום ולא נשאר מחובר אחרי שימוש. באתרים לא חשובים אני נותן לגרום לזכור את הססמא.
מה שצריך להבין זה שמנהל הססמאות עבורי לפחות הוא לא רק מנהל ססמאות, הוא מנהל סודות, וסודות באים בכל מני צורות וצבעים. היופי בטרזור הוא שסוד שלא פתחת במחשב מעולם לא נחשף במחשב. אני יודע בוודאות שהוא מוגן גם אם המחשב פרוץ ונגוע מהייסוד.

 

[Myrath]

שומר הכל במסמך גוגל דרייב שפיירפוקס (דפדפן-אפליקציה משנה שלי) תמיד פתוח עליו.
CTRL+F ומוצא ישר...
אם זה סיסמאות חשובות - אני שומר ברמזים שמות וצירופים שבטוח שאני רק אבין את פשרם ("Sup+Lan-num").
יש לי מספיק צירופים והכל בא די בטבעיות. לא מצליח לשכנע את עצמי לסמוך על שומרי סיסמאות למיניהם.
חוץ מזה, סומך על הESET הביתי.

 

[sogi]

גם אני שומרת באוטו' של הדפדפן - זה לא טוב? של גוגל, כרום.

לשמור סיסמאות בדפדפן של גוגל זה הכי גרוע. בניגוד לפיירפוקס, גוגל שומרת את כל נתוני הדפדפן בענן בחשבון הגוגל שלך.
אני כמעט בטוח (תבדוק את זה) שאם תעשה לוגין בכרום שמותקן על מחשב אחר, אז הסיסמאות יופיעו כחלק משאר ההגדרות של הדפדפן שלך.
כלומר אתה מגן על כל הסיסמאות עם סיסמת הגוגל שלך...

 

[Delver]

keePass, קובץ הסיסמאות נמצא בדרופבוקס ומסתנכרן בין המחשב הביתי לסלולרי.

 

[adamshalev]

לשמור סיסמאות בדפדפן של גוגל זה הכי גרוע. בניגוד לפיירפוקס, גוגל שומרת את כל נתוני הדפדפן בענן בחשבון הגוגל שלך.
אני כמעט בטוח (תבדוק את זה) שאם תעשה לוגין בכרום שמותקן על מחשב אחר, אז הסיסמאות יופיעו כחלק משאר ההגדרות של הדפדפן שלך.
כלומר אתה מגן על כל הסיסמאות עם סיסמת הגוגל שלך...

זה אכן המצב וזאת לא הבעיה העיקרית. הבעיה היא שאין שום הגנה על הססמאות במחשב, שכאמור זה יותר גרוע מקובץ טקסט.

keePass, קובץ הסיסמאות נמצא בדרופבוקס ומסתנכרן בין המחשב הביתי לסלולרי.

עשיתי את זה שנים. זאת האופציה הכי טובה בעיני לרוב האנשים (יחד עם לאפשר לדפדפן לשמור ססמא לאתרים לא חשובים - אתרים כאלו אני אפילו לא טורח לשמור במנהל הססמאות כי תמיד אפשר לאפס דרך המייל בלחיצת כפתור או סתם לפתוח חשבון חדש).