אז ככה,

בעוד בדיוק כחודש אני יוצא לטייל לתקופה ארוכה מאוד. עכשיו, אני מתפרנס מהאינטרנט וככה למעשה אני מממן את המחיה שם.

השאלה היא - מה הדרך הכי טובה לאבטח את כל הססמאות במחשב שלי, כך שבמידה וגונבים לי, הגנב לא יוכל לחדור אליהן?

חשבתי לבטל שמירת ססמאות במחשב אוטומאטית, להתקין LASTPASS ולעשות LOGIN כל פעם שמדליקים את המחשב, או משהו כזה.

יש למישהו פתרון יצירתי יותר/יעיל יותר/מסוכן פחות?

תודה רבה!

תשתמש ב-KEEPASS המצויינת:

http://keepass.info/

לא דורשת התקנה, הצפנה שלא ניתנת לפיצוח וכיוון שאינה דורשת התקנה אתה יכול לשים אותה על DOK בנפרד מהמחשב.

אפשר אפילו להגדיר לה "קובץ אבטחה" שאם הוא לא נמצא במקום היא לא תיפתח אפילו עם הסיסמה הנכונה.

את ה-data base שלה אתה יכול לגבות בכמה מקונות אם יאבד לך ה-DOK במקרה - ממילא לא ניתן לפצח אותו ללא הסיסמה שלך (רק תבחר סיסמה טובה).

תשתמש ב-KEEPASS המצויינת:

http://keepass.info/

לא דורשת התקנה, הצפנה שלא ניתנת לפיצוח וכיוון שאינה דורשת התקנה אתה יכול לשים אותה על DOK בנפרד מהמחשב.

אה? אם זה One-Way-Encryption איך זה בדיוק עוזר לי?

מעקב.

אה? אם זה One-Way-Encryption איך זה בדיוק עוזר לי?

???

אתה אומר שההצפנה של KeePass לא ניתנת לפיצוח. אוקיי, זורם איתך.

אז איך בדיוק התוכנה הזאתי תעזור לי?

אלא אם כן אתה מדבר על ה Master Key..

תשתמש ב-KEEPASS המצויינת:

http://keepass.info/

לא דורשת התקנה, הצפנה שלא ניתנת לפיצוח וכיוון שאינה דורשת התקנה אתה יכול לשים אותה על DOK בנפרד מהמחשב.

אפשר אפילו להגדיר לה "קובץ אבטחה" שאם הוא לא נמצא במקום היא לא תיפתח אפילו עם הסיסמה הנכונה.

את ה-data base שלה אתה יכול לגבות בכמה מקונות אם יאבד לך ה-DOK במקרה - ממילא לא ניתן לפצח אותו ללא הסיסמה שלך (רק תבחר סיסמה טובה).

הצהרה יומרנית

^

אל תהיה קטנוני ומתחכם

ברור שאם ה-CIA יחליט להתלבש עליו או אם קווין מיטניק יסמן אותו כמטרה אז התמונה משתנה, אבל זה לא ממש מעניין פה, נכון?

תקרא קצת על ההצפנה שלה ותגיד לי מה אתה חושב....

• * KeePass supports the Advanced Encryption Standard (AES, Rijndael) and the Twofish algorithm to encrypt its password databases. Both of these ciphers are regarded as being very secure. AES e.g. became effective as a U.S. Federal government standard and is approved by the National Security Agency (NSA) for top secret information.
  
• * The complete database is encrypted, not only the password fields. So, your user names, notes, etc. are encrypted, too.
  
• * SHA-256 is used as password hash. SHA-256 is a 256-bit cryptographically secure one-way hash function. Your master password is hashed using this algorithm and its output is used as key for the encryption algorithms.
  
• * In contrast to many other hashing algorithms, no attacks are known yet against SHA-256.
  
• * Protection against dictionary and guessing attacks: by transforming the final master key very often, dictionary and guessing attacks can be made harder.
  
• * In-Memory Passwords Protection: Your passwords are encrypted while KeePass is running, so even when the operating system caches the KeePass process to disk, this wouldn't reveal your passwords anyway.
  
• * [2.x] Protected In-Memory Streams: When loading the inner XML format, passwords are encrypted using a session key.
  
• * Security-Enhanced Password Edit Controls: KeePass is the first password manager that features security-enhanced password edit controls. None of the available password edit control spies work against these controls. The passwords entered in those controls aren't even visible in the process memory of KeePass.
  
• * The master key dialog can be shown on a secure desktop, on which almost no keylogger works. Auto-Type can be protected against keyloggers, too.
  
• * Also see the security information page.
  

שזה בשום אופן לא "הצפנה בלתי ניתנת לפיצוח". קשה עד לא פרקטית? בהחלט.

אבל בטח שלא בלתי אפשרית. בלתי אפשרית זה One-Way כגון SHA או MD5 - וגם אז תמיד יש Brute-force.

* KeePass supports the Advanced Encryption Standard (AES, Rijndael) and the Twofish algorithm to encrypt its password databases. Both of these ciphers are regarded as being very secure. AES e.g. became effective as a U.S. Federal government standard and is approved by the National Security Agency (NSA) for top secret information.

* The complete database is encrypted, not only the password fields. So, your user names, notes, etc. are encrypted, too.

* SHA-256 is used as password hash. SHA-256 is a 256-bit cryptographically secure one-way hash function. Your master password is hashed using this algorithm and its output is used as key for the encryption algorithms.

* In contrast to many other hashing algorithms, no attacks are known yet against SHA-256.

* Protection against dictionary and guessing attacks: by transforming the final master key very often, dictionary and guessing attacks can be made harder.

* In-Memory Passwords Protection: Your passwords are encrypted while KeePass is running, so even when the operating system caches the KeePass process to disk, this wouldn't reveal your passwords anyway.

* [2.x] Protected In-Memory Streams: When loading the inner XML format, passwords are encrypted using a session key.

* Security-Enhanced Password Edit Controls: KeePass is the first password manager that features security-enhanced password edit controls. None of the available password edit control spies work against these controls. The passwords entered in those controls aren't even visible in the process memory of KeePass.

* The master key dialog can be shown on a secure desktop, on which almost no keylogger works. Auto-Type can be protected against keyloggers, too.

* Also see the security information page.

אין לי שום ספק שמדובר בתוכנה מצויינת ומאובטחת ואם הייתי צריך לא הייתי מהסס להשתמש בה.. אבל בלתי ניתנת לפיצוח - NO WAY.

ברמה הטכנית אין ספק שהצדק עימכם, אבל לצרכים שלו אין כל הבדל מעשי בין "קשה עד בלתי מעשית לפיצוח" לבין "בלתי אפשרית לפיצוח".

תעשה את LastPass בגרסת ה PRO ותוסיף YUBIKEY. סך הכל 37$ לשנה ואתה מקבל אבטחה ברמה גבוהה מאוד.

אם אתה מטרה של ה CIA או קווין מיטניק - עדיף שתתנתק מהאינטרנט בכלל

העפתי מבט על הYUBIKEY הזה, לא הבנתי בדיוק מה זה ומה הוא עושה. עד כמה זה יעיל הדבר הזה?

בקשר לKEEPASS, הוא משלים ססמאות אוטואמטית כמו LASTPASS או שצריך לעשות העתק-הדבק לכל אתר?

ובכלל, עד כמה יעיל זה להיות פשוט עם חשבון LASTPASS שמצריך LOGIN בכל פעם שמדליקים את המחשב? (בלי לשמור את הססמאות בדפדפן כמובן)

YubiKey נותן לך פקטור נוסף של אבטחה. הוא מייצר סיסמה חד פעמית שביחד עם הסיסמה שלך מאפשרת את הגישה לרשימת הסיסמאות.

כך למעשה מי שרוצה גישה לסיסמאות שלך זקוק למייל שלך, הסיסמה שלך וה YUBIKEY שלך. זה בהחלט מקשה מאוד על מישהו לפרוץ לך לחשבון.

שוב, קח בחשבון ששום אבטחה לא מושלמת וכשאתה מעלה את רמת האבטחה אתה משלם בנוחות. אבל עדיין זה נראה לי פתרון בהחלט מספיק למי שאמור לגשת לסיסמאות שלו מכל מחשב בכל מקום בעולם.

לא הבנתי איך זה עובד. מה זאת אומרת מייצר סיסמא חד פעמית? איך האתר המיועד יזהה כל פעם סיסמא חדשה?

האתר המיועד לא מזהה את הסיסמה של ה YUBIKEY. את הסיסמה של הYUBIKEY מזהה LASTPASS ואחרי שהיא מאפשרת לך את הגישה, יש לך גישה לאתר עם הסיסמאות שלך. משם אתה יכול לשלוף אותן לאתרים. אני ממליץ לך לראות את הסרטונים באתר של החברה, מאוד יעילים: