LINUX.ORG.RU
ФорумTalks

где хранить пароли?

 


2

2

в свете недавно открывшихся уязвимостей процессоров, задумался о хоть каком-то повышении безопасности хранения паролей. скажите пожалуйста как лучше поступить. исходя из того, что я человек далёкий от криптографии, администрирования, безопасности и т.д.

сейчас я храню все пароли в текстовом файле, который находится на рабочем столе. таким образом когда нужно ввести пароль, я открываю файл, через поиск домена(ctrl + F) нахожу соответствующий пароль и через копипаст вставляю его. при этом для критически важных ресурсов всегда отказываюсь от предложений браузера сохранить пароль в кеше

хорошей ли будет идеей хранить этот файл на флешке? и по мере надобности подключать её к ноуту? естественно, таким образом я хранил бы только наиболее важные пароли. обращение к которым происходило бы не чаще пары раз в неделю

что ещё можно предпринять для повышения безопасности. и вообще стоит ли так заморачиваться или это бесполезно?

сами пароли выглядят примерно так: nkdfgd745jnJKBTRYCTbNbefejw

вопрос удобства пользования не важен



Последнее исправление: prozaik (всего исправлений: 2)
Ответ на: комментарий от prozaik

А потом в шифре найдут уязвимость и твой файлик с поролями в сети распоролят.

kirk_johnson ★☆
()
Ответ на: комментарий от amd_amd

зря это не прибавляет безопасности...

Ну да, главное самого себя в этом убедить.

theNamelessOne ★★★★★
()

и вообще стоит ли так заморачиваться или это бесполезно?

неа, никому ваши пароли ненужны.

вопрос удобства пользования не важен

зря, у меня это теперь на первом месте, ибо надоело прятать всё.

eR ★★★★★
()
Ответ на: комментарий от prozaik

Не надо кулаками. Открываешь KeePass, и там генеришь пароль:

https://i.imgur.com/Teo4W6H.png

Но 106 для мастер-пароля это мало, на это внимание не обращай.

Не стесняйся чтобы он был большой (20 символов) и сложный (!?@#$%^&<>итд).

Даже не являясь никаким «линуксойдом», ты легко это запомнишь на третий день. Просто на уровне моторики. На слух не помнишь, а пальцы нажимают.

Что касается паролей, которые ты будешь использовать для сайтов, там ситуация другая. Многие сайты имеют ограничение на длину пароля (не меньше 5, но не больше, скажем, 15 символов) и его сложность (скажем, только латиница и подчеркивание, а $ нельзя). И поэтому, если сайт не является для тебя особо важным, не надо мудрить с паролем. Тем более, бывает что местный админ на таком сайте решает сделать некий апгрейд базы, и у всех, у кого были слишком длинные/сложные пароли, они становятся невалидными, приходится восстанавливать через почту.

Deleted
()
Ответ на: комментарий от Deleted

да. это всё полезно. но я вообще решил эту тему поднять потому что в последние годы ситуация сильно изменилась. важным становится пароль даже от какой-нибудь социалочки типа вконтактика

если например пользователя взломают и разместят какое-нибудь объявление о вступлении в ИГ или ещё чего-нибудь в таком роде, то можно очень большие проблемы с законом заиметь. доказывай потом людям в погонах, что ты не верблюд

prozaik
() автор топика
Последнее исправление: prozaik (всего исправлений: 1)
Ответ на: комментарий от eR

никому ваши пароли ненужны.

Ну у меня когда-то увели страничку в контакте. При том, что пароль был не совсем уж тупой.

Deleted
()
Ответ на: комментарий от prozaik

Во ВК вход по номеру + паролю. Используй номер, который ты используешь только для ВК, т.е. кроме тебя и оператора никому не известно, что он твой.

То же самое знающие люди советуют касательно симок, используемых для входя в банк.

Мер защиты много, главное не перемудрить, иначе мало того что неудобно, так и та самая «защита» наоборот, парадоксально, снижается. (Я сам сталкивался, когда свяжешь себя по рукам и ногам хитрой системой, потом она наичнает «жать», плюешь на нее, делаешь «здесь и сейчас» «как надо» - а в результате - бардак и что-то утеряно, причем непонятно где).

Deleted
()

Если знаешь, что такое git и gpg, passwordstore - классный способ хранения паролей. Если не знаешь, что такое git и gpg, советую узнать. Если не осилил, используй любой другой менеджер паролей.

Пароли можно генерировать так:

pwgen -B 15

или так

< /dev/urandom tr -dc _A-Z-a-z-0-9 | head -c${1:-32};echo

или так

openssl rand -base64 32

или так

shuf -n4 /usr/share/dict/words | tr -d '\n'
yvv ★★☆
()
Ответ на: комментарий от creazero

Lastpass

Лол. Чувак боится, что пароли с его машины то уведут, а ты вообще предлагаешь слить их чужому дяде.

najlus ★★★★★
()
Ответ на: комментарий от eR

просто ваша жена

Фигасе, на «Вы», да еще и жена. Неужели я кажусь настолько старым? :-)

Deleted
()

У меня с десяток паролей в голове. Они делятся на 4 уровня. Один самый простой-на всякий малонужный шлак. Ещё пара чуть сложнее (просто длиннее) для того, что вызывает лёгкую тревогу при мысли о взломе. Ещё пара уже со спецсимволами, для всяких нужных почт. Остальные самые ценные-неразборчивая непроизносимая каша 16+ символов. Пара из них меняется регулярно (раз в пол-года точно). И этого мало, приходится держать и файлик с паролями дополнительно. От манеджеров паролей толку нет кроме удобства-если у кого-то есть доступ к твоему ж/д то ему пофиг, что читать, файлик с паролями или «зашифрованую» базу. Для бекапов некоторые пароли есть на бумаге в надёжном месте. Как запоминаю пароль-пишу его на бумаге и ложу в незаметном месте возле компа или с собой таскаю. Смотрю в бумагу, перепечатываю. На хрен-знает-какой попытке получается само. Иногда попадаю в петлю, когда какой-то пароль подзабывается и я начинаю пробовать все подряд, которые помню. Из-за этого дико нервничаю, представляя, как недобросовесный ресурс завладел всеми моими паролями сразу.

Pyzia ★★★★★
()
Ответ на: комментарий от Pyzia

Именно поэтому есть смысл сделать 1-2 простых пароля для регистраций на некритичных ресурсах, а для всего серьёзного - комбинация из 1-2 сложных паролей, плюс придумать свой алгоритм для ресурсов. Тупо добавляешь какую-то часть символов, которые определяются самим ресурсом, и немного более сложным алгоритмом, чем добавлять, например, vK2 в конец пароля для учётки в vk.

ekzotech ★★★★
()
Ответ на: комментарий от ekzotech

ребята, я же говорю, что «некритичных» ресурсов теперь нет. если какой-нибудь третьесорный форум взломают и разместят противоправный контент, то можно сесть на многие годы. в СМИ такие случаи иногда появляются, но, вероятно, скоро их станет больше

prozaik
() автор топика
Ответ на: комментарий от ekzotech

Именно поэтому есть смысл сделать 1-2 простых пароля для регистраций на некритичных ресурсах, а для всего серьёзного - комбинация из 1-2 сложных паролей, плюс придумать свой алгоритм для ресурсов

Из какой группы ты бы выбрал пароль для сбербанк-online?

ЗЫ. В базе они хранят его не в виде хеша, а скорее всего в открытом виде.

ksim
()
Ответ на: комментарий от prozaik

Сократи количество форумов и социальных сетей, которыми пользуешься. Так тебе будет проще отследивать состояние своих аккаунтов. Я пользуюсь только Stack Overflow, здесь иногда пишу и в контакте общаюсь. Всё.

На всех «неважных» сайтах: 20 символов, латиница, большие и маленькие буквы, цифры, базовые дополнительные символы. Генерироваться должен автоматикой, как я показывал выше, а не «стихами».

На всех сайтах, где есть повышенный риск - можешь пробовать сделать пароль сложнее.

Используй менеджер паролей.

Лицензионный антивирус (выбираешь в зависимости от ОС, цены и популярности на мировом рынке). Можешь поставить Касперского + security cloud. Щас набегут критики, но я просто хотел сделать акцент именно на security cloud.

Отдельные симки для привзяки важных аккаунтов (я писал выше).

С телефона и с рабочего (которые в офисе) компьютера никуда не заходишь, кроме почты.

Всё важное только из дома. И интернет должен быть не WiFi, а проводной.

в СМИ такие случаи иногда появляются

Я утром и вечером трачу 10 минут на новостные сайты, и что-то ни одного примера, как описываешь ты, не видел.

Deleted
()
Ответ на: комментарий от prozaik

люди, а как оцените такой вариант?

хранить пароли в keepassXC. зашифрованный файл с паролями хранить на локальной машине. но после каждого изменения базы копию этого файла забрасывать на свой яндекс-диск

при этом мастер-пароль не хранится ни на яндекс-диске, ни на локальной машине

я склоняюсь к такой схеме потому что хранить удалённо файл на сервере разработчиков keepassCX мне кажется не лучшей идеей, а взламывать яндекс-диск такого маленького человека как я вряд ли кто-нибудь станет

prozaik
() автор топика
Последнее исправление: prozaik (всего исправлений: 1)
Ответ на: комментарий от prozaik

хранить пароли в keepassXC. зашифрованный файл с паролями хранить на локальной машине. но после каждого изменения базы копию этого файла забрасывать на свой яндекс-диск

Я так уже пару лет делаю.

Kron4ek ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.