Тхт не нужен, есть простая бумага и перо

В интернете кто-то неправ?

А в чем проблема? Чтобы просто скопировать пароль запись открывать не обязательно.

у кого больше?

703

Я тут поражаюсь некоторым комментаторам.

Наверное такие комментаторы занимаются вирмейкерством или взломами и им не выгодна идея надежного пользовательского ПК.

Юзаю под вайном вендовую версию, потому что нативные KeepAss_ы тянут кучу ненужного говна, либо QT, либо mono.

База то у тебя под контролем, зашифрованная, а не как в evernote на чужом сервере.

То есть сохраняется все в пределах локалхоста? А зачем такое нужно?

А я сейчас перехожу с keepassx на http://www.passwordstore.org - пока нравится

К сожалению, против терморектального способа взлома паролей не существует никакой защиты, так что берегите свой тыл и не попадайтесь в руки злоумышленников.

как я уже сказал, защита от этого - принципиально не запоминать никакие пароли. Конечно, в час «Ч» все пароли должны быть уже уничтожены, и как говорится «всё пропало», но зато и не попало не в те руки.

Забыл добавить «и легко воруемом». На счет легкого уничтожения, стоит в 100500-й раз упомянуть флешку и молоток.

вероятность, что своруют флешку, намного больше, чем клочок бумаги с бредовыми записями, да и молотка в нужный момент может не оказаться под рукой + гарантированно разбить микросхемы памяти надо ещё постараться

Можно сделать специальную флешку с функцией самоуничтожения. Скажем, маленький аккумулятор и повышающий преобразователь на несколько тысяч вольт (мощность нужна мизерная, для нанесения сильного урона хватит одного потенциала). При нажатии на кнопку подаём разряд на чип памяти. В итоге молоток не нужен.

База данных keepass/keepassx хранится в зашифрованном виде. Чтобы её открыть нужен мастер-пароль (но один стойкий пароль запомнить гораздо проще, чем десятки и сотни). Так что мало просто своровать флешку. Нужно своровать владельца и применить к нему методы извлечения мастер-пароля.

А ещё при использовании менеджера паролей, можно пароли в принципе не видеть, даже мельком. Таким образом даже если захочешь - пароль не скажешь. И никаким гипнозом спецслужб его будет невозможно получить.

Пользуясь случаем: keepassx начал поддерживать формат .kdbx

Уже несколько лет. Забыли оплатить счет за электричество и криокамера отключилась?

И пущай ломают. Удачи.

Уже лет 20 такие «пароли» ломают по словарю.

а ещё можно сделать, чтобы галушки сами в рот прыгали, даа... Поймите наконец, если вы помните мастер-пароль - это уже большая потенциальная угроза для всего, что этот пароль должен защищать.

Какой гипноз, вы слишком хорошего мнения о спецслужбах. Скорее зажмут яйки в тисках и будут медленно их закручивать.

Кхм... я не вижу принципиальной разницы, из вас будут выпытывать все пароли по отдельности или один раз мастер-пароль. Если предположить, что палачи не имеют ограничений по времени и обладают достаточной квалификацией (чтобы не укокошить вас раньше времени), то результат будет абсолютно одинаковым - либо вы расскажите все пароли, либо не расскажете ни одного (последнее маловероятно, если вы не Рембо).

Однако в случае менеджера паролей после уничтожения носителя вы уже чисто физически не сможете сказать ни одного пароля (кроме мастер-пароля, который больше не будет иметь ценности), ибо вы ни разу в жизни ни один пароль можете даже не смотреть. Так что даже если палачи смогут заставить вас напрячь все свои силы на вспоминание пароля - вы не сможете этого сделать.

В случае использования бумажного носителя степень защиты явно будет ниже, ибо ручной алгоритм шифрования будет менее стойким (или его вообще не будет), потому что в уме дешифровывать RSA не каждый может. Всякие варианты «пароль - все чётные слова пятой строчки 156-ой страницы любимой книги» по сути дела обеспечивают защиту в первую очередь за счёт неизвестности алгоритма шифрования, а не ключа. А алгоритм по определению вы должны помнить наизусть и его можно из вас извлечь. Кучу личных записей быстро уничтожить не получится (просто порвать на кусочки руками - плохая идея, такое вполне умеют восстанавливать, особенно с использованием современных технологий) в отличии от флешки с системой самоуничтожения.

Кстати, описанную мною систему может наколхозить любой радиолюбитель. Тут вопрос скорее в том, что большинство людей неуловимые Джо и не будут заморачиваться.

Мнемонические приёмы для запоминания паролей — наше всё.

Зачем тебе ее смотреть? 1 клик по записи, Ctrl+B для копирования логина, Ctrl+C - пароля.

К сожалению, против терморектального способа взлома паролей не существует никакой защиты

Существует, называется «файл-ключ», существующий в единственном экземпляре и затираемый dd if=/dev/urandom при малейшем покушении на святая святых.

Не поверите, но это были просто цифры, к которым я привык. Выбор именно этих цифр не был связан никоим образом с битностью. И да, у меня даже в пин-коде к банковской карте есть комбинация 64 (ассоциация c Nintendo 64). Как видите, в этом случае тоже с битностью никаких логических связей, кроме ассоциативных). Есть ли жизнь на Марсе? Есть, но надо искать.

Для головы есть терморектальный криптоанализ. А если, например, пароль в файлике и вы его копипастите без попыток запомнить - то при убиении файлика из вашей головы вряд ли кто что-то добудет любым методом :D.

http://teampass.net/

А что вы думаете про это поделие?

Есть у кого опыт использования?

То есть, надо полагаться на то, что головорезы из какой-нибудь там солнечной Мексики поверят вам, что вы не помните пароль, а все пароли уже уничтожены? Я сомневаюсь, что они будут это слушать. Такие люди глухи к высокоинтеллектуальным беседам. Им хозяин сказал добыть пароль, они его добудут любым способом. И для начала они попробуют именно терморектальный способ взлома пароля. У меня прям перед глазами эта картина: стоят мрачные мексиканцы в чёрных масках, разогревают паяльник... и тут вы такой кричите: «Мужики! Не надо, пощадите! Я не помню пароля, он слишком длинный, я специально так делал, чтобы защититься от терморектального взлома! Все пароли уже удалены! Они самоудаляются через время N!» — а в ответ полное недоверие к этому интеллектуальному бреду очередного «хацкера» и что-то вроде: «Ну, ничего, сейчас мы немножко потренируем память...» или «братиш, это не беда, сейчас мы поможем тебе вспомнить всё, ну-ка, раздвинь-ка пошире булки...»
Уверяю вас, во время этой процедуры вы будете проклинать себя за то, что не запомнили пароль... Так что, да, лучше всё-таки пароли помнить для такого случая — может повезёт, скажешь пароль, и тебе вместо головы, всего лишь отрубят язык или ухо.

В стабильной версии, да?

Что бы не полагаться только на мастер-пароль, его можно комбинировать с файл-ключом.

эм, дак ить проблема не в том, чтобы вас защитить, а в том, чтобы защитить информацию (и потом всегда есть слабая надежда на гуманные методы как то детектор лжи, сыворотка правды, гипноз, :)

«порой бывает необходимо, чтобы во имя народа умер один человек, но целый народ никогда не должен умирать во имя одного человека» (С)

Резонно. Но я как-то читал протоколы допросов Жанны Д'Арк. И смею сказать, что во многом понял психологию следователя. И мне это понимание диктует уверенность, что придется сильно жалеть о том, что не помнишь паролей, если дойдет до термального криптоанализа.

По моему разумению прочность пароля должна быть рассчитана на технологический взлом. А себя лучше не подставлять к испытанию на прочность. И для для этого так же возможно обеспечить стратегии и механизмы. Например не хранить компромата на себя. Для пароля хорошая задача — защита от компрометирования, но не хранение компромата.

Ок, тогда есть простая замена: берем стишок который помним наизусть но который мало кто знает, и берем первые буквы каждого слова. Вот из этого будет годный пароль.

Во глубине сибирских руд
2 мужика старуху прут
Не пропадет их скорбный труд
По лет 15 им дадут

Можно сменить раскладку или написать в транслитерации. Принцип в том, что пароль незабываемый, но зашифрован еще в голове. Схем можно много разных придумать.

Например не хранить компромата на себя.

Имеется в виду, его можно хранить так, чтобы он не имел прямого отношения к тебе, например. Это конечно стратегия в вакууме, детализирующиеся под конкретные ситуации. Но суть ее в том, что лучше хорошо прятать, чем хорошо защищать.

У меня в кипасе ~300 паролей. Все разные.

Зачем? Не лучше ли просто запомнить 5 паролей на 5 уровней ответственности? Подавляющее большинство паролей ничего существенного не защищают, для них один пароль. А вот для каких-то важных логинов можно выделить несколько уникальных.

Мне в принципе не понятен смысл пароля, который ты не помнишь, вот в чем дело. Пароль это ключ который при тебе, в этом его назначение, как мне думается.

А потом тебе надо будет вспомнить пароль, который ты не вводил года полтора...

Вот именно поэтому пароль должен быть изначально запоминающимся. А лучше относиться к незабываемым, символическим для тебя вещам. Например стишок, который выше, надиктовал мне батя. Я его никогда не забуду, даже после курса интенсивной формацевтики. Запоминаешь только к какому именно из персональных воспоминаний прикрутил пароль и схему шифровки.

который ты не вводил года полтора..

Как ни странно, когда пароли не хранишь в машине а постоянно их набираешь сам, они запоминаются на удивление крепко ^_^

надиктовал мне батя

Не помню уже всвязи с чем. Кажется они с мамой решали, что мне на утреннике рассказать ^_^

В стабильной версии, да?

Текущая стабильная версия отличается от беты только припиской, что это бета.

538 =)

Зачем? Не лучше ли просто запомнить 5 паролей на 5 уровней ответственности?

Ага, приходишь такой в контору, где овер 1000 серверов и такой:
- Я рот имел ваш, смените везде рутовые пароли на такие, какие хочу!

Привет админам localhost'ов, в общем.

Cкорее всего, он тебя не поймёт и будет дальше сочинять стишки в транслитерации...

для них один пароль

Потом происходит слив базы пользователей одного из сервисов, и вместе с аккаунтом icq за один день утекают несколько аккаунтов мусорной почты, jabber, skype и vk. В довершение всего злодей выкладывает пароль на ЛОРе.

А лучше относиться к незабываемым, символическим для тебя вещам.

Проблема - вспомнить к какой именно «символической вещи» привязан этот пароль (который не вводился года полтора). С увеличением количества редковводимых паролей проблема возрастает.

не вводил года полтора

постоянно их набираешь сам

facepalm.png

Ошибка перевода.
На официальном сайте написано, что бинарники подписаны используя sha1, sha256.

Я не из тех, кто не читает и осуждает. Конечно же, я сначала залез на сайт и вычитал оригинальный текст.

Сейчас залез посмотреть их «подписи», дабы убедиться что все понял правильно. Да, помимо хеш-сумм, у них есть еще и цифровые подписи на все загружаемые файлы. Сделаны они с использованием SHA1 + 1024-битный DSA. Что одно, что другое, сейчас не актуально. Из чего возникает закономерный вопрос - а сколько тогда устаревшей крипты у них в самой программе?

Технически, цифровая подпись, это обычное шифрование хэша приватным ключем автора.

Только если используется алгоритм RSA. В данном случае - не верно.

вероятность, что своруют флешку, намного больше, чем клочок бумаги с бредовыми записями, да и молотка в нужный момент может не оказаться под рукой + гарантированно разбить микросхемы памяти надо ещё постараться

Всяко проще чем гарантированно уничтожить листик бумаги. К тому же, файл на флешке может (и должен) быть зашифрован. А вот на процесс шифрования с листиком и карандашом я бы очень хотел посмотреть.

Ну откуда он такое знать может, если он в девяностых ещё даже не родился? Не мешай ребёнку открывать мир.

гуманные методы как то детектор лжи, сыворотка правды, гипноз

Гуманность их, полагаю, заключается в том, что они не существуют? :)

А у меня везде рутовые пароли с одинаковым хэшем — «*». Очень рекомендую.

а что такого? я раскладку помню и спокойно ввожу на виртуальной клавиатуре

Помимо пароля много чего записано, смотреть нужно

Кому нужно? Нет, еще можно на фтп сохранять + синхронизировать, чем я и пользуюсь благополучно. Своя собственная, актуальная база всегда под рукой в любом месте

Проблема в том, что в большинстве случаев кроме пароля еще много чего нужно смотреть. К тому же я не только пароли храню, а произвольные заметки и т. д.

Да, помимо хеш-сумм, у них есть еще и цифровые подписи на все загружаемые файлы. Сделаны они с использованием SHA1 + 1024-битный DSA. Что одно, что другое, сейчас не актуально.

В новости речь идёт вот про эти подписи. С февраля все винды (которые ещё поддерживаются производителем) перестанут воспринимать подписи, сформированные с использованием алгоритма SHA-1. Поэтому бинарники подписали и с использованием SHA-256.

Отличная новость!

я вроде простую мысль высказал (и повторил), но такое ощущение, что остался непонятым

Да, вы можете шифровать и паролить всё на свете и возможно даже это убережет вас от чего-то. Надо только понимать, что любой пароль в вашей голове превращает вас самих в потенциальный обьект для взлома и как правило взлом этот будет всегда успешен.

вы совершенно правы