Здравствуйте, Shellac, Вы писали:
S> Какие есть аргументы против?
Как-то я размышлял на эту тему и вот к чему пришел.
Безусловный минус — это мастер-пароль (или мастер-ключ). Это SPOF. Чтобы это компенсировать, нужно применять к нему политику примерно такую же, как и к остальным паролям. Сложность, регулярная смена, etc. При смене мастер пароля база перешифровывается с новым паролем. Но как правило где-то остаются старые версии базы, зашифрованные старыми паролями. Это бэкапы (обычно в облаке, то есть вне моего контроля), временные копии на чужих компьютерах где я когда-то работал, незатертые сектора на диске со старой версией файла и т.д.
Получается, смена пароля в данном случае и от брутфорса не помогает (можно хоть 100 лет брутфорсить), и в случае компрометации пароля не очень эффективна.
Здравствуйте, Shellac, Вы писали:
S>Какие есть аргументы против?
А с какой целью интересуешься?
Вот я практически полностью уверен, что мой KeePass с мастер-паролем и без файлового ключа никто ломать не будет, ибо неуловимый Джо, а для массовой кражи паролей есть куча хомячков, хранящих их в куда менее защищенном виде. А вот если ты директор крупной компании, то надо изучать риски и консультироваться с безопасниками.
Переубедить Вас, к сожалению, мне не удастся, поэтому сразу перейду к оскорблениям.
Здравствуйте, Shellac, Вы писали:
S>Какие есть аргументы против?
Я все пароли храню в текстовом файле на своём компьютере. Потому что если кто-то сможет читать мои файлы, то ему никто не помешает кейлоггить вводимые пароли и тд (включая всякие мастер-пароли). Поэтому не вижу смысла усложнять себе жизнь. Сделал простой скрипт, который периодически бэкапит этот текстовый файл в яндекс диск (а вот бэкап уже зашифрован паролем).
Смысла в дополнительных программках не вижу, просто потому, что они менее удобны, чем файл + shell + запоминание паролей в браузере. Ну и мои скрипты простые как две копейки, там точно проблем быть не может. А все эти программы это десятки тысяч строк кода. Нафиг оно надо. KISS.
Здравствуйте, vsb, Вы писали:
vsb>Здравствуйте, Shellac, Вы писали:
S>>Какие есть аргументы против?
vsb>Я все пароли храню в текстовом файле на своём компьютере. Потому что если кто-то сможет читать мои файлы, то ему никто не помешает кейлоггить вводимые пароли и тд (включая всякие мастер-пароли). Поэтому не вижу смысла усложнять себе жизнь. Сделал простой скрипт, который периодически бэкапит этот текстовый файл в яндекс диск (а вот бэкап уже зашифрован паролем).
Это не так. К примеру, ты получишь браузерный эксплойт, который прошерстит файлы на диске по маске pass*.txt и отправит их куда-то. Эксплойт и вирь может исчезнет после перезагрузки браузера, но данные уже уплыли. Установка кейлогера, если не работаешь админом маловероятна.
В результате, менеджеры паролей — еще один уровень защиты критических данных.
Здравствуйте, kr510, Вы писали:
S>>>Какие есть аргументы против?
vsb>>Я все пароли храню в текстовом файле на своём компьютере. Потому что если кто-то сможет читать мои файлы, то ему никто не помешает кейлоггить вводимые пароли и тд (включая всякие мастер-пароли). Поэтому не вижу смысла усложнять себе жизнь. Сделал простой скрипт, который периодически бэкапит этот текстовый файл в яндекс диск (а вот бэкап уже зашифрован паролем).
K>Это не так. К примеру, ты получишь браузерный эксплойт, который прошерстит файлы на диске по маске pass*.txt и отправит их куда-то. Эксплойт и вирь может исчезнет после перезагрузки браузера, но данные уже уплыли. Установка кейлогера, если не работаешь админом маловероятна. K>В результате, менеджеры паролей — еще один уровень защиты критических данных.
Ну да, браузерный экспойт прошерстит файлы, но не установит свою заразу? Не верю. В первую очередь такой эксплойт проверит файлы с базой известных популярных программ, если уж он нацелен на пароли. И обязательно установит свою заразу.
Здравствуйте, wildwind, Вы писали:
SK>> например Keepass 2 был пару раз дискредитирован в моих глазах. а <b>KeePassX</b> только один.
W>Давай подробности. Давно пофиксенные баги в старых версиях?
Да. Ложечка нашлась, но осадочек остался.
Сейчас им доверяются пароли от малозначимых вещей.
SK>>Да. Ложечка нашлась, но осадочек остался. Ops>А что за осадочек? Утекло что-то, или просто само существование багов?
Да. Несколько важных ресурсов были необъяснимым образом скомпрометированы. У товарища пароли к этим ресурсам хранились в Keepass2.
Четких аргументов нет, только ощущения.
SK>>Сейчас им доверяются пароли от малозначимых вещей. Ops>А чему доверяются значимые?
Блокнотам с примерно вот такими страничками.
Коллеге говоришь "ресурс такой то, страница такая то, колонка с зонтиком".
Против:
1. не идеальный менеджмент версий, сервер не запоминает ни чего, даже автокомплит
2. если не держать всё время открытым то приходится вводить всю форму заново
в остальном доволен
Обновленные расширения для браузеров обеспечивают максимально удобный доступ к паролям при первой необходимости.
SK>/тут имеется в виду, что расширение браузера легко проходит все правила firewall и сливает логин\пароль\ресурс кому попало/
SK>как обычно...
SK>например Keepass 2 был пару раз дискредитирован в моих глазах. а <b>KeePassX</b> только один.
Интересно , а есть что-то компрометирующее Roboform2Go?
