איך מנהלים סיסמאות?

שלגון · שליחה 07/12/2013 12:34

אתה טועה ומטעה.

baloon כתב:מצטער לאכזב אותך אבל הפרצה לLastPass משמעותית שבעתיים מחור האבטחה של 1Password.
...

בבקשה, תראה לי דיון רציני אחד שעוסק בבעיית ה- security הזאת של LastPass.

baloon כתב:דבר נוסף, לLastPass יש בעיית אבטחה מושרשת שהיא כמובן שמירת הסיסמאות בשרת מרוחק.
...

הסיסמאות נמצאות בקובץ מוצפן על השרתים שלהם. הוא מפוענח אך ורק בצד של המשתמש. הפעילות על השרתים שלהם מאובטחת ומנותרת הרבה הרבה יותר טוב ממה שאני או אתה יכולים לעשות לבד בבית.
יותר מזה: 1Passowrd, באתר שלהם, מציעים למשתמשים להעזר ב- dropbox כדי לסנכרן בין מחשבים! אם זאת כזאת בעיית אבטחה מושרשת הם לא היו כותבים את זה, לא?

שנמשיך? שני הפתרונות משתמשים במודל אבטחה מבוסס סטנדרטים (זה טוב!) זהה שמבוסס על AES-256 ו- PBKDF2. רק שב- 1Password זה יחסית חדש. לפני זה הם השתמשו ב- AES-128 כדי שזה ייקח פחות זמן על iPhone. הם טענו ש- AES-128 זה מספיק טוב. ועכשיו זה כבר לא? או שהם עשו פשרה (קטנה) ב- security לטובת שימושיות?

אבל אם טוב לך עם 1Passowrd - שיבושם לך.

ValorHeart · שליחה 07/12/2013 17:22

לפחות ב1Password אתה יכול לסמוך על עצמך, שלא כמו בLastPass אתה צריך לסמוך על גורם חיצוני, דרך אגב לאיזה מאגר סיסמאות האקרים יעדיפו לפרוץ, למחשב האישי שלך שהIP שלו משתנה מהר מאוד או למאגר סיסמאות של LastPass ?.

שלגון · שליחה 07/12/2013 18:36

ValorHeart כתב:לפחות ב1Password אתה יכול לסמוך על עצמך, שלא כמו בLastPass אתה צריך לסמוך על גורם חיצוני, דרך אגב לאיזה מאגר סיסמאות האקרים יעדיפו לפרוץ, למחשב האישי שלך שהIP שלו משתנה מהר מאוד או למאגר סיסמאות של LastPass ?.
...

אלה שאלות לגיטימיות. אני, באופן אישי לא עוקב אחרי גילויים של פרצות אבטחה ופועל כדי לסגור אותן (בנתב, במערכות ההפעלה השונות שמחוברות לרשת, דפדפנים+תוספים וכו') מעבר לעדכונים אוטומטיים.
אני גם לא מנטר אם נעשו ניסיונות חדירה, לדוגמא, ב- log של הנתב (ויש כלים אוטומטיים שעושים פעולות כאלה) לרשת הביתית.
בלי לבדוק, אני אומר לך, באחריות, ששתי החברות האלה עושות את זה ועוד איך. אז על מי אפשר לסמוך יותר?

אז לגבי האקרים: בלי ספק יהיה להם יותר קל לפרוץ אל הרשת הביתית. נכון ששרתי החברה מהווה מטרה יותר אטרקטיבית. אבל אם ב- 1Password מרגישים מספיק בנוח להמליץ על סנכרון של קובץ הסיסמאות בענן באמצעות חברה צד ג' (dropbox) שיש להם אפס שליטה על מה שקורה שם, הם בעצם אומרים שהם סומכים על ההצפנה של הקובץ הזה.

תעשה אתה אחד ועוד אחד: מה שהם אומרים בעצם זה שאין בעיית אבטחה כשהקובץ נמצא בענן, כל עוד מודל ההצפנה מספיק טוב. ולהזכירך, שתי החברות משתמשות באותו מודל הצפנה.

תסכים או לא תסכים, בזאת אני מסיים את מה שיש לי לאמר בנושא.

ValorHeart · שליחה 07/12/2013 18:40

גם הקבצים שלך בdropbox מוצפנים, לכן שיש לך הגנה כפולה, כמו כן צריך לדעת לאיזה חשבון dropbox ספציפי לגשת בשביל להשיג את קבצי הסיסמאות שלך כאשר בLastPass זה ידוע בוודאות שכל הקבצים שם הם סיסמאות של אנשים לכן האקרים ילכו עליהם עלייך הם בכלל לא שמעו ולא מודעים לקיומך שזה מה שטוב.

שלגון · שליחה 07/12/2013 19:30

ValorHeart כתב:גם הקבצים שלך בdropbox מוצפנים, לכן שיש לך הגנה כפולה, כמו כן צריך לדעת לאיזה חשבון dropbox ספציפי לגשת בשביל להשיג את קבצי הסיסמאות שלך כאשר בLastPass זה ידוע בוודאות שכל הקבצים שם הם סיסמאות של אנשים לכן האקרים ילכו עליהם עלייך הם בכלל לא שמעו ולא מודעים לקיומך שזה מה שטוב.
...

אתה גורר אותי לתוך הדיון הזה שוב:

לגבי ההצפנה של dropbox: למערכות (ולאנשים) של dropbox יש גישה ישירה לקבצים הלא מוצפנים, וזה לא רק עניין תאורטי, הם אשכרה עושים את זה: http://www.pcworld.com/article/2048680/ ... files.html
ז"א, שההצפנה ומפתח ההצפנה נמצאים גם על השרת, ולא רק ב- client. בגלל זה יש אנשים שמצפינים את הקבצים שלהם לפני שהם מעלים אותם ל- dropbox.
אני לא יודע אם ידעת את זה עד עכשיו. אבל עכשיו, תגיד לי איך זה שהאנשים (המומחים לאבטחת מידע) של 1Password עדיין ממליצים על השירות הזה? אפקטיבית, הם אומרים (בלי לאמר) שההצפנה של קובץ הסיסמאות חזקה מספיק שפריצה של הקובץ היא לא מעשית.

אני מקווה שאם תקרא את מה שכתבתי קודם זה ישמע יותר הגיוני/סביר.

Shed · שליחה 07/12/2013 20:52

מבחינתי, לשים את קובץ הסיסמאות בענן זה כמו לשים את המפתחות של הבית אצל כל השכנים ברחוב - אם פורצים לאחד מהם - פורצים גם אלי הביתה.
רבותי - כמו שאתם לא משאירים את המפתחות של הבית והאוטו בכל מקום ("רק כדי שיהיה לכם נוח במידה ותזדקקו להם") כך לא עושים עם הסיסמאות שלכם.

הערה אחרונה: אם אני שם יד על קובץ מוצפן (בין אם זה AES128 או AES256 זה רק עניין של זמן עד שאני אוכל לקרוא את התוכן שלו. באמצעים "פרימיטיביים" זה יכול לקחת שבועות, באמצעים מתוחכמים יותר זה עניין של ימים, באמצעים מתוחכמים מאוד זה עניין של דקות עד שעות.

Shayosef · שליחה 07/12/2013 21:21

עברתי ל 1password , אני גם בדעה שענן של חברת שמירת ססמאות מועד לפורענות הרבה יותר מענן פרטי.

בינתיים מרוצה מאוד , מצפה לעדכון האפליקציות ל iOS 7 וקצת טאצ׳ים ל ui בחלונות.

שלגון · שליחה 07/12/2013 21:48

Shed, אולי אתה גורו ב- HTPC, אבל ממה שכתבת אני מבין שאין לך מושג בהצפנה.

ValorHeart · שליחה 07/12/2013 21:49

שלגון כתב:
ValorHeart כתב:גם הקבצים שלך בdropbox מוצפנים, לכן שיש לך הגנה כפולה, כמו כן צריך לדעת לאיזה חשבון dropbox ספציפי לגשת בשביל להשיג את קבצי הסיסמאות שלך כאשר בLastPass זה ידוע בוודאות שכל הקבצים שם הם סיסמאות של אנשים לכן האקרים ילכו עליהם עלייך הם בכלל לא שמעו ולא מודעים לקיומך שזה מה שטוב.
...
אתה גורר אותי לתוך הדיון הזה שוב:

לגבי ההצפנה של dropbox: למערכות (ולאנשים) של dropbox יש גישה ישירה לקבצים הלא מוצפנים, וזה לא רק עניין תאורטי, הם אשכרה עושים את זה: http://www.pcworld.com/article/2048680/ ... files.html
ז"א, שההצפנה ומפתח ההצפנה נמצאים גם על השרת, ולא רק ב- client. בגלל זה יש אנשים שמצפינים את הקבצים שלהם לפני שהם מעלים אותם ל- dropbox.
אני לא יודע אם ידעת את זה עד עכשיו. אבל עכשיו, תגיד לי איך זה שהאנשים (המומחים לאבטחת מידע) של 1Password עדיין ממליצים על השירות הזה? אפקטיבית, הם אומרים (בלי לאמר) שההצפנה של קובץ הסיסמאות חזקה מספיק שפריצה של הקובץ היא לא מעשית.

אני מקווה שאם תקרא את מה שכתבתי קודם זה ישמע יותר הגיוני/סביר.
...

אני לא גורר אותך לשום מקום, לא רוצה אל תגיב ואל תענה.

בשביל שמישהוא ירצה למצוא את הסיסמאות שלך הוא יצטרך לאתר איפה אתה שומר את קובץ הסיסמאות המוצפן שלך, אתה לא חייב לסנכרן בDROPBOX, זאת אופציה בלבד.

אם אתה משתמש בשירות אשר ידוע שכל הסיסמאות של כל המשתמשים נמצאים בענן מסויים יהיה הרבה יותר קל לאתר אותך במידה והוא נפרץ, ושם אין לך ברירה, אם תראה ואם לא תרצה הסיסמאות שלך נמצאות בענן.

mp3lll · שליחה 07/12/2013 21:54

שלגון כתב:Shed, אולי אתה גורו ב- HTPC, אבל ממה שכתבת אני מבין שאין לך מושג בהצפנה.
...

חה הצחקת אותי, אתה כנראה לא יודע מי הוא באמת.
אל תכתוב סתם דברים אם אתה לא יודע

שלגון · שליחה 07/12/2013 22:28

ValorHeart כתב:אני לא גורר אותך לשום מקום, לא רוצה אל תגיב ואל תענה.
...

צודק. אתה לא גורר אותי - אני נגרר.

ValorHeart כתב:בשביל שמישהוא ירצה למצוא את הסיסמאות שלך הוא יצטרך לאתר איפה אתה שומר את קובץ הסיסמאות המוצפן שלך, אתה לא חייב לסנכרן בDROPBOX, זאת אופציה בלבד.

אם אתה משתמש בשירות אשר ידוע שכל הסיסמאות של כל המשתמשים נמצאים בענן מסויים יהיה הרבה יותר קל לאתר אותך במידה והוא נפרץ, ושם אין לך ברירה, אם תראה ואם לא תרצה הסיסמאות שלך נמצאות בענן.
...

אתה מתאר מימוש נאיבי: כשהשם שלי מופיע בצורה גלויה. אם השם שלי, שזה האינדקס בעזרתו שולפים את הקובץ המוצפן של הסיסמאות מופיע כמו שהוא (plain text) אתה צודק. אבל זה מימוש נאיבי. אני בטוח שלא נשלח השם שלי אלא hash של השם שלי והוא המפתח בעזרתו שולפים את הקובץ. מי שרוצה לחפש אותי באופן ספציפי - שיהיה לו בהצלחה.
ואני חוזר ואומר בפעם השלישית או הרביעית. הסטנדרטים של ההצפנה שעושים בהם שימוש: יקח נ-צ-ח בשביל לפצח אותם. גם אם למישהוא יהיה את הקובץ. זאת הסיבה היחידה ש- 1Passowrd בעצמם ממליצים על שירות כמו dropbox.
יהיה יותר קשה להגיע לקובץ הסיסמאות שלי שנמצא על השרתים של LastPass מאשר לפרוץ לי לרשת הביתית, וגם אם חו"ח זה יקרה אני אדע על זה קודם כי הם מנתרים את המערכות שלהם באופן קבוע, להבדיל ממני.

ValorHeart · שליחה 07/12/2013 22:32

אוקיי, מסכים איתך, שיהיה שבוע נפלא.

שלגון · שליחה 07/12/2013 22:40

Shed כתב:מבחינתי, לשים את קובץ הסיסמאות בענן זה כמו לשים את המפתחות של הבית אצל כל השכנים ברחוב - אם פורצים לאחד מהם - פורצים גם אלי הביתה.
רבותי - כמו שאתם לא משאירים את המפתחות של הבית והאוטו בכל מקום ("רק כדי שיהיה לכם נוח במידה ותזדקקו להם") כך לא עושים עם הסיסמאות שלכם.
...

"מבחינתי" - עם זה אני לא יכול להתווכח. אבל האנלוגיה שלך פשוט לא נכונה. עם המפתח הפיזי לבית כל אחד שמחזיק בו יכול לפתוח את הבית. עם הקובץ המוצפן, צריך עוצמת מחשוב שיש לארגונים כמו ה- NSA בשביל לפצח אותו בפרק זמן של שנים או חודשים.

Shed כתב:הערה אחרונה: אם אני שם יד על קובץ מוצפן (בין אם זה AES128 או AES256 זה רק עניין של זמן עד שאני אוכל לקרוא את התוכן שלו. באמצעים "פרימיטיביים" זה יכול לקחת שבועות, באמצעים מתוחכמים יותר זה עניין של ימים, באמצעים מתוחכמים מאוד זה עניין של דקות עד שעות.
...

באמצעים פרימיטיביים? מה, brute force? שבועות!? באמצעים מתוחכמים עניין של דקות? ידידי, תראה לי מקום אחד שטוענים שאפשר לעשות את אתה שאתה טוען פה לגבי AES-256. זאת הסיבה שכתבתי שאין לך מושג - כי אין לך מושג.
בא תקרא קצת פה: http://en.wikipedia.org/wiki/Advanced_E ... d#Security

baloon · שליחה 07/12/2013 23:16

חברים, בואו נסגור את המחלוקת בכך שהמוח האנושי הוא המקום הטוב ביותר לאחסן את הסיסמאות וכל דבר אחר, לא צריך שום תוכנה. לי יש כמה סרטי HD 1080P במוח.....

נ.ב לא צריך להשתגע.. סה"כ כמה סיסמאות פורנו...

shlomiassaf · שליחה 07/12/2013 23:48

אני חושב שהדיון על ההצפנות ממש לא רלוונטי...

כמה עובדות פשוטות...
לא קיים קובץ "לא פריץ".
שהקובץ שלכם בענן הוא חשוף הרבה יותר מאשר הוא מאוחסן במחשב שלכם.
חברת אחסון ענן מאובטחת בכמה רמות יותר מהמחשב שלכם.
האקר חביב יכול באמצעות הפעלת מספר "זומבים" במקביל לפרוץ את ההצפנה שלכם... הזמן שלו יורד לינארית או לוגריתמית... בלי בעיות.

ועכשיו קצת דעות...
רוב הסיכויים שאף אחד לא יתעניין בקובץ שלכם וישקיע את המאמצים בלפרוץ אותו.
אין הרבה אנשים בעולם שיודעים לפרוץ AES במהירות ריאלית.
אין להם גם מחשב קוונאטום...

ובקיצור.. ענן או פרטי עניין של העדפות.
ענן הרבה יותר נוח והכל תלוי בסיכון מול התועלת... אין כן יותר/פחות טוב.

baloon · שליחה 07/12/2013 23:54

שלומי, תגובה עניינית מאוד, נהנתי.

shlomiassaf · שליחה 08/12/2013 0:01

שלגון,
יש היום הערכות רבות שקיימים מליוני מחשבים עם TROJANS שמשמשים כזומבים...
ו
אללה, אפילו שלי ושלך יכולים להיות כאלה ואנחנו לא יודעים... ולא זה לא משנה איזה פיירוול תוכנתי יש לך... כל עוד אין לך ניטור חומרה חיצוני אתה אף פעם לא יכול להיות בטוח.

אז תחשוב באמצעות כל הכוח מחשוב הזה... אפשר לצמצם משמעותית את הפעולה.

nati777 · שליחה 08/12/2013 0:08

הכי טוב לכתוב את כל הסיסמאות על דף ולשמור במקום בטוח בבית.

שלגון · שליחה 08/12/2013 1:04

שלומי, אנחנו מדברים על סדרי גודל כאלה של מספרים שגם עם מיליוני מחשבים הקבצים האלה לא יפוצחו בתקופת החיים שלנו.
תראה פה: http://www.eetimes.com/document.asp?doc_id=1279619
וגם פה: http://blog.agilebits.com/2013/03/09/gu ... -aes-keys/

Shed · שליחה 08/12/2013 6:24

שלגון כתב:Shed, אולי אתה גורו ב- HTPC, אבל ממה שכתבת אני מבין שאין לך מושג בהצפנה.
...

יכול להיות שיאן לי מושג, ויכול להיות שיש לי. מהצד שלך של המקלדת אתה בטוח לא יכול לדעת בוודאות. כלל בסיסי באבטחת מידע אומר שברגע שיש לי גישה פיזית למידע - המשחק נגמר. אם הגעתי פיזית לשרת שלך - זה כבר לא משנה מה שמת עליו, המידע, בסופו של דבר, יהיה שלי. אותו כנ"ל לגבי הקובץ שלך.

לאורך כל ההודעות שלך את חושב על brute force שנעשה על ידי cpus. ישנן דרכים מתוחכמות יותר: למשל: הרצת החישובים על ידי gpus אשר מבצעים את הפעולות המתמטיות הספציפיות האלה בסדרי גודל מהר יותר מאשר cpu. תוסיף לזה את העובדה שיש לך היום כח מחשוב זול וזמין (EC2 של אמזון, CE של גוגל) ותראה שהעסק כבר מעניין יותר. כל מה שתוקף צריך לעשות זה להשקיע כמו מאות / אלפי דולרים וזה הכל.
הנה דוגמא לסטודנט, שניסה להרוויח כמה נקודות בקורס והצליח להגיע לקצב של כ2.3 מיליארד MD5 Hash בשניה. http://du.nham.ca/blog/posts/2013/03/08 ... mazon-ec2/

דרכים מתוחכמות מאוד כוללות כבר חומרה ייעודית (DSPים שנבנו ותוכננו מראש לדברים כאלה) וכאן כבר מדובר על סדרי גודל אחרים לגמרי של זמנים. בעבר - הטכנולוגיה הזו היתה נגישה רק לממשלות. היום אפשר לרכוש רכיבים כאלה בסכום של כמה מאות אלפי דולרים בשווקים כאלה ואחרים.