Come gestisci le tue password?

Ovviamente visto che quanti di noi sono persone di tipo amministratore di sistema, abbiamo molte password distribuite su numerosi sistemi e account. Alcuni di loro hanno una bassa priorità, altri potrebbero causare seri danni a un'azienda se scoperti (non ami il potere?).

Le password semplici e facili da ricordare non sono accettabili. L'unica opzione è password complesse, difficili da ricordare (e digitare). Allora, che cosa si usa per tenere traccia delle password? Usi un programma per crittografarli per te (richiedendo l' ennesima password a sua volta) o fai qualcosa di meno complicato come un pezzo di carta tenuto sulla tua persona o è da qualche parte tra quelle opzioni?

KeePass è fantastico.

Ho un modo molto semplice di gestire le password:

Non mi piacciono i gestori di password, ma mi piace la crittografia, quindi approfitto degli hash unidirezionali (md5, sha1, ecc.) E genera password utilizzandoli.

Come funziona?

Innanzitutto, scelgo una buona password lunga che userò ovunque. Ad esempio qwerty (non usarlo, solo un esempio). Ora per ogni sito, la tua password sarà md5 (o sha1) di qwerty + nome del sito. Per esempio:

$ echo “qwerty http://www.facebook.com” | md5
9d7d9b30592fd43dd6629ef5c12c6e9a

$ echo “qwerty http://www.twitter.com” | md5
cdf0e74e19836efb20f29120884b988d

In questo modo la mia password per Facebook è 9d7d9b30592fd43dd6629ef5c12c6e9a e per Twitter è: cdf0e74e19836efb20f29120884b988d

Sia lungo che sicuro. Se qualcuno ruba la mia password di Twitter non ha modo di tornare indietro per capire le altre password. Inoltre, facendo ciò non è necessario alcun software di password memorizzato (solo i binari md5 / sha1 che vengono di default su Linux e sono facili da trovare su Windows).

Password Safe ha una crittografia solida e un generatore di password casuale. I gruppi di password vengono quindi distribuiti come file crittografati in base a chi necessita di quali password.

Conserviamo le nostre password stampate, in un raccoglitore con la nostra altra documentazione di rete, e nella nostra sala server fisicamente sicura a cui solo poche persone hanno accesso.

Non so cosa ne pensino gli "amministratori di sistema reali", ma penso che questa sia una buona soluzione per noi. Sono interessato alle altre risposte a questa domanda.

Abbiamo un file di testo crittografato con PGP. È crittografato per ciascuna delle chiavi del amministratore di sistema. Usiamo un plugin vim per semplificare l'aggiornamento.

In un precedente lavoro usavamo uno schema simile, ma usavamo la crittografia simmetrica perché non avevamo scoperto il plugin (o non esisteva ancora) e nessuno aveva trascorso il tempo a capire come avrebbero funzionato le chiavi private.

Ho una memoria fotografica, ricordo le password per i file zip che ho creato negli anni '80 - non è così bello come potresti pensare :)

KeePassX è un'alternativa KeePass multipiattaforma. Una GUI molto carina (Qt) e una funzionalità quasi identica.

Ehtyar.

[modifica] Hai dimenticato di menzionare che supporta i DB di KeePass [/ modifica]

Uso un programma chiamato pwsafe sul mio desktop. Se ho bisogno di una password da qualche altra parte, ho SSH e la uso.

Ne ho provati molti e per uso personale, il mio preferito è LastPass (componente aggiuntivo gratuito, standalone o browser).

Sto ancora cercando una soluzione per il lavoro e ho compilato un elenco di requisiti e possibili soluzioni in un altro post .

Supponiamo che tu abbia molte (diverse) password per vari servizi e attrezzature online che possiedi. Si desidera archiviarli in un file.

Non tenere mai il file della password aperto (come in non crittografato) sui tuoi computer / server. Detto questo, non tenerlo crittografato con qualche provider di spazio web che ti offra supporto di crittografia, a meno che tu non ti fidi davvero di loro.

Per l'archiviazione mobile delle password, prendere in considerazione i volumi o i file TrueCrypt che è possibile archiviare dove possibile, come i pendrive o anche gli allegati di posta elettronica. TrueCrypt è supportato su quasi tutte le piattaforme e offre un'ottima sicurezza durante la decrittografia dei file per la visualizzazione. Quindi, devi solo fare attenzione a non copiare o lasciare il file su un sistema (o cartella di file eliminati).

Ah! e fai sul serio con la tua generazione di password :-)

Portachiavi. Ho provato 1password, ma il portachiavi fa quello che mi serve per farlo, e mi piace il modo in cui funziona meglio.

Purtroppo, all'interno di un foglio di calcolo protetto da password.

Conservo le mie password in un file di testo in modo che sia facile da consultare - non ho bisogno di alcuna applicazione. Tengo il file crittografato con una lunga passphrase che non ho mai scritto. Immagino che uno di questi giorni dovrei dire a mia moglie di cosa si tratta ...

La versione "funzionante" del file viene stampata con un carattere piccolo in modo che si adatti a un foglio di carta ed è piegata nel piccolo quaderno che porto in giro e tengo traccia del mio portafoglio. Fondamentalmente, seguo il consiglio di Bruce Schneier e ho buone password scritte in un posto sicuro.

Il nostro piano "che cosa succede se un amministratore viene colpito da un bus" è che ognuno di noi ha il proprio file di password crittografato. C'è un numero abbastanza piccolo di noi e non siamo tutti abbastanza stupidi da lasciare un elenco stampato in giro, quindi funziona bene.

Abbiamo anche un piccolo file nelle directory condivise che utilizziamo con le password meno critiche a cui tutti facciamo riferimento.

"Generiamo" le nostre password complesse per gli usi più critici: di solito vado per primo e scelgo una lettera o un numero. Quindi il ragazzo successivo ne sceglie uno, poi io (o un altro ragazzo) e così via. Finiamo con cose come pl8u7ke che si rivelano non troppo difficili da ricordare se le usi praticamente ogni giorno.

Per le password personali, utilizzo 1Password. Ha un'ottima applicazione (gratuita) per iPhone / iPod Touch, quindi ho le mie password con me ovunque io vada.

Dovresti dare un'occhiata a Yubikey ( http://www.yubico.com/ ).

Genera un OTP per l'uso in un sistema di autenticazione a due fattori, ma per applicazioni non accessibili in rete, può essere configurato per l'output con password pseudo-casuale di 64 caratteri (a tutti gli effetti, non indovinabile), oppure è possibile imposta tu stesso la password.

La password statica o singola viene emessa come da una tastiera, quindi quasi universalmente disponibile. Uso il mio su Linux, MacOS e Windows.

Modifica PS: sto giocando con il mio Yubikey ma non ho alcun interesse personale; Penso solo che sia uno strumento password molto utile.

per le password personali, utilizzo PassPack .

Uso 1Password da Agile Web Solutions. Si integra perfettamente con tutti i browser più comuni su Mac e con l'aiuto di Dropbox , posso accedere alla stessa raccolta di password da tutte le mie macchine.

Se devi accedere ai tuoi segreti da diverse piattaforme del sistema operativo, KeypassX è una buona scelta.

Se disponi di sistemi OS X come workstation client, puoi utilizzare il programma Accesso portachiavi per gestire le password. Usiamo un file portachiavi in ​​una posizione condivisa accessibile dagli amministratori di sistema e lo colleghiamo semplicemente al nostro programma Accesso portachiavi.

Consiglierei PasswordVault

Un gruppo nel nostro dipartimento IT lo utilizza e apprezza molto le funzionalità che ha da offrire.

Le password sono sempre crittografate. I singoli utenti possono scegliere quali password condividere. Il meglio di tutto il software è gratuito.

Qualunque cosa tu decida di utilizzare, assicurati che il sistema operativo sia sicuro e che le password siano crittografate.

Stavo usando il servizio TIPAS su Twitter:

http://twitter.com/tipas/

Ma, per qualche motivo, gli amministratori di Twitter sembrano aver interrotto la ricerca.

Per le password personali, poiché utilizzo più computer, mi piace il servizio online gratuito Clipperz . La crittografia viene eseguita sul lato client e archiviata in remoto. Per motivi di lavoro, +1 per Password Safe.

Nelle teste di diverse persone. Gli davvero quelli importanti sono scritti su piccoli pezzi di carta, poi bloccati in piccole buste. Graffiamo attraverso le buste, quindi è ovvio se qualcuno lo ha aperto.

Personalmente uso eWallet , in modo da poter sincronizzare il mio file di password sul mio telefono. Costa $ 30, ma sono stato contento nel corso degli anni e il supporto è sempre stato veloce e cortese.

In una situazione di lavoro, la mia soluzione preferita è Portable KeePass o simile. L'eseguibile e il file della password possono essere inseriti in un dischetto o una chiave USB. Password principale scritta all'esterno del floppy / chiave USB. Sigillalo in una busta, firma il tuo nome e la data sul risvolto, quindi metti del nastro adesivo trasparente sulla data e sulla firma. Aggiorna con una nuova busta ogni 6 mesi circa (1).

La busta viene quindi collocata in un luogo sicuro. Ogni tanto, le buste stesse dovrebbero essere inventariate.

(1) Opzionalmente conservare le vecchie buste per scopi storici - in caso contrario, quelle vecchie devono essere distrutte.

Uso il metodo diceware per generare password (in modo che siano più facili da ricordare della vera spazzatura casuale):

http://world.std.com/~reinhold/diceware.html

Cerco di utilizzare gruppi di password per accedere a diversi tipi di sistemi, sia per limitare il numero di password che devo ricordare in un dato momento sia per limitare i danni se uno è compromesso.

Quindi li cambio regolarmente. La frequenza con cui li modifichi dipende dalla velocità con cui riesci ad allenarti per ricordare nuove password.

Se devi assolutamente, puoi tenere i risultati dei tiri di dado bloccati da qualche parte come una cassaforte o una cassetta di sicurezza. Ricreare le password dai rulli (solo facendo le ricerche nell'elenco delle parole) è un compito abbastanza fastidioso da scoraggiare l'oblio. E la parte peggiore è che una volta che hai cercato le prime due parole, di solito ricordi comunque il resto.

Uso apg e pwsafe sul mio server personale. apg (Automated Password Generator) crea password casuali in base a criteri che puoi definire, e pwsafe è solo la versione Linux da riga di comando di Password Safe.

Posso sempre SSH nel mio server per ottenere la mia password, se necessario, anche se per i siti di basso valore che non finisco utilizzando la stessa password in più posti.

Per aiutare a ricordare le password trovo che sia utile se sono pronunciabili in modo da poterle almeno dire.

Tengo un elenco di alcune password di cui ho comunemente bisogno nel mio portafoglio. Non sicuro al 100%, ma penso che sia improbabile che possa causare problemi importanti.

L'elenco principale di tutte le password è conservato in una cassaforte ignifuga.

Ho solo un foglio di calcolo su Google Documenti con i dati.

Uso Passkeeper . È semplice, gratuito, leggero e non richiede installazione.

In un precedente vita, quando ho dovuto "ricordare" 20 password diverse per vari ambienti con regole di generazione password diverse per ognuna, ho usato Whisper32 . Ha fatto il lavoro abbastanza bene.

Usiamo CyberArk, in quanto avevamo bisogno di una soluzione conforme PCI (e abbiamo anche esigenze HIPPA), inoltre sono quasi tutti i sistemi dei clienti. Non sono elettrizzato con CyberArk, ma funziona.