使用多个密码(设备、密码管理器、…)有什么安全好处(如果有的话)与FIDO U2F配对时的单强密码酶？

Question

选项1:多个密码(或密码)一个密码或密码用于设备解锁，另一个用于密码管理器。

选项2:单个强随机生成的密码(至少8个字)相同的密码用于设备解锁和密码管理器。

两个选项都将与FIDO U2F (使用YubiKey).

配对。

我的直觉是，我们要求员工创建(并记住)的密码越多，他们的能力就越弱，尤其是在强制执行常规密码轮换时。

我猜想很多人可能会把它们写在一张纸上，结果是增加了opsec攻击面。

使用选项1和选项2有显著的安全好处吗？

我很想看看你们的故事！

Answer 1

答案

但你仍然有一些领域的密码需要很强，和一些地区的风险，一个弱的，降低了yubi。

凭据风险级

允许通过互联网访问的密码比允许访问本地帐户(笔记本电脑)的密码风险更大。

使用mfa的密码风险较小。

在连接到Corp网络(即vpn)之后，您将使用的内部服务的密码比internet可访问帐户的风险要小。然而，并不是太多。这些天来，大多数攻击都以某种方式在你的公司网络中站稳脚跟，你最好假设攻击者已经入侵了。

尤比是最安全的MFA选择之一。

冲击

有些事情比其他事情更重要。例如:服务器和infra可能总是需要一个yubi vpn、设备推车和密码。

但是，员工午餐系统的风险较小(假设没有信用卡)。

把它放在一起

• 给每个人买一个pw经理来储存他们的PWs和其他秘密的东西。
• 笔记本电脑的密码应该很强。(如果设备被盗，它会保护加密的磁盘。)
• 在你可以的地方，让MFA也就位。不过，有些事情永远也做不成。数据库、路由器等。使用基于需求的访问系统(如Trustle.com )来授予和撤销对以下重要内容的临时访问，这样就不存在永久的特权权限。

多少密码

拿一台笔记本电脑和一个密码。一个密码是基于云的，需要在设备上保留一个密钥，加上云中的一个密码，并且可以对野蛮强制执行速率限制。

笔记本电脑是本地的，不一定与TPM或安全飞地捆绑在一起，所以野蛮的强迫更有可能发生。

即使是笔记本电脑上的密钥记录器--笔记本电脑的凭据可能被偷，但如果没有物理访问，就很难使用，除非在其他地方使用相同的密码。同时，一个密码密码不包括密钥，并且从密钥记录器中也是无用的。

如果攻击者获得了对笔记本电脑的实时访问，然后给出足够的时间，他们就可以访问用户可以访问的任何东西，包括一个密码。这就是MFA再次上场的地方。

，你的直觉是对的，

许多密码迫使员工走捷径。

当NIST发布SP800-63B时，他们进行了一项研究，显示当用户需要定期(每90天)旋转PWs时，他们使用可预测的密码。他们决定把重点放在让密码变得更简单(去掉复杂性，删除旋转要求)，但是要求MFA并验证PW没有出现在像受累这样的已知的坏pw列表上。

Answer 2

我的直觉是，我们要求员工创建(并记住)的密码越多，他们的能力就越弱，尤其是在强制执行常规密码轮换时。

简单(简单)的答案是简单地使用密码管理器，这样您的员工就不必记住他们。我不记得我的，他们太长太复杂，我有几十个。使用2FA并不会使强密码的使用失效。

是的，使用密码管理器可能会带来一些不便，但Yubi密钥也是如此。

如果您的员工已经不得不在日常工作中处理许多密码(例如，在IT角色中这是正常的)，那么他们应该已经在使用密码管理器了。

共享密码(或密码)的问题是，员工将屈从于方便和重复使用相同的密码--也适用于其他未与2FA相耦合的服务--很可能相同的密码不仅用于专业用途，而且也用于个人需求。

此外:维护弱/共享密码会增加定期旋转密码的压力，因为泄漏的风险更高，而且如果人们不得不记住密码，那么他们就可以轻松地修改密码，同时保持一个公共的甚至可预测的模式。