如何评估密码管理器？

Question

我们如何量化密码聚合和方便之间的权衡？

密码管理器(如lastpass )非常方便，但是将密码聚合到公共存储中可能会降低安全性。我们如何评估方便和安全之间的权衡？密码聚合带来的风险有多大？我们如何比较方便和风险。

Answer 1

密码聚合带来的风险有多大？

这是一个难以量化的标准。当然，如果保护您的密码存储的密码系统很差，或者在基于云的工具中，它们的主机系统安全性很差，并且它们的存储方案允许攻击者恢复您的密码数据库，那么所有密码数据都可以免费提供给攻击者，并且几乎100%地破坏了存储在那里的所有内容。

然而，生活并不一定那么简单。有两个真正重要的因素需要考虑：

• 您的帐户是否使用双因素身份验证机制？例如，考虑到你的google邮件帐户打开了两个因素。如果密码泄露，您肯定会遇到问题，但攻击者需要访问另一个因素才能访问该帐户。这是一种对你的帐户进行深入辩护的方法，如果可以的话，你应该使用它。
• 如果您没有密码管理器的方便性，您自己或其他用户的可能行为是什么？有了密码管理器，除了使用高熵密码之外，您没有任何借口可以使用任何东西。然而，如果你需要记住你的所有密码，你会很快地碰到人脑的存储限制，发现自己在每件事上都使用correct horse battery staple 1，每次都添加一个不同的数字。在这种情况下，密码泄漏可能会给您带来持续的麻烦，使您有机会评估如何生成密码(很可能是糟糕的)。我和下一个一样有罪)，因此我可能登录了大量的帐户。

我们如何评估方便和安全之间的权衡？

我想我已经回答了上面的问题，但是我想在混合中添加一个额外的考虑因素:这取决于您在聚合密码安全中存储了什么。尽管出现了像OpenID这样的技术，但几乎每个网站都想从你那里获得一个电子邮件地址和密码--这是这次讨论背后的动机。

这并不意味着所有这类账户的创建都是平等的--事实上，99.99%的“资料”用户在网上注册--他们其实并不在乎一个傻瓜，这是我刚刚编出来的一个统计数字。因此，在此基础上，这样的用户可以很好地将他们的帐户分成三种类型：

• 那些直接接触到他们的财务细节，并可能造成相当大的经济损失，损害等，如银行帐户，保险等。我可能会包括你的电子邮件属于这个类别。
• 那些拥有大量社交识别信息和直接与你的朋友交流的链接的人，比如Facebook，LinkedIn。您可能还包括在这个类别的帐户，可以访问财务信息，但需要通过一个系统，如3d安全授权付款，因为这需要额外的非网站特定身份验证。
• 其他的一切，特别是像这样的网站，以明文形式将你的密码发给你。

在此基础上，您可能会认为将您最危险的东西存储在密码管理器中的风险太大了(您可以将一些宝贵的人类记忆内容用于记忆一个难以记住的密码并打开两个因素auth)，因此您不会这样做。

然后，您可以决定哪些，如果有，社会识别网站构成最大的威胁，并可选择不包括这些。

最后，所有看似希望您创建帐户的垃圾站点都可以有一个长度足够长的随机生成的密码。

评估密码管理器本身是一个更困难的命题。我把它们分为两类：

• 台式机。这得益于安全方面的优势，即(大多数情况下)始终不能直接使用，这也增加了不便。您可能可以评估所使用的磁盘算法上的加密算法，但最重要的是，除非您保护物理目标并确保虚拟目标没有恶意软件，否则将您的数据置于危险之中。此外，在基于桌面的解决方案中，可以从基于安全云的解决方案中获取整个数据库，这并不容易。
• 云。这些都不太容易评估，因为它们通常更难反向工程。您无法访问或了解底层算法、传输机制等。然而，这些设施是方便的。有利的一面是，泄漏(不管多小)会让任何云密码管理公司永远停业，因此他们确实有动机保持领先。

正如我所说，基于云的服务评估是一项困难的工作，每一种类型的管理者都有各自的优点和缺点。这实际上取决于决定你想要接受的风险和你想要的便利程度。

然而，希望这是值得思考的。

Answer 2

IMHO，这是信任的问题。基于云的服务或第三方服务(如LastPass )是由第三方拥有、管理、运行和保护的，您不能对代码或流程进行审计。本地应用程序安装(如KeePass )既可以是开源软件，也可以是商业软件，您可以全面了解所有权、->代码的可审计性(如果是开源的话)或一些子集--但至少有一些可审计性。

除了一般的“信任”之外，我还来自外星人登陆、锡箔佩带、高度偏执的人群(曾多次参与政府项目)，并知道当另一个第三方(比如政府)通过法院系统获得合法信息时，第三方不一定会通知你。所以我倾向于拥有自己的命运，把信任放在一边。

Answer 3

这是一个很简单的问题，没有简单的答案。

像LastPass这样的应用程序最大的问题是它们是基于云的，不仅在失败时增加了一个新的单点，而且在服务提供商被破坏时也增加了额外的风险(就像2011年5月LastPass发生的那样)。尽管有了这种额外的风险，带来了很多额外的便利。

其他工具，如KeePass，由于没有云服务而具有非常不同的攻击面。尽管用户经常通过同步Dropbox等服务的数据文件来增加额外的风险。

这一切都是关于权衡--就像这一领域的大多数其他事情一样，这都是风险管理。必须确定你愿意承担的风险。