Password best practices

lore20 · 2020-12-03T10:41:14+00:00

In molte discussioni ritorna come off-topic l'argomento, per chi, visto che lo ritengo molto interessante e da approfondire, ho aperto una discussione dedica...

m1ch95

[cancellato]
Si, i backup vengono fatti automaticamente dal telefono.
Proverò sicuramente uno di questi password manager, ho scaricato Bitwarden per ora.
L'inizio sarà un po' tedioso, segnare e cambiare tutte le password non sarà molto simpatico da fare. Consigliate di usare il generatore di password?

[cancellato]

m1ch95 Consigliate di usare il generatore di password?

È comodo perché sono assolutamente "casuali", ma se vuoi tenere le tue non è strettamente necessario, un po' alla volta può anche impararle mano a mano che fai il login ai vari siti e salvarle nella "cassaforte".

edofullo

m1ch95 L'inizio sarà un po' tedioso, segnare e cambiare tutte le password non sarà molto simpatico da fare

Se hai già un "database" ti metti lì un pomeriggio di pioggia e traferisci tutto.

All'inizio sarà un po' sbatti perchè ovunque vai non avrai la password segnata e quindi ci metterai almeno il doppio ad entrare dove devi entrare e segnare la password.

Quando avrai messo dentro la maggior parte delle password diventa uno spettacolo 😉
Peraltro bitwarden è in grado di tenere anche i codici per l'autnticazione a due passaggi (alla Google Authenticator, per capirci) e sincronizzarli tra tutti i dipositivi, io mi ci trovo benissimo.
Da quando l'ho scoperto attivo l'autenticazione a due passaggi ovunque posso, visto che non devi più andare a prendere il telefono per copiare il codice.

matteocontrini

edofullo Se hai già un "database" ti metti lì un pomeriggio di pioggia e traferisci tutto.

Io mi faccio lo script quando cambio password manager xD

CosimoP

edofullo Ma con Bitwarden anche su mobile hai la compilazione automatica nelle app e nel browser? Io sto usando google ma mi state facendo venir voglia di provare Bitwarden. In pratica per PC basta l'estensione, per android con l'app compila tutto da solo?

rieges

edofullo Peraltro bitwarden è in grado di tenere anche i codici per l'autnticazione a due passaggi (alla Google Authenticator, per capirci) e sincronizzarli tra tutti i dipositivi, io mi ci trovo benissimo.

Anche se lo tieni in un tuo server devi avere il piano premium per utilizzare la funzione TOTP?

edofullo

matteocontrini Si, se avevi un altro pw manager spesso puoi esportare in CSV da una parte e importare dall'altra (ho fatto così quando son passato da lastpass a bitwarden)

Se invece le hai nelle note sul telefono o su word o su un foglio appese sul muro la vedo più complicata 😂

ps per l'utente: ocio che il CSV che scarica non è cifrato.

QRDG

edofullo e poi c'è un "organizzazione" (non dico quale, sappiate solo che si occupa dei lavoratori), che ha bello in vista, il foglio con la mail libero (sicurissima, come voi sapete), e la password (scarsa), e in quella mail arriva un bel pò di "roba" importante, non parliamo del fatto che usano ancora win xp...

Sicurezza, che banche levatevi proprio.

Goku96

edofullo come mai sei passato da lastpass a bitwarden?

rieges

CosimoP Su Android la compilazione delle password funziona grazie alla API nativa di Android 8+.
Questo vale anche per altre app.

CosimoP

rieges Ah grazie, non lo sapevo. Di solito mi chiede sempre di salvarle su samsung pass ma nego sempre, quelle salvate su google le compila automaticamente solo su chrome e gmail, non sulle altre app. Non ho mai fatto troppo caso alla cosa perché una volta messe non vengono più chieste, ora metto Bitwarden e ottimizzo un po' 💪

rieges

CosimoP Per fare funzionare quello di Google in altre app devi prima abilitarlo, per esempio sul mio Samsung vado in Impostazioni>Lingua e inserimento>Servizio di riempimento automatico.

edofullo

rieges Nope, io uso bitwarden-rs e funziona, comunque sono "solo" 10 € / annui.

rieges

edofullo Funziona anche la possibilità di avere multipli utenti?
Per i client di Bitwarden è un problema se non sei sempre connesso al server o funziona solo online?

Mi sa che è ora di migrare tutto da KeePass e Authenticator a Bitwarden...

edofullo

rieges Funziona anche la possibilità di avere multipli utenti?

Testato, funziona.
Devi però avere un server SMTP (o relay) per confermare la mail e poi disattivare la registrazione.

rieges Per i client di Bitwarden è un problema se non sei sempre connesso al server o funziona solo online?

Su Android funziona anche offline (penso però read only) su PC non te lo so dire

Goku96 Principalmente perchè Lastpass è passato da 10 € all'anno a 30 e passa € all'anno per il premium.
In più così ho tutto sul mio Raspberry ed è tutto Open Source.

Fortuna che si poteva esportare via CSV altrementi ci avrei messo una vita.

Unico neo la gui che è un po' scarna però ha tutto quello che serve ed è facilmente navigabile senza cose inutili.
Inoltre ci sono anche i client desktop nativi senza avere il plugin per i browser che per chi è abituato ad aver tutte le password su un foglio excel (i miei parenti) è meno uno shock rispetto ad avere l'autocompletamento che non è il massimo (quello di lastpass era sicuramente superiore).

PS: c'è pure la versione CLI 😂

[cancellato]

edofullo Su Android funziona anche offline (penso però read only) su PC non te lo so dire

Anche da PC, ma si inca.... se provi ad aggiornare le entry.

edofullo Devi però avere un server SMTP (o relay) per confermare la mail e poi disattivare la registrazione

Anche no, io invio diretto dal serverino 😎

Ocio che tenere primo e secondo fattore nello stesso contenitore generalmente non è mai una buona idea. So che scoccia prendere in mano il cellulare ogni volta, ma per me non vale la pena salvare i 2FA, almeno per i servizi importanti.

matteocontrini Enpass

L'ho provato, ma per me è un po' meh... Piuttosto un programma stratestato e consigliato che salva l'archivio in locale è KeePass. Open source tra l'altro (in C#)

Dark-Vex Se usi i docker c'è un secondo container che ti fa il backup del database dove vuoi (tanto è cifrato...), gira in cron quindi non te lo dimentichi.

RichardTDJ

Ragazzi dopo aver letto questo thread ho pensato di rivedere le mie password. Ho così creato una piccola lista contenente diversi punti che secondo me attualmente possono garantire a discapito della praticità un ottimo livello di sicurezza. Voi che ne pensate? Potete consigliarmi qualcos’altro?

Scegliere quali account mantenere attivi
Eliminare gli account indesiderati
Eliminare le password salvate
Disabilitare il salvataggio delle password
Creare nuove password per gli account da mantenere attivi

Criteri per la creazione delle password:
a. Ogni account deve avere una password diversa
b. Ogni password deve avere almeno 20 caratteri
c. Ogni password deve contenere un insieme di caratteri e simboli alfanumerici
d. Le password devono essere generate a partire da una chiave privata univoca
e. Le password devono essere facile da ricordare

Scrivere le password su un taccuino da conservare in un luogo sicuro
Sostituire le vecchie password
Ove possibile attivare l’A2F
Rivedere i dati inseriti sugli account lasciando solo ed esclusivamente il necessario

LucaTheHacker

RichardTDJ Disabilitare il salvataggio delle password

Il salvataggio di default dei browser, strumenti come il kaspersky password manager, dashlane, onepassword e via dicendo sono sicuri.

RichardTDJ Ogni password deve avere almeno 20 caratteri

Occhio che alcuni siti non te lo permettono

RichardTDJ Scrivere le password su un taccuino da conservare in un luogo sicuro

Sbagliatissimo

RichardTDJ Sostituire le vecchie password

Sarebbe da fare periodicamente su tutti i siti, non ti dico ogni mese, ma una volta all'anno sarebbe carino

RichardTDJ Rivedere i dati inseriti sugli account lasciando solo ed esclusivamente il necessario

dipende dal sito

Come già consigliato, usa un password manager e scordati tutte le tue password.
Dovrai ricordarti solo la master password, crearne una è abbastanza semplice, l'importante è che sia lunga, a forza di inserirla riuscirai a digitarla a "memoria muscolare".

RichardTDJ

LucaTheHacker
Volevo provare 1Password, ma il fatto di consegnare a terzi il tutto, nonostante l’AES è un qualcosa che non mi va giù.
Il salvataggio sul browser è un qualcosa che ho sempre fatto ma non mi fido più tanto.

Ma se ad esempio quest’ultimo fosse conservato in cassaforte credo sia abbastanza sicuro no?

Visto che alcuni siti non lo permettono secondo voi quanto dovrebbe essere lunga per soddisfare i requisiti ed essere al contempo sicura?

Eh già... ma credo che nessuno di noi lo faccia, troppo sforzo!😂

Sicuramente, ma alcune info secondo me son di troppo.
Cosa se ne fa un sito della mia professione?
Al massimo advertising...

Riegel

LucaTheHacker Sbagliatissimo

Sentiamo, perchè?

edofullo

RichardTDJ Volevo provare 1Password, ma il fatto di consegnare a terzi il tutto, nonostante l’AES è un qualcosa che non mi va giù.
Il salvataggio sul browser è un qualcosa che ho sempre fatto ma non mi fido più tanto.

Ho già scritto sopra e questo era pure una delle cose che non piaceva a me.
Bitwarden su raspberry da 30 euro e via (e puoi farci anche un bel pihole che male non fa 🙂).

matteocontrini

RichardTDJ Volevo provare 1Password, ma il fatto di consegnare a terzi il tutto, nonostante l’AES è un qualcosa che non mi va giù.

Ci sono anche password manager che ti permettono di salvare il database su un servizio di storage a tua scelta (es. Enpass e SafeInCloud). Poi ovvio, se vuoi sincronizzare le password da qualche parte devi metterle, ma in alternativa puoi tenere il db in locale

LucaTheHacker

RichardTDJ Volevo provare 1Password, ma il fatto di consegnare a terzi il tutto, nonostante l’AES è un qualcosa che non mi va giù.

Ci sta firefox lockwise o qualche altra soluzione open che puoi self-hostare

RichardTDJ

edofullo mi spiegheresti meglio questo sistema?
Comunque è un SW implementato su un HW connesso in rete no?

Dark-Vex

edofullo Bitwarden su raspberry da 30 euro e via (e puoi farci anche un bel pihole che male non fa 🙂).

aggiungerei alla lista della spesa una chiavetta USB (o altra unità esterna) dove farci i backup così da non avere imprevisti se dovesse saltare la microSD

« Pagina precedente Pagina successiva »

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile