Flo È vero che il db delle password è criptato ma i vari Google, Dropbox e Microsoft hanno sempre accesso ai nostri file e, con i mezzi di cui dispongono, possono aprire il db in relativamente poco tempo.
Le aziende che citi non hanno i superpoteri, se la cifratura del database è implementata correttamente e la password è robusta non aprono assolutamente nulla.
alessio00 Inoltre una soluzione self hosted non credo sia più sicura di una in Cloud considerato l'alto livello di sicurezza che hanno le server farm rispetto a una rete casalinga
La differenza sta nell'interesse: è molto più probabile che un gruppo di hacker voglia colpire le server farm di un determinato servizio, conoscendo anche gli indirizzi IP; rispetto ad un NAS casalingo sconosciuto.
Rubarti la password di Facebook dal tuo Synology non varrebbe nemmeno il tempo speso, e dovrei sapere a priori dove colpire o come restringere parecchio il campo di ricerca.
Rubare mezzo miliardo di password ai clienti della Pincopallo S.p.a. potrebbe fruttarmi bei soldi se rivendessi i dati al mercato nero; più creerei un danno d'immagine (quindi pubblicità per le mie abilità) molto consistente.
alessio00 Il mio NAS non è esposto su internet ma è raggiungibile solo dalla rete locale. Quando ho bisogno di accerci da fuori utilizzo una VPN. In più faccio backup giornalieri su un altro NAS che è installato fisicamente in un'altra casa. Nella peggiore delle ipotesi, comunque, il db di Bitwarden è criptato.
MentalBreach Certo, ma é mediamente piú facile colpire una soluzione casalinga. Che poi non se ne fanno niente a livello economico a meno che tu non sia una persona di una certa rilevanza é ovvio ma a te come persona finale il danno resta, le password le perdi e forse resti anche tagliato fuori dagli account. Se il fine ultimo é custodire le password ed evitare questi spiacevoli inconvenienti non mi sembra che sia una soluzione efficace.
Parliamo comunque di casi limite
alex8sei Hai un intrusion detection system? Se ti rubano i dati non é detto che tu te ne accorga e in caso di catastrofe naturale probabilmente perderesti i dati se il backup é geograficamente vicino
alessio00 in caso di catastrofe naturale probabilmente perderesti i dati se il backup é geograficamente vicino
Considera che con bitwarden ogni client ha una copia di tutti i dati, quindi per perderli davvero tutti deve essere qualcosa di davvero molto catastrofico
alessio00 Certo, ma é mediamente piú facile colpire una soluzione casalinga.
Questo è opinabile, sicuramente io non faccio statistica, ma ti posso dire che non si sono mai rubati nulla da un mio dispositivo, ma per contare i siti web o aziende che si sono fatti rubare miei dati (nome, cognome, codice fiscale, password - anche in chiaro -, email, indirizzi, iccid etc...) non bastano le dita di 2 mani. E mi risulta che anche password manager molto famosi si siano fatti rubare dati.
CosimoP Se hai un Synology
WD
rossomike1966 Se puoi usare docker sul WD, sicuramente riuscirai ad installare Vaultwarden (la versione di Bitwarden self-hostata). Se il tuo NAS non supporta docker, non c'è modo per farlo
CosimoP Se puoi usare docker sul WD
ti ringrazio..non l'ho caricato ma lo posso fare; è supportato
alessio00 Certo, ma é mediamente piú facile colpire una soluzione casalinga. Che poi non se ne fanno niente a livello economico a meno che tu non sia una persona di una certa rilevanza é ovvio ma a te come persona finale il danno resta, le password le perdi e forse resti anche tagliato fuori dagli account. Se il fine ultimo é custodire le password ed evitare questi spiacevoli inconvenienti non mi sembra che sia una soluzione efficace.
Parliamo comunque di casi limite
Anche no. Se mi metto a fare le cose fatte bene usando chiavi sicure e usando sistemi aggiornati non succede nulla, ed è molto più difficile di ciò che sta in produzione
@Marco25 Queste aziende hanno un'infrastruttura con centinaia di migliaia di processori, se hanno interesse possono decrittare qualsiasi cosa in tempi relativamente brevi. Adesso lo so anch'io che le possibilità che Google e MS vogliano scoprire le mie password e i miei fatti più privati siano vicine allo zero, però un minimo di prudenza non guasta mai. Conservare dati così importanti (per me) su server altrui è una cosa che, se posso, preferisco evitare.
@TeCer Sì, però diventerebbe troppo macchinoso. E poi non ho così tanti dispositivi da dover per forza sincronizzare in tempo reale, mi bastano pc e telefono. Quelle rare volte in cui aggiungo un nuovo login, o faccio qualche modifica, sincronizzo in pochi secondi con un copia e incolla da computer al telefono.
Flo Queste aziende hanno un'infrastruttura con centinaia di migliaia di processori, se hanno interesse possono decrittare qualsiasi cosa in tempi relativamente brevi.
Supponiamo di avere 2.5 milioni di server (stima di Google) equipaggiati processore quad core a 3 GHz e supponiamo che verificare una chiave richieda un solo ciclo di clock. Una password con 128 bit di entropia, impiegheresti in media 2127 / (4* 3 * 2.5 * 108) secondi, circa 1798380511801002364828 anni. Un po' dilatati questi tempi brevi.
Tra l'altro se Google possiede tecnologie aliene per decriptare il database del password manager perché c'è una campagna globale per vietare le app di messaggistica criptata quando basterebbe chiedere a Google per decriptare le chat?
Flo Conservare dati così importanti (per me) su server altrui è una cosa che, se posso, preferisco evitare.
Per me è una questione di affidabilità e resilienza. Un server di un Google o Amazon è molto più difficile venga distrutto in un incendio, rubato o perso rispetto a un computer personale o NAS.
Io utilizzo una password decisamente meno complessa, scelgo sempre un compromesso tra sicurezza e comfort personale. Quindi servirebbe molto meno tempo a strutture come quelle di Google per trovarla. Mentre per le iscrizioni ai vari siti mi affido proprio a software come 1Password e KeePass per generare e memorizzare password lunghe, particolarmente robuste e sempre diverse.
E poi non mi sognerei neanche di dire che queste aziende abbiano tecnologie aliene, ho solo detto che, se vogliono, hanno l'infrastruttura per poter scovare una password in tempi relativamente brevi, anche perché la gran parte degli utenti usa stringhe corte e semplici. Di certo non sarebbero in grado di decrittare le mille chat di miliardi di persone.
Io continuo salvare il db in locale tra pc e telefono, con ulteriori backup criptati, non solo delle password ma di tutti i file strettamente personali, da conservare i posti diversi. Ma rispetto anche chi decide di usare il cloud per affidabilità e sincronizzazione. Entrambe le soluzioni hanno vantaggi e svantaggi, ognuno è libero di scegliere quella che ritiene più valida.
Sto usando l'estensione Kee ma modifica i moduli di utente e password sui siti a cui accedo, provocando la verifica umano o bot su siti come Gmail ed Amazon. C'è un modo per bypassare questo problema?
Dopo aver riportato il problema qui non lo ha più fatto.
Ne approfitto per chiedere se esiste un compilatore di password automatico per Android, ad esempio con 1Password, quando clicco su un modulo, mi appare la tastiera e un pulsante che se premuto mi fa riempire il modulo in maniera automatica. Su Android uso Keepass2Android ma apparentemente questa funzione non c'è.
Flo Ne approfitto per chiedere se esiste un compilatore di password automatico per Android
Keepass2Android a me funziona (tra l'altro puoi condividere lo stesso db di keepass che usi sul pc).
Sulla app di android devi installare il plugin Autofill plug-in (da impostazioni della app/plugin/cerca plugin online) e volendo abilitare anche la sua tastiera "sicura" con il relativo KeyboardSwap Plug-in
I plugin li trovi qui https://github.com/PhilippC/keepass2android/blob/master/docs/Available-Plug-ins.md
Purtroppo con Keepass c'e' da lavorare un bel po' prima di fargli fare quello che vuoi, ma poi lo fa.
Informativa privacy
-
Informativa cookie
-
Termini e condizioni
-
Regolamento
-
Disclaimer
-
🏳️🌈
P.I. IT16712091004 - info@fibraclick.it
♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile
