Är det KeePass som gäller?

Har ni alla precis lösenord på samma ställe eller finns det några lösenfraser som ni bara har i huvudet? Tex bank-pin/lösen?

Jag tycker att det känns lite utlämnande att lägga alla ägg i "samma korg".

Skickades från m.sweclockers.com

Jepp, har använt det på Windows for Phone, Win10 och använder nu på Solus (Linux) och Android-tele m upplås via pekfingeravtryck. Nyckelring i OneDrive. Har uteslutande fungerat väldigt bra.

Same here, funkar riktigt bra för mig med.

Jag kör Lastpass... Men jag har också ett system som gör att jag skapar lösenord för alla olika saker i mitt liv på ett sätt som är komplext, men som jag ändå kan komma ihåg. På så sätt så behöver jag aldrig sitta och undra vad det var för lösenord jag använde på ett givet ställe, men kör också olika lösenord överallt.

security by obscurity är sannerligen ingen god approach - för det är nämligen detta du menar med resonemanget ovan.

Visst det är färre som kanske kikar i en kommersiell produkts kod eftersom det är svårare att få insyn, men med mer motiverade angripare (läs goverment) hindras inte av sådant och när man väl kikar i kommersiella produkter så brukar det hittas väldigt blatanta misstag, så blatanta att det är nära till hands att misstänka att de är avsiktligt planterade som dålig kamouflerade buggar och verk av oskickliga programmerare för att företagen som har produkterna skall kunna förneka detta och i värsta fallet skylla på någon konsultbolag som gjort 'jobbet' (inte sällan med anknytning mot olika säkerhetstjänster om man spårar tillräckligt långt)

ett favorit-exempel som jag brukar nämna är SED på lagringmedia - dvs. självkrypterande lagringsmedia som wd-passort ultra mfl. där en analys av säkerhetsforskare hittade så många intrångsvägar att säkerheten på dessa enheter var inte mer än skenbar för en okunnig användare...

(när det gäller WD passport ultra vissa serier och motsvarande diskar med samma chipsets - nollställ och byt lösenordets minst 4 gånger på en disk med känslig data då de lämnar kvar den gamla nyckeln kvar på den första sektorn och det krävs flertal reinit för att den skall skrivas över (med ny) och därmed den gamla datat fortfarande läsbart, med windows-klienten så används samma salt för din passord även om du nollställer och byter passord multipla gånger och till slut kan du inte göra ett skit åt den minst sagt bristfälliga slumptalsgeneratorn när ny kryptonyckel skall skapas - det är väldigt stora hål i slumptalen som genereras vilket gör att tex säkerhets-tjänst ändå har stora möjligheter att prova sig fram till rätt nyckel även om andra spår av den gamla nyckeln är borta)

@Xauro: Poängen var ju att Google är kända för att sälja data. Lastpass har väl inte riktigt det ryktet i alla fall - så ja, det känns säkrare

Nu vet jag inte om det varit uppe i tråden, nen någon som testat dashlane password manager? Fick 1års licens via humblebundle och funderade på att aktivera den, eller är den skit?
https://www.dashlane.com/ appen verkar även bra, men ska tesas lite mer. Gratisversionen ger upp till 50lösenord

Jag tycker att man kan använda hjärnan lite. Ha ett lösenord som man använder överallt helt enkelt, men förändrar det baserat på var man loggar in. Så att det är ett beräknat lösenord. Man har en del fasta bokstäver och så blandar man det med bokstäver från stället man skall logga in på. T.ex tar bokstav 1 och 4 från namnet på det man loggar in på.

Exempel:
k
8 för längden (facebook)
a
F för Facebook
_
E för facEbook
k för sista tecken i facebooK
77 för att det är jämnt antal tecken i facebook, annars 32
!!

Resultat: k8aF_Ek77!!

Väldigt vanlig tankevurpa, bara för att säkerhetsbuggarna är något svårare att se i proprietär kod gör det inte att de slutar existera. Proprietär kod låter dig komma undan med mycket dumheter som inte går i publikt granskad kod.

Om påståendet hade stämt hade Windows haft väldigt få säkerhetshål.

Fast hur får du hem nyckeln till dina enheter då? Litar du på att det är säker kryptering och inte bara ser ut som det? LastPass har ju också haft säkerhetsexperter på plats för att gå igenom systemen, men litar du till 100% på att de skulle hitta allt? Med det inte sagt att jag litar 100% på GPG, men det är en enorm skillnad i hur många som har granskat koden.

Det fina med pass är att nyckeln hanteras helt av GPG, vilket är den underliggande koden i nästan all öppen programvara som hanterar kryptering. Där har vi bland annat Mozilla Thunderbird, Google Mail, GNOME, KDE, signaturverifiering i pakethanterare, etc. GPG är ju vad Snowden använde för att kommunicera med journalister och samtidigt hålla NSA borta. Skulle det hittas säkerhetshål i GPG skulle det vara "the holy grail" för hackare, och det har hänt några enstaka gånger (som när NSAs "Dual Eliptic Curve" snappt patchades bort med en rekommendation att generera nya nycklar). Det finns så gott som alltid någon hackare som sitter med både källkoden och debugger för att hitta hål i GPG.

Skickades från m.sweclockers.com

@Djhg2000: Vad för klienter använder du till Pass?
Androidklienten som länkas till på hemsidan är mer eller mindre lagd på is, och Windows klienten är inte heller under utveckling sen 2-3 år tillbaka.
QTpass som enda Windows-klienten som fortfarande är under utveckling har tydligen haft säkerhetsproblem i tidigare versioner, visserligen bara i själva klienten, men det känns lite sådär halvt osäkert.

Om du anv. t.ex. Enpass finns det webbläsartillägg som fungerar på alla sidor som vanligt.

Hur menar du nu? När du loggar in hämtar du hem all krypterad data lokalt.

Sedan när du ska använda dem så låser du upp dem med din privata nyckel.

Varje gång du ändrar lösenord så måste den avkryptera alla gamla lösenord och sedan kryptera på nytt lokalt innan den skickar upp det i molnet igen.

Använder kommandoradsversionen i Linux och Password Store från F-Droid på telefonen. Såg någon uppdatering via F-Droid för några månader sedan, men har inte hittat några buggar eller inkompatibiliteter i den så antar att behovet av uppdateringar inte har funnits. Senaste ändringen i Password Store på GitHub var den 20:e augusti och var för att tillåta installation på SD-kort, så det kommer nog en uppdatering på F-Droid igen snart. De få gånger jag behöver lösenord i Windows loggar jag in på en Linuxburk över SSH så kan tyvärr inte ge några detaljerade anvisningar där, men från vad jag har läst tidigare ska Linuxversionerna av pass fungera bra i Windows med Cygwin som kompatibilitetslager.

Antar att podcasten är Security Now och någon kunnig som gjorde analysen då är Steve Gibson. Hörde också det avsnittet och det var ungefär då som jag började kolla på en lösenordshanterare. Kommer inte ihåg detaljerna längre men det fanns några hål och antaganden i hans analys. Det var ju några år sedan nu, men det är inte första gången har har gjort lite logiska hopp i sina analyser. Alltså, han använde ju Windows XP fram till i våras och slog helt fel på varför buggarna som Shellshock byggde på fortfarande existerade (kombination av kompatibilitet och nyare funktioner som samverkade). Det mesta av det han säger är dock helt korrekt så jag lyssnar fortfarande på Security Now, men man får ta hans slutsatser med en nypa salt. Det är mycket möjligt att LastPass är säker för tillfället, men som herr Gibson brukar säga; "trust no one". Vill minnas att de även har haft LastPass som sponsor men kommer inte ihåg om det var före eller efter analysen.

Det du beskriver betyder dock att både privata nyckeln och lösenorden skickas i samma blobb. Det enda som stoppar dem från att läsa dina lösenord i så fall är att ditt lösenord är ett komplement till privata nyckeln, så de behöver introducera en uppdatering som ger dem lösenordet (eller det derivat av lösenordet som används för nyckeln, till exempel SHA512 av lösenordet, om nu så skulle vara fallet).

Exakt, inklusive privata nyckeln eftersom enheten behöver den för att dekryptera lösenorden.

Som förhoppningsvis använder ditt lösenord som komplement, annars är det ju bara för dem att klampa in i sin egen databas och extrahera privata nyckeln.

Vilket tyder på att lösenordet mycket riktigt är ett komplement till privata nyckeln. Det finns dock vägar runt det, som att kryptera gamla lösenordet med den nya nyckeln och kedja krypteringen. Det senare är att föredra med en krypterad disk, men för en lösenordsdatabas är det nog enklare att bara kryptera om allt. En nackdel är att alla lösenord momentant passerar RAM okrypterat.

Det är därför man kör 2FA innan den hämtar den riktiga privata nyckeln.

2FA är bara för att verifiera din identitet och har inget med krypteringen av lösenord att göra.

Problemet är fortfarande att privata nyckeln skickas från samma ställe som lösenorden. Lyckas du gissa (eller räkna fram) komplementet till privata nyckeln skickas i princip allt i klartext. Här är det fina med pass att du, och bara du, ska ha din privata nyckel. Du vet precis hur den ser ut och distribueras eftersom du själv skapar och hanterar den.

Nej, dom sålde sig själva istället