Kaj uporabljate ...

Tudi mi uporabljamo v službi truecrypt. Vanj damo vse od certifikatov pa do gesel, obstaja le ena kopija, ki pa je shranjena na google drive-ju do katerega imajo dostop le sistemci. Za backup sicer naredimo eno kopijo vsake toliko, v primeru da bi se kakorkoli truecrypt datoteka corruptala, vendar ni dostopna na nobenem računalniku. Zaenkrat nam sistem super deluje.

blackmamba:

keepass, prej pa roboform

zakaj si pa prešalto ?

skynet:

Če.

Kdo pa pravi da ne morejo vdret v spletni servis/program za shranjevanje gesel in ti odtujit vseh gesel? Možnost, da ti nekdo hekne gmail, facebook in še kakšen račun, da ugotovi po katerem sistemu si nastavljaš gesla je po mojem mnenju manjši od tega, da ti vdrejo v spletno hranilnico gesel. Po samo enem geslu pa nihče ne bo vedel tvojega sistema. Pa vso srečo brute forcat npr 25 znakov.

Problem ni, da bodo vdrli v spletni servis, ranljivosti je več:

- geslo po takem sistemu boš vpisal v sumljiv/slabo zavarovan sistem ki shranjuje gesla v plaintextu. Če bo ta baza kdaj odtujena bo pisalo not tako: skynet@gmail.com / pa$$w0rd#naziv_servisa . Nato lahko poizkusijo odpreti gmail z geslom pa$$w0rd#gmail in tako nadaljevali z ostalimi servisi. Upam da razumeš kaj mislim

- geslo ti lahko sunejo z network snifferjem, če ga vpisuješ na HTTP stran / FTP / ne-ssl poštni predal ali SMTP strežnik (pri vseh teh zadevah se geslo prenaša v plain textu)

- razne ranljivosti tako na strežniku kot na klientu (primer heartbleed je aktualen in vsem razumljiv)

V glavnem, če ti sunejo eno geslo ali sumiš da so ti lahko sunili (servis ob incidentih vedno priporočajo: please change your password), je sistem komprimitran.

Po samo enem geslu pa nihče ne bo vedel tvojega sistema.

Na internetmojster.com imaš geslo pa$$w0rd#internetmojster (v leet speaku), res ne bi znal povezati 1 in 1? Misliš da si edini ki uporablja tak sistem, jok brate

Pa vso srečo brute forcat npr 25 znakov.

Fiksni del poznaš, dolžino tudi, nabor znakov tudi [a-Z0-9]. V bistvu brute force sploh ni potreben... Samo pretvoriš naziv servisa v leet speak.

Saj lahko to uporabljaš zaradi mene, težim ti samo zato ker je sistem pre-enostaven, če ne dodaš nekega variabilnega dela.

Dober point, ampak dotični sistem sem dal le kot primer. Leet speeka ne uporabljam često pri geslih ampak imam svoj sistem, ki se na prvi pogled verjetno zdi nesmiselen in čisto random password. Mogoče pa vsak e zamenjaš z &, vsak i z #, vsak a z x, vsak o z velikim H itd...

In ko nekdo vidi tvoj password v obliki:

IM: H$emp%&#nt&rn&tmHxj$t&r

FB: H$emp%&fxc&bHHk

verjamem da se mu ne bo posvetilo o tvojem sistemu. Ok, takšna je moja filozofija in veriga je tako močna kot njen najšibkejši člen, v tem primeru je to sistem.

KeePass+LastPass :)

KeePass sicer ni zadovoljil mojih potreb zato sem končno našel sebi primernega:

http://keepnote.org/

... vseeno hvala za trud :)