Ubuntu Suomen keskustelualueet
Muut alueet => Yleistä keskustelua => Aiheen aloitti: qwertyy - 26.08.09 - klo:18.03
-
Tuli mieleen aloittaa tällainen ketju niinkin arkipäiväisestä asiasta kuin salasanoista ja niiden hallinnasta. Itsellä on käsinkirjoitettuna ylhäällä kymmeniä käyttäjätunnuksia ja salasanoja useammalle paperiarkille. Pitkään olen miettinyt, että alkaisinko tallentamaan niitä sähköiseen muotoon. Ehkä parhaimmalta tähän mennessä tutkiessa vaikuttaa KeePass (http://keepass.info), lähinnä siksi että se löytyy useammalle alustalle eli Linux, Windows, Mac.
Mitäpä mieltä foorumin käyttäjät on kyseisistä ohjelmista ja onko noiden käytössä mitään erityisesti huomioon otettavaa. Ilmeisesti salasanat on aika hyvässä turvassa kunhan tietokannan salasanan vai asettaa hyväksi. Vastaavia ohjelmiahan on muistaakseni KDE:ssäkin jo oletuksena integroituna. Itse taidan olla kuitenkin vielä niin epäluuloinen tietoturvan suhteen, että tunnuksia joilla voi tehdä rahallista tuhoa, en mihinkään tietokantaan tallenna.
Onko muilla minkälaisia ratkaisuja, vai onko käyttäjät rohkeampia ja uskaltavat laittaa esim. Dropbox tilille vastaavia salattuja tietokantoja tai vaikka tikulla olevaa portable keepass ohjelmaa joka on aina mukana ja käytetään muidenkin koneilla tms.?
-
Montaa eri salasanaa tulee käytettyä, ja kirjoitan salasanat vihkoon. Salasanaohjelmista en piittaa.
-
Minä olen pistänyt salasanat Google docs palveluun taulukkoon.
Ovat riittävän hyvässä tallessa siellä.
-
KeePass vaikuttaa ihan ok:lta. Itse kans puikkelehdin salasanojen viidakossa ja kaikki on tallessa puhelimessa(ei oo iPhone ;D) ja vielä varmuuskopiona vihkossa. Salasanat on jotenkin semmonen arka kohta, jotka haluaa säilyttää hyvässä tallessa, kaukana netistä.
-
itse olen pitänyt salasanoista ym. muusta arkaluontoisesta datasta (mm. luottokortin numerot) listaa ihan tekstitiedostossa joka on kryptattu softalla nimeltä gringotts. voisi tuo toki kätevämpikin järjestely olla. pitää varmaan tarkistaa tuo keepassx.
-
Noin yksinkertainen ratkaisu ei ole tullut mieleenkään. En tosin tiedä onko tuo minkälainen toteuttaa sitten useammalla käyttiksellä.
Tuota keepassia nyt vähän tutkaillut, vaan olisi kiva tietää onko tuossa mitään riskiä, että tietokanta sekoaa tms. Joutuuko kuitenkin pitämään tärkeimmät tunnukset jossain muuallakin jemmassa. Salasanasoftien käyttäjiä ei oikein paljoa tällä foorumilla olevan. Ainakin tuo keepass ohjelma ei kuole pois niin helposti, mitä on noita muita maksullisia vaihtoehtoja jne. ja on kait lisäksi aika turvallinenkin ainakin sivuston mainostuksien mukaan? Itse en tosin kyllä oikein mitään salauksista edes tiedä.
-
Itse olen tallentanut kaikki salasanani yms. tekstitiedostoon jonka olen kryptannut sitten GnuPG:llä.
Privaatti key löytyy sitten parista eri paikasta ainoastaan, semmoisilta servereiltä mihin voin luottaa.
EDIT: Niin ja tietenkin, ohjelmana käytän VIMiä ja plugini on gnupg.vim niminen. Eli kun avaan "vim salasanat.txt.gpg" niin se kysyy vimin käynnistyksessä salasanani. Syötän sen -> saan kryptatun tiedoston auki vimissä. Myös tallennus onnistuu samoin.
-
Itse KDE käyttäjänä tulee käytettyä wallettia joka tosiaan on intekroitu. Ainoa miinus on että tukee selaimista vain konqueroria mitä en tykkää käyttää. Muuten tosi kätevä.
-
Säilytän noin 30 salasanaa päässäni. Vielä tähän mennessä on onnistunut välillä pidemmän ja välillä lyhyemmän muistelun kautta. KeePassia olen itsekin katsellut, mutta ei ole vielä tullut intoa kokeilla. Ehkä sitten, kun ensimmäiset salasanat alkaa tosissaan tippua päästä.
-
Säilytän noin 30 salasanaa päässäni. Vielä tähän mennessä on onnistunut välillä pidemmän ja välillä lyhyemmän muistelun kautta. KeePassia olen itsekin katsellut, mutta ei ole vielä tullut intoa kokeilla. Ehkä sitten, kun ensimmäiset salasanat alkaa tosissaan tippua päästä.
Minulla on myöskin kaikki salasanat päässäni ja muutaman hyvin harvoin käytetyn salasanani olen jo unohtanut, joten olen alkanut kirjoittamaan niitä talteen paperille. Pitäisiköhän ne suojata ainakin rot13:sta... :)
-
Paperi ja kynä toimivat hienosti, tärkeimmät salasanat ovat päässäni.
-
Itselläni on kolme eri salasanaa käytössä ja kaikki ovat päässäni, eikä niitä lue missään (paitsi ohjelmien tietokannassa toivottavasti kryptattuna).
-
Kaikki toistakymmentä salasanaa pääsäni. :)
-
Tänään asentelin omaan työkoneeseeni Ubuntu 9.04 version ja yksi ohjelma jota kovasti ikävöin on Roboform johon olen
tallettanut kaikki mahdolliset salasanani. Lastpass https://lastpass.com/ vaikuttaisi hyvältä vaihtoehdolta Ubuntuun, mutta jostain syystä Firefox
lopetti toimintansa Lastpass lisäosan asennuksen jälkeen. Onko kukaan testaillut tuota? Kohta lähtee Ubuntu asentumaan myös kannettavaan ja yritän jos siinä saisin tuon toimimaan.
-
Ylläpidän paria serveriä, joten minulla on muistettavana useampi salasana kahdelle eri linux serverille ja yksi mysql:n rootin passu.
Kaikki toki on pitkiä ja yksikään noista ei ole käytössä omalla koneella ja eriäviä...
Kesällä menin tietenkin unohtamaan yhden passuista mutta oli oli onneksi ylhäällä. Ei kyllä missään mihinkä olisi jatkuva pääsy internet-yhteyden kautta.
Puhun siis parhaasta palomuurista, eli ilmasta.
-
Minulla on jotain 4-6 salasanaa joita käytän kaikkialla :P Ohjelmia en ole tarvinut koskaan. Taino ehkä jotain tekstieditoria tullut käyettyä :D
-
Itse kokeilin myöskin tuota firefoxin lastpass (https://lastpass.com/)-liitännäistä ja totesin sen oikein näppäräksi työkaluksi. Muistaa salasanat, kirjaa sisään automaattisesti ja osaa vieläpä auttaa turvallisen salasanan keksimisessä.
-
Käytän sellaista kuin KeePassX ohjelmaa. Eroaa siis KeePass -ohjelmasta. Taisi olla vain Linuxeille, en muista onko myös Maceille. KeePasshan löytyy myös Windowseille, mutta Wintoosat ei jaksa enää kiinnostaa.
Ihan hyvä ohjelmahan tuo. Tietokanta on tietenkin salasanan takana, jonka voi laatia itse, tai antaa ohjelman luoda erityinen tiedosto, jonka sisältö näyttää täydeltä heprealta.
Toisaalta salasanat on myös paperilla - itseasiassa luon uudet salasanat ensin paperilla, sitten joskus kun luon.
En nyt keksi mitään erityistä kirjoittaa tästä ohjelmasta. Ihan hyvä.
ML
-
Itse kokeilin myöskin tuota firefoxin lastpass (https://lastpass.com/)-liitännäistä ja totesin sen oikein näppäräksi työkaluksi. Muistaa salasanat, kirjaa sisään automaattisesti ja osaa vieläpä auttaa turvallisen salasanan keksimisessä.
Tuo on kyllä loistava lisuke. Olen käyttänyt tuota jo useamman vuoden, ja on säästänyt paljolta vaivalta. Tuo on saatavana kaikille yleisimmille selaimille.
Veikkauksen sivut on ollut tähän mennessä ainut, jossa tuo ei ole toiminut.
https://www.veikkaus.fi/
-
Käytän sellaista kuin KeePassX ohjelmaa.
En nyt keksi mitään erityistä kirjoittaa tästä ohjelmasta. Ihan hyvä.
Kuin myös. Ohjelmasta on tarjolla myös stand-alone-versio Windowsille, jota pidän muistitikulla mukanani kuten myös tuota salasanatiedostoa. Toimii kuin junan vessa.
-
Täytyypä keepassia testata. Sepostelin jo pitemmältikin kunnes huomasin että tämä oli jokin nosto ja olin postannut aiemminkin. Miten onko teillä uuden salasanan muodostamisessa ongelmia? Jos vaikka rekisteröidyt johonki palveluun niin käytättekö perus salasanoja tai niiden variaatioita vai aina uusi ja talteen? Itse käytän aina jotain perus salasanaa jos tulen kirjautumaan kerran vain palveluun tai vain satunnaisesti.
-
Itsellä oli joskus muutamassa palvelussa sama salasana, mutta nykyään teen ihan täysin satunnaisen salasanan. Muutamat salasanat jotka pitäisi yrittää oikeasti muistaa joka paikassa, niin sellaiset olen tehnyt jostain mieleenjääneestä melkoisen pitkästä sanonnasta ja tietyllä tekniikalla niiden sanoista otetuista kirjaimista. Yleensä vielä sisältää jonkin helposti muistettavan luvun.
Btw onko teille koskaan tehty valmiiksi surkuhupaisan huonoa salasanaa johonkin paikkaan? Itse nimittäin sain erään suhteellisen tärkeän palvelun salasanan ja käyttäjätunnuksen luonnin yhteydessä ihan käsittämättömän huonosti muodostetun salasanan. Pisti huvittamaan kun noin 5 sekunnin sisään salasanan lukemisesta tajusin mistä se muodostuu ja 99% varmuudella pääsisin nyt parinkymmenen muun vastaavan käyttäjätilin sisään jos vain haluaisin.
-
Suku(nimen) neljä ja Et(unimen) kaksi ensimmäistä kirjainta ainakin on saatu salasanaksi. Jostain syystä noudatin palveluntarjoajan neuvoa vaihtaa salasana heti.
-
Itsellä on aika yksinkertainen ratkaisu salasanojen säilyttämiiseen. Tekstitiedosto johon on tallennettu palvelun nimi, käyttäjätunnus palveluun, salasana palveluun. Tiedosto normaalisti PGP (sillä openpg:llä)salattuna, muuta ei tarvitse muistaa kuin salauslause openPG:lle. Käytännössä muistan salasanani, mutta jos unohtuu ei muuta kuin kaivaa ko. tiedoston esiin ja avaa.
-
Tekstitiedosto johon on tallennettu palvelun nimi, käyttäjätunnus palveluun, salasana palveluun. Tiedosto normaalisti PGP (sillä openpg:llä)salattuna.
Käytin joskus samaa ratkaisua. Tuossa on vain kaksi merkittävää ongelmaa:
A) Tieto on salaamattomana koneen muistissa -> voi tallentua swappiin.
B) Ellet pura/decryptaa tiedostoa suoraan ramdiskille tallentuu tiedosta varmasti kopio myös kiintolevylle -> todella paljon huonompi homma.
Omat salasanat ovat vähintään 20 merkkiä, sisältää numerot, isot ja piennet akkoset, reilusti erikoismerkkejä ja unicode merkkejä. Valitettavan moni palvelu ei edes salli vahvojen salasanojen käyttämisen. Aivan liian moni palvelu sallii vain 0-9,A-Z,a-z, ja max 8 merkkiä. Jokaiseen palveluun tietenkin oma satunnainen salasana.
Kun salasanaa käytetään salausavaimena pitää muistaa, että tuollainen salasana on entropialtaan vain noin 130 bittiä. AES256/SHA256 parin kanssa kannattaisi käyttää vähintään 40 merkkistä satunnaista salasanaa. Muuten salasana on salauksen heikoin lenkki. Tämä tosiasia unohtuu käyttäjiltä kovin usein.
-
Tekstitiedosto johon on tallennettu palvelun nimi, käyttäjätunnus palveluun, salasana palveluun. Tiedosto normaalisti PGP (sillä openpg:llä)salattuna.
Käytin joskus samaa ratkaisua. Tuossa on vain kaksi merkittävää ongelmaa:
A) Tieto on salaamattomana koneen muistissa -> voi tallentua swappiin.
B) Ellet pura/decryptaa tiedostoa suoraan ramdiskille tallentuu tiedosta varmasti kopio myös kiintolevylle -> todella paljon huonompi homma.
Omat salasanat ovat vähintään 20 merkkiä, sisältää numerot, isot ja piennet akkoset, reilusti erikoismerkkejä ja unicode merkkejä. Valitettavan moni palvelu ei edes salli vahvojen salasanojen käyttämisen. Aivan liian moni palvelu sallii vain 0-9,A-Z,a-z, ja max 8 merkkiä. Jokaiseen palveluun tietenkin oma satunnainen salasana.
Kun salasanaa käytetään salausavaimena pitää muistaa, että tuollainen salasana on entropialtaan vain noin 130 bittiä. AES256/SHA256 parin kanssa kannattaisi käyttää vähintään 40 merkkistä satunnaista salasanaa. Muuten salasana on salauksen heikoin lenkki. Tämä tosiasia unohtuu käyttäjiltä kovin usein.
Olen yleensä pyyhkinyt salaamattoman tiedoston yli windows puolella salausohjelman pyyhintätyökalulla, linux puolella wipe komennolla, välimuisti taitaa se pahin ongelma olla. Tosin ylipäätään asiahan on niin että jos jollain on fyysinen pääsy koneeseen/kovalevyyn silloin kaikenlaiset suojatoimet ovat vain hidaste, jos tunkeutujalla on riittävästi aikaa ja asiantuntemusta.
-
Olen yleensä pyyhkinyt salaamattoman tiedoston yli windows puolella salausohjelman pyyhintätyökalulla, linux puolella wipe komennolla, välimuisti taitaa se pahin ongelma olla. Tosin ylipäätään asiahan on niin että jos jollain on fyysinen pääsy koneeseen/kovalevyyn silloin kaikenlaiset suojatoimet ovat vain hidaste, jos tunkeutujalla on riittävästi aikaa ja asiantuntemusta.
Käytin myös tuota pyyhkimistä, mutta sekin voi olla ongelmallista. Ainakin teoriassa mm. levyohjain voi päättää että juuri nyt se klusteri/sektori on sen verran vaurioitunut että se korvataan uudella vara-alueelta, jolloin tieto jää pyyhkimättä. Eikä sitä pääse pyyhkimään ilman levyvalmistajan työkaluja.
Windowssissa voi helposti määritellä swapin pyyhkimisen sammutuksen yhteydessä (http://support.microsoft.com/kb/314834).
Mitä tulee tuohon fyysiseen pääsyyn, niin kyllä ja ei. Jos kone mm. läppäri tai kotikone varastetaan ja tieto on asianmukaisesti salattuna, se on todella iso hidaste. Jos taas tiloihin on jatkuva pääsy, esim. työkaverit, niin silloin ongelma on paljon suurempi. Tuossa tapauksessa pitäisi aina konetta käyttäessä tarkistaa se fyysisesti ja käyttää bios ja kokolevyn salausta, jotta niille ei voida helposti istuttaa mitään. Jos koko levyn kryptausta ei ole käytössä, voidaan koneeseen aina laittaa helposti keyloggeri tms. Salasana voidaan myös pyydystää radioteitse (näppäimistö ja usb-kaapelit säteilevät), video signaali vuotaa yleensä ulos. Näppäimistön äänestä pystytään päättelemään salasana. Sekä viimeisenä ja helppona vaihtoehtona tiloihin voidaan asentaa piilokamera joka tallentaa salasanan.
Aika haastavaksi alkaa menemään. Tuo tietenkin menee ihan siihen suurimpaan foliohattu kategoriaan. Normaalein uhka on se, että salasana vuotaa itse palvelusta, varastetaan troijalla / keyloggerilla tai on salaamattomana kun itse kone varastetaan. Salauksen käyttäminen ei ratkaise noista kuin pienen osan.
Siitä miten vahvoja salauksia käyttäneitä kavereita on bustattu, on monta tarinaa. Yksi ihan käytännöllinen tapa on se, että tiedettiin käyttäjän käyttätymisprofiili aika tarkasti. Tyypillä oli huippusalaukset käytössä, mutta kun se meni käymään vessassa, arvaa lukitsiko se koneen? No ei. Ei muuta kuin rynnäkkö kämppään ja sen jälkeen poliisit tekeytyivät kyseiseksi kaveriksi. Vahva autentikointi kun kerran kertoi hänen olevan puikoissa. Jos koneen olisi ehtinyt lukitsemaan, sekään ei välttämättä auttaisi, jos ei tehnyt kunnon dismounttia. Windowssin / ubuntun lukitus ei pyyhi salausavaimia koneen muistista. Muistien jäähdytys todella kylmäksi, ja siirto laitteeseen joka kopioi muistien sisällöt talteen. Taas kerran vahvakaan salaus ei auttanut. Kun hyökkääjällä on riittävä päättäväisyys ja resurssit käytettävissä menee asiat aika hankaliksi.
Onhan sinulla jatkuva videovalvonta tiloissa joissa koneet on? Muuten et edes tiedä, että koneessasi on ollut keyloggeri viikon ajan. Se istutettiin boot sectoriin rootkittinä tai pöytäkoneen tapauksessa asennettiin suoraan USB-portin väliin. Aijai, on monta tapaa epäonnistua.
EDIT: Juuri tämän kaltaisten palveluiden (http://md5.my-addr.com/md5_decrypt-md5_cracker_online/md5_decoder_tool.php) (ja hölmöjen käyttäjien) takia salasanan varastointiin pitäisi myös panostaa.
This is very huge online md5 database at have about 4,700,000,000 md5 hashes.
Database generating in progress now, whats is why it working not very fast - 1-6 seconds for decrypt one md5sum.
What hashes you can decrypt: we have all md5 hashes of [a-z,A-Z,0-9] with length 1-6, and all hashes for [0-9] with length up to 9, also we have 20,000,000 of most usable passwords and dictionary worlds.
MD5 crack going very easy, our service already have md5 database of already cracked hashes, so tool just searching for in database by your md5 checksum.
Eipä homma ole edes armeijalla hallussa (http://www.theepochtimes.com/n2/technology/anonymous-hackers-release-90000-military-e-mail-accounts-58945.html). Paketti on TPB:ssä jaossa.
-
Käytin myös tuota pyyhkimistä, mutta sekin voi olla ongelmallista. Ainakin teoriassa mm. levyohjain voi päättää että juuri nyt se klusteri/sektori on sen verran vaurioitunut että se korvataan uudella vara-alueelta, jolloin tieto jää pyyhkimättä. Eikä sitä pääse pyyhkimään ilman levyvalmistajan työkaluja.
Windowssissa voi helposti määritellä swapin pyyhkimisen sammutuksen yhteydessä (http://support.microsoft.com/kb/314834).
Mitä tulee tuohon fyysiseen pääsyyn, niin kyllä ja ei. Jos kone mm. läppäri tai kotikone varastetaan ja tieto on asianmukaisesti salattuna, se on todella iso hidaste. Jos taas tiloihin on jatkuva pääsy, esim. työkaverit, niin silloin ongelma on paljon suurempi. Tuossa tapauksessa pitäisi aina konetta käyttäessä tarkistaa se fyysisesti ja käyttää bios ja kokolevyn salausta, jotta niille ei voida helposti istuttaa mitään. Jos koko levyn kryptausta ei ole käytössä, voidaan koneeseen aina laittaa helposti keyloggeri tms. Salasana voidaan myös pyydystää radioteitse (näppäimistö ja usb-kaapelit säteilevät), video signaali vuotaa yleensä ulos. Näppäimistön äänestä pystytään päättelemään salasana. Sekä viimeisenä ja helppona vaihtoehtona tiloihin voidaan asentaa piilokamera joka tallentaa salasanan.
Aika haastavaksi alkaa menemään. Tuo tietenkin menee ihan siihen suurimpaan foliohattu kategoriaan. Normaalein uhka on se, että salasana vuotaa itse palvelusta, varastetaan troijalla / keyloggerilla tai on salaamattomana kun itse kone varastetaan. Salauksen käyttäminen ei ratkaise noista kuin pienen osan.
Siitä miten vahvoja salauksia käyttäneitä kavereita on bustattu, on monta tarinaa. Yksi ihan käytännöllinen tapa on se, että tiedettiin käyttäjän käyttätymisprofiili aika tarkasti. Tyypillä oli huippusalaukset käytössä, mutta kun se meni käymään vessassa, arvaa lukitsiko se koneen? No ei. Ei muuta kuin rynnäkkö kämppään ja sen jälkeen poliisit tekeytyivät kyseiseksi kaveriksi. Vahva autentikointi kun kerran kertoi hänen olevan puikoissa. Jos koneen olisi ehtinyt lukitsemaan, sekään ei välttämättä auttaisi, jos ei tehnyt kunnon dismounttia. Windowssin / ubuntun lukitus ei pyyhi salausavaimia koneen muistista. Muistien jäähdytys todella kylmäksi, ja siirto laitteeseen joka kopioi muistien sisällöt talteen. Taas kerran vahvakaan salaus ei auttanut. Kun hyökkääjällä on riittävä päättäväisyys ja resurssit käytettävissä menee asiat aika hankaliksi.
Onhan sinulla jatkuva videovalvonta tiloissa joissa koneet on? Muuten et edes tiedä, että koneessasi on ollut keyloggeri viikon ajan. Se istutettiin boot sectoriin rootkittinä tai pöytäkoneen tapauksessa asennettiin suoraan USB-portin väliin. Aijai, on monta tapaa epäonnistua.
Toisaalta jos salattua tietoa käyttää se on pakko purkaa jossain vaiheessa, ja kas kummaa riskit kasvavat, enpä voi sanoa omaavaani videovalvontaa kämpälläni, mutta sanoisin riskin olevan sangen pienen, kun en pommien valmistelua tai muuta esim. viranomaisia suuresti kiinnostavaa harrasta. Ylipäätään voi kuitenkin sanoa että siinä vaiheessa peli on menetetty jos riittävän kiinnostunut ja riittävät resurssit omaava pääsee laitteeseen fyysisesti käsiksi, joko etävalvontana tai sitten vie kapistuksen ja kovalevyt mennessään. Silti sanoisin ns. vanhanaikaisen metodin olevan turvallisempi noin yleensä ainakin jos haluaa kaikensortin viranomaisilta tietonsa pitää omana tietonaan. Pilvipalveluihin tms. kun näemmä yhdellä jos toisellakin puuhailijalla on pääsy, jollei muuten niin oikeuden määräyksellä. Sitä vastoin jotain usb tikullista salattua dataa voi olla aika hankala löytää, jollei se ole missään ilmeisessä paikassa.
Jos sattuisin olemaan esim. kiinalainen toisinajattelija en esim. googlen tms. suuryrityksen kuvioihin luottaisi pätkääkään. Niillä on sikäli isot paineet tehdä ko maassa bisnestä, että voivat helposti taipua painostukseen.