Mi modelo de seguridad actual (al menos para las contraseñas) es almacenarlas cifradas en reposo y usar GPG (en combinación con un Yubikey) para realizar el cifrado / descifrado. Estoy usando pass ( enlace ) para ayudar a automatizar el proceso de cifrado / descifrado. Estos archivos se almacenan a las 0700 y planeo sincronizarlos con iCloud Drive o con un repositorio git adecuado (en algún momento). En este momento, simplemente los estoy respaldando en un Ironkey (D20402A). Estoy usando subclaves de 4096 bits para el cifrado / descifrado GPG.
Sin embargo, los códigos TOTP, todavía los almaceno en mi iPhone (usando Google Authenticator). Sé que hay soluciones de terceros como Authy, pero me gustaría migrar fuera de mi teléfono si es posible.
Idealmente, me gustaría almacenar mis claves secretas TOTP de una manera que pueda ser recuperada (y respaldada adecuadamente) desde mi computadora para facilitar las secuencias de comandos y la automatización. Hay algunos servicios como AWS que requieren un código TOTP junto con mis credenciales de autenticación normales que motivan esto.
¿El almacenamiento de estos secretos TOTP junto con mis contraseñas (siempre que ambos estén encriptados) es lo suficientemente seguro o simplemente una mala idea? La forma en que lo veo hay básicamente cuatro elementos necesarios para que alguien desbloquee mis claves:
- Computadora física (cifrado de disco completo mediante APFS) o Ironkey
- Physical Yubikey (o la copia de seguridad, o la copia de seguridad de la llave maestra)
- Contraseña de descifrado del disco o Ironkey
- Mi PIN de Yubikey
Hay una herramienta llamada enlace que puedo usar para esto.
No entiendo si esta es una solución de seguridad aceptable. Por un lado, el aspecto del "segundo factor" que trae TOTP se subvierte al almacenar todos los secretos en un solo dispositivo.
Por otro lado, estoy razonablemente seguro de que el dispositivo y los métodos que planeo usar en torno a mi solución propuesta son lo suficientemente adecuados para proteger esta información. Reconozco que todo esto vuela por la ventana si mi máquina está comprometida (pero eso me deja atornillado en cualquier situación).