Usando una tabla recta para almacenar contraseñas

Question

Usando una tabla recta para almacenar contraseñas

#1 de schroeder (3 votos)
#2 de Mark Burnett (1 votos)

2

Leer una respuesta a otra pregunta ("¿Existe un método para generar contraseñas específicas del sitio que pueda ser ¿ejecutado en mi propia cabeza? ") Me encontré con este enlace , que describe una forma de usar un token físico (una tabula recta con caracteres generados aleatoriamente) para obtener diferentes contraseñas para diferentes sitios (elija una celda con el nombre del sitio y alguna regla, siga otra regla para obtener los caracteres que componen su contraseña). Tenía curiosidad por saber si eso sería o no una buena práctica.

El autor afirma ser un experto en seguridad informática, y por lo que puedo decir, su razonamiento parece acertado. Él sí advierte que "la seguridad de este sistema se basa en la aleatoriedad de los caracteres generados y la hoja de papel ". (énfasis mío) En otras palabras, si un adversario obtiene acceso a su token, se acabó, eso lo entiendo (es fácil demostrar que un ataque de diccionario se puede realizar con él *).

Sin embargo, tengo problemas para determinar si el riesgo de perder el token combinado con las consecuencias de este evento haría que esta práctica sea inviable, o si esas Se puede mitigar de alguna manera. Creo que el riesgo de olvidar una contraseña (especialmente si no se reutiliza en los sitios, ya que no debería) es mucho mayor que ser atacado (personalmente) por un adversario malicioso, y los administradores de contraseñas son un poco incómodos de usar. Me gustaría conocer los pros y los contras de esta técnica, y tal vez las formas en que se puede mejorar / hacer posible (preferiblemente en relación con el uso práctico , creo que el aspecto criptográfico debería ser evidente. ).

* Para realizar un ataque de diccionario, simplemente tome cada celda de su token (a menos que esté usando un pedazo de papel realmente grande, no habrá más de unas pocas docenas o cientos de celdas) y siga cualquier regla que un humano pueda seguir razonablemente "a mano" (diagonales, espirales, saltos de caballero, etc). No debería haber muchos de ellos (seamos optimistas y digamos cien), y dado que habrá exactamente 1 secuencia de N caracteres comenzando desde una sola celda y siguiendo la misma regla (independientemente de N), eso no deja más que 100 000 posibilidades de prueba para cada N (más débil que una contraseña alfanumérica de 4 caracteres, para fines de comparación).

passwords password-management

pregunta mgibsonbr 08.04.2012 - 08:32

fuente

2 respuestas

1

Es una idea interesante pero no una buena seguridad. Es mejor instalar un administrador de contraseñas y tener una contraseña totalmente aleatoria para cada sitio. Yo uso LastPass y he usado RoboForm y no he encontrado que sean demasiado incómodos. Ciertamente, mucho menos que tener que buscar su contraseña en un gráfico.

El problema con estos métodos es que dificulta el cambio de su contraseña maestra o token, ya que esto significa cambiar las contraseñas en cada sitio basado en él.

respondido por el Mark Burnett 08.04.2012 - 10:47

fuente

Lea otras preguntas en las etiquetas passwords password-management

Metasploit abre Meterpreter pero no muestra ningún mensaje, por favor ayuda URIs en la extensión subjAltName X.509

score 3 · Accepted Answer

Pros

Un token de generación de contraseña significa una contraseña segura 'decentemente', en comparación con otros métodos manuales / de memoria. No se basa en un repositorio común de contraseñas como un administrador de contraseñas. El proceso es tan portátil como el token, lo que significa que podría usarse en áreas donde los dispositivos personales o las conexiones a Internet no están disponibles, lo que lo hace superior a los administradores de contraseñas.

Cons

No produciría una contraseña suficientemente aleatoria en comparación con los generadores de contraseñas automatizados, pero no iría tan lejos como para decir "no es seguro". Una foto de la tarjeta es suficiente para iniciar un ataque de diccionario, no solo el robo de la tarjeta. La pérdida o daño de la tarjeta significa una pérdida de todas las contraseñas asociadas con ese token.

El otro problema es que una vez que alguien tiene su token, puede realizar ese ataque de diccionario en todas sus cuentas (y, tal vez, con optimizaciones en la coincidencia de patrones / rutas una vez que se encontró la primera coincidencia exitosa).

Mitigation

Colocar el token en una funda polarizada para que no se puedan tomar fotos, y adjuntar físicamente el token para que no sea fácil de robar puede ayudar. Me preguntaba si podría imprimir el token en una tarjeta de metal con un agujero en la esquina. Limitar el número de cuentas que usan la tarjeta también ayudaría. Considere imprimir ambos lados de una tarjeta con diferentes conjuntos de caracteres aleatorios y distribuir cuentas entre ambos conjuntos de caracteres.

Administradores de contraseñas

He utilizado los administradores de contraseñas con frecuencia y no los encuentro difíciles de usar o implementar.

Conclusión

Tanto un token físico como un administrador de contraseñas representan un punto único de falla y un solo punto de ataque, y como tal, los impactos deben ser considerados cuidadosamente. Teniendo en cuenta la complejidad de la contraseña que podría generar un token como tabula recta, podría ser muy útil y más seguro que confiar en la memoria de un usuario en situaciones donde otros recordatorios de contraseña no están disponibles.