Una amenaza de tener cuidado con las actualizaciones de google drive / google docs. Por ejemplo, agregan una función a la caché automática de los archivos que se usan con frecuencia y, de repente, todo está en el teléfono en texto plano. De hecho, ya podría estar allí. O el usuario instala la aplicación de Google Drive con las opciones predeterminadas por una razón no relacionada. Las grandes empresas de aplicaciones web se preocupan por la conveniencia y las características, y menos por la seguridad en este sentido (2FA es una cosa, pero una vez que los datos están en sus manos, es su problema).

Cuando piense en seguridad, debe poder decir:

• qué amenaza desea abordar
• de qué atacante quieres estar protegido

y luego revisa las posibles debilidades.

Un archivo de acceso restringido en una unidad de Google bien configurada está correctamente protegido de todos los ataques de la persona de al lado. Como dice que la cuenta de Google es 2 maneras segura (¿qué quiere decir exactamente?) Un tipo que no puede adivinar cómo iniciar sesión no puede acceder al archivo ... ¡siempre que tenga plena confianza en Google!

Y aquí vienen las debilidades ...

• como el archivo solo tiene acceso restringido, cualquier empleado de Google con privilegios de administrador puede leerlo. ¿Sabe cuántos de ellos existen?
• Google es una empresa reconocida por su excelencia técnica, por lo que el riesgo de que sea pirateado es razonablemente bajo. Pero, ¿qué sucede si un empleado despedido decide hacer archivos públicos de las unidades de Google como una venganza, simplemente porque sería malo para la reputación de Google?
• debido a la Ley Patriota, las agencias de cumplimiento de la ley de EE. UU. pueden acceder a cualquier información de las empresas de EE. UU. y Google es una de ellas. Si es o no un problema, depende de usted.

Por esa razón, nunca almacenaría las contraseñas en un archivo no encriptado de forma segura. El disco de Google es sin duda un repositorio correcto, pero preferiría usar un archivo Keypass allí, se puede sincronizar desde cualquier dispositivo, en lugar de una simple hoja de cálculo.

  

1. El documento está en su disco personal de Google protegido por Google, como   Para los ataques externos. Así que la ubicación es más segura que, por ejemplo, su   ORDENADOR PERSONAL.
  
2. El acceso al documento necesita el inicio de sesión de Google, que es seguro en dos direcciones.
  

Eso está bien si confía en Google, incluidos los muchos empleados de Google con privilegios de administrador, cree que Google no puede ser pirateado, Y el gobierno que requiere sus datos no es una de sus preocupaciones. Yo diría que es difícil decir que es más seguro que una PC, si se esfuerza en proteger la PC.

  

3. La URL de ese documento no es conocida por nadie más, excepto él mismo,   su navegador y el servicio de acortadores, todos los cuales no pueden acceder al   documento sin datos de inicio de sesión. El resto del mundo no conoce la   ubicación / URL.
  
4. Abre el documento solo en su PC, computadora portátil y   móvil.
  

Eso es seguridad por oscuridad, y no es un buen consejo. Uno no debería considerar este tipo de cosas como agregar seguridad. Esta información se filtra de muchas maneras, como el historial del navegador y tal vez incluso en proxies.

Déjame añadir una cosa más. Si, por casualidad, permite que una aplicación tenga acceso a su disco de Google mediante la API de Google, puede exponer este archivo. He visto muchas aplicaciones que requieren acceso total a la API de Google Drive para funcionar.

Habiendo dicho todo esto, no veo por qué uno preferiría confiar en la hoja de cálculo de Google para esto, en lugar de proveedores de nube de almacenamiento de seguridad especializados, como Lastpass, que se centran en proteger este tipo de datos y agregan tantas medidas de seguridad adicionales. (Eso de no mencionar que son MUCHO más utilizables).

  

¿Puede sugerir una alternativa tan sencilla como escribir una URL cada vez que necesite recordar una contraseña?

Podría aumentar considerablemente la seguridad de esto si agrega un pequeño ajuste:

En lugar de usar una hoja de Google, almacene las contraseñas en un archivo de documento que puedan abrir todos sus dispositivos, cifre ese documento con un cifrado seguro utilizando una contraseña segura diferente de la que se usa para la cuenta de Google para acceder al archivo y luego subirlo a Google Drive.

Por ejemplo, un archivo de MS Excel 2007 (o más reciente) se puede cifrar con AES de 128 bits.

Con este enfoque, obtiene todos los beneficios y conveniencias de seguridad que ofrece Google, pero también obtiene el beneficio adicional de que, incluso si su cuenta de Google está comprometida (o es accedida por un empleado de Google), nadie más en el mundo puede hacerlo. abre el archivo sin saber la contraseña.

La desventaja es que tienes que escribir una contraseña cada vez que abras el archivo, pero si realmente te preocupa la seguridad, esta es una ventaja en lugar de una estafa.

Actualización : recientemente comencé a usar un nuevo administrador de contraseñas, y decidí almacenarlo en mi Google Drive para que todos mis dispositivos puedan acceder a él (y Drive lo versione automáticamente para usted en Si alguna vez necesita volver a una versión anterior). Este es básicamente el mismo principio que el documento Excel encriptado, con la única diferencia de que el administrador usa AES 256 en lugar de AES 128, y existe una aplicación móvil dedicada y un software de escritorio, lo que hace que sea mucho más fácil de usar que un Excel documento. También evita la navegación por los hombros al permitirle copiar contraseñas sin mostrarlas. Recomendaría encarecidamente a cualquiera que haga el documento Excel encriptado que considere cambiar a un administrador dedicado. Es mucho más limpio y más eficiente de usar.

Esto no es una práctica tan mala como podría pensar. Voy a abordar esto en un sentido del mundo real y dejaré fuera algunas de las cosas más técnicas.

Primero, cuando mido la seguridad, generalmente trato de ir "Mejor o Peor", como cuando estás con el oculista. Tratar de estar totalmente seguro es una broma, mientras que al mismo tiempo no debes ignorar la seguridad.

Así que su método vence: notas adhesivas, una contraseña común (compartida), un archivo en su disco duro, una hoja de papel con todas las contraseñas escritas, un archivo sin cifrar en un servicio como Dropbox (que crea archivos reales) ).

Su método es menos seguro que un administrador de contraseñas basado en la nube, un administrador de contraseñas basado en archivos locales. (Eso es lo que voy a hacer con el más seguro, ya que es lo más probable que vaya un usuario normal de PC).

Así que no le va mal. Es más seguro que probablemente el 90% de los usuarios en internet. Más importante aún, es consciente de la necesidad de estar seguro y ha tomado algunas medidas.

En cuanto a los "vectores de ataque", en realidad hay solo unos pocos realistas. Alguien con acceso físico a sus máquinas (un Juego por cualquier medio), alguien hackeando su cuenta de Google. Sí, hay otros, pero incluso los mejores administradores de contraseñas tienen que cifrar las cosas de manera que se puedan descifrar. Por lo tanto, alguien que se envía por correo en Google y accede a "su" hoja de cálculo y le roba su identificación, es casi lo mismo que alguien que va por correo en LastPass e invierte el hash en algunos de los archivos y lo usa.

Sin embargo, si alguien hackeara su cuenta de Google, todo habrá terminado, pero de nuevo, eso puede ser cierto para cualquier administrador de contraseñas alojado o basado en la nube.

El último vector es el más importante. Debido a que está utilizando un servicio que no está destinado a almacenar datos confidenciales, no hay forma de que un navegador o computadora le diga que los datos son confidenciales. Entonces, como han dicho otros, el documento, o partes de él, pueden guardarse en caché en teléfonos o computadoras en el texto del plan. Realmente creo que este es el mayor riesgo que enfrenta.

Entonces, ¿está lo suficientemente seguro para mantener los códigos de lanzamiento de armas nucleares, probablemente no, está lo suficientemente seguro para mantener sus datos, ya está por encima del promedio? Si él estuviera frito, le recomendaría que mirara a LastPass o Keepass como una alternativa. Lastpass en particular debería ser un cambio muy fácil para él.

P.S.

No estoy tratando de abogar por esto como una forma de almacenar información, simplemente lo digo, su método es mejor que algunos, y peor que algunos, y el usuario tiene que decidir cuánta seguridad necesita. Estaría más extático si pudiera hacer que mi abuela use este método.

Dejando la seguridad de Google Docs fuera de la ecuación, su amigo no le da a su navegador el menor indicio de que está accediendo a información confidencial. Como resultado, deben esperar que sus contraseñas se guarden en archivos aleatorios dentro del directorio de caché del navegador, y en el archivo de intercambio si es que usan uno.

Es mejor que su amigo almacene sus contraseñas en texto simple en sus computadoras: al menos no tendrán la falsa sensación de seguridad de esa manera. Por supuesto, una solución recomendada es utilizar un administrador de contraseñas.

Aquí hay algo para considerar que los otros respondedores no:

Si se puede acceder al archivo en de cualquier manera , entonces se comprometen TODAS de las contraseñas.

Un administrador de contraseñas que valga la pena solo mostraría una contraseña para cada uso.

"¿Pero cómo puedes resolverlo? ¡Tiene