Así que, recientemente, después de pasar por un poco de capacitación en infosec (la Introducción a la Seguridad Cibernética de FutureLearn, que recomiendo ampliamente como material para principiantes bien explicado), decidí dar el paso y finalmente aumentar la seguridad de mi autenticación en la protección con contraseña. sistemas informaticos Mis objetivos eran ...
- Utilice contraseñas únicas para todos los servicios protegidos por contraseña a los que tengo acceso
- Hágalos tan resistentes a las adivinanzas, la fuerza bruta y los ataques de diccionario como sea prácticamente factible
- Use la autenticación de dos factores basada en algo que tengo siempre que sea posible.
- Evite confiar demasiado en la disponibilidad de una computadora específica (por ejemplo, un teléfono celular), un objeto o un servicio (por ejemplo, cobertura de red), básicamente cosas que pueden romperse y ser robadas fácilmente
- Automatice cualquier tipo de sincronización de datos que se requiera
Se me ocurrió un esquema con el que estoy bastante satisfecho, pero me gustaría consultar con alguien más experimentado que entiendo sus puntos fuertes y débiles. Y aquí es donde necesito su ayuda experta, si tiene algo de tiempo para ayudarme con eso. Por supuesto, siéntase libre de reutilizar ese procedimiento por usted mismo, no hay derechos de autor en él.
Así que aquí va:
- En el caso general donde tengo acceso a una computadora de confianza con una conexión a Internet y un puerto USB, uso LastPass para generar, administrar y sincronizar contraseñas aleatorias por servicio, con una contraseña maestra fuerte y un Yubikey como segundo Factor de autentificación. 2FA está habilitado para servicios que lo soportan de una manera sana.
- Para los casos en que las computadoras confiables o las conexiones de red no están disponibles, también configuré Lastpass para que acepte inicios de sesión sin conexión en mi teléfono celular, usando solo la contraseña maestra. La autenticación de dos factores se mantiene configurando Lastpass para que solo acepte inicios de sesión en línea desde el UUID de este teléfono.
- Finalmente, para iniciar sesión en las sesiones de computadora, incluido mi teléfono celular, elegí asumir la disponibilidad de ninguna herramienta de software y usar frases de contraseña. Estas frases de contraseña se generan en mi cabeza según la identificación del servicio y cosas que son tan ridículas que lo recordaré. Ejemplos falsos de esto podrían ser "¡HeyAmigo! IDonQuichoteDemandAccessToThisMac" u "¡OMG! ¡Raptors! ¡Para el sistema UNIX!".
Ahora, ningún sistema es perfectamente seguro, por supuesto, es por eso que quería asegurarme de entender dónde se encuentran los puntos débiles de este esquema de autenticación:
- Al igual que con cualquier administrador de contraseñas, debo elegir una contraseña maestra muy buena para LastPass, ya que el incentivo para descifrarla es alto.
- Necesito confiar en que el cliente LastPass esté seguro en cualquier plataforma, en el sentido de trabajar como lo anuncian (por ejemplo, generar contraseñas verdaderamente aleatorias) y no filtrar datos confidenciales.
- Necesito confiar en que el esquema de acceso de solo escritura de mi YubiKey sea efectivo y que los servidores de Yubico no pierdan mi clave AES, para que la autenticación de YubiKey permanezca segura.
- Mis computadoras de confianza, incluido mi teléfono celular, deben estar libres de registradores de teclas y otros tipos de malware que podrían interceptar las contraseñas de servicio y maestras de LastPass.
- El mecanismo UUID del teléfono celular de LastPass, para el cual no he encontrado documentación técnica, debe ser seguro: las ID deben ser realmente únicas, y forjarlas debe ser inviable.
- Mi mecanismo de frase de contraseña de inicio de sesión es probablemente menos seguro que las contraseñas generadas aleatoriamente que uso en otros lugares. Con frases de contraseña largas (10 palabras o más, incluidas las poco comunes), confío en que sea invulnerable a los ataques de fuerza bruta y diccionario, pero puede ser vulnerable a las suposiciones de alguien que me conoce. Por lo tanto, puede estar lo suficientemente reforzado para el inicio de sesión local, donde también tengo un segundo factor de autenticación (acceso físico a la máquina), pero para el acceso remoto tal vez quiera algo más fuerte.
¿Crees que lo entendí bien o ves otro punto débil en mi esquema de autenticación del que me gustaría ser cauteloso y tratar de endurecerme en el futuro?