Como você gerencia suas senhas?

59

Obviamente, como muitos de nós aqui somos pessoas do tipo administrador de sistemas, temos muitas senhas espalhadas por vários sistemas e contas. Alguns deles são de baixa prioridade, outros podem causar sérios danos a uma empresa se descobertos (você não ama o poder?).

Senhas simples e fáceis de lembrar simplesmente não são aceitáveis. A única opção são senhas complexas e difíceis de lembrar (e digitar). Então, o que você usa para acompanhar suas senhas? Você usa um programa para criptografá-lo para você (exigindo mais uma senha por vez) ou faz algo menos complicado, como um pedaço de papel mantido em sua pessoa, ou está em algum lugar entre essas opções?

DWilliams
fonte
As senhas fáceis de lembrar não são realmente aceitáveis? -> xkcd.com/936
Michuelnik 16/10

Respostas:

63

O KeePass é ótimo.

raspi
fonte
3
+1 para Keepass. Tenho uma cópia no meu laptop e uma cópia sincronizada no meu Android G1.
KPWINC
Usei o PassReminder por um tempo porque era utilizável no Windows e Linux, mas o desenvolvimento estagnou. Mudei para o KeePass e tenho o mesmo banco de dados há mais de dois anos, nas estações de trabalho Windows, Linux e Mac OS X.
jtimberman
Devo observar que, em um trabalho anterior, usamos um banco de dados KeePass compartilhado entre a equipe administrativa que armazenava todas as senhas relacionadas à infraestrutura.
jtimberman
+1 para Keepass, FOSS.
21713 Josh Brower
11
KeePass + Dropbox = Sincronização automática de senhas.
Hello71
30

Eu tenho uma maneira muito simples de lidar com senhas:

Não gosto de gerenciadores de senhas, mas gosto de criptografia, então aproveito os hashes unidirecionais (md5, sha1 etc.) e gero senhas usando-os.

Como funciona?

Primeiro, escolho uma boa senha longa que usarei em qualquer lugar. Por exemplo, qwerty (não use isso, apenas um exemplo). Agora, para todos os sites, sua senha será o md5 (ou sha1) do nome do site qwerty +. Por exemplo:

$ echo “qwerty http://www.facebook.com” | md5
9d7d9b30592fd43dd6629ef5c12c6e9a

$ echo “qwerty http://www.twitter.com” | md5
cdf0e74e19836efb20f29120884b988d

Dessa forma, minha senha para o facebook é 9d7d9b30592fd43dd6629ef5c12c6e9a e para o twitter é: cdf0e74e19836efb20f29120884b988d

Longo e seguro. Se alguém rouba minha senha do twitter, ele não tem como voltar atrás para descobrir as outras senhas. Além disso, você não precisa de nenhum software de senha armazenado (apenas os binários md5 / sha1 que vêm por padrão no Linux e são fáceis de encontrar no Windows).

sucuri
fonte
6
Esquema bom e simples. O que você faz em sites que limitaram seus campos de senha a menos de 32 bytes, apenas truncar?
Pboin
11
esse é um esquema bastante engenhoso! legal!
Sander Versluys 02/12/2009
11
O pwdhash < pwdhash.com > faz algo semelhante e está disponível como um suplemento do Firefox. Portanto, se você deseja simplesmente controlar senhas na web, isso é ideal. Também significa que você pode usar qualquer PC, pois não precisa carregar seu banco de dados de senhas.
Chris J
13
Isso não deixará um rastro de comandos com sua senha em texto sem formatação no histórico do bash?
Pufferfish
11
Você pode ter comandos bash ignore configurando HISTCONTROL, consulte: commandlinefu.com/commands/view/1512/…
Matt V.
16

O Password Safe possui criptografia sólida e um gerador de senhas aleatório. Grupos de senhas são distribuídos como arquivos criptografados com base em quem precisa de quais senhas.

pcapademic
fonte
Que criptografia usa o Password Safe? Estive em todo o site e ainda não o encontrei.
Bob
Twofish schneier.com/passsafe.html
sh-beta
Considero o Password Safe inestimável, porque posso usá-lo para gerar senhas aleatórias sempre que for hora de alternar senhas - cada entrada de senha pode ter regras de complexidade personalizadas associadas a ela; se um aplicativo ou site não permitir pontuação, posso dizer ao PS para não usar símbolos ao gerar novas senhas para ele. Para um gerenciamento mais amplo de senhas, temos o CyberArk.
21417 George Erhard #
7

Mantemos nossas senhas impressas, em um encadernador, com nossa outra documentação de rede, e em nossa sala de servidores fisicamente segura à qual apenas algumas pessoas têm acesso.

Eu não sei o que os administradores de sistemas reais pensam disso, mas acho que essa é uma boa solução para nós. Estou interessado nas outras respostas a esta pergunta.

Jay Riggs
fonte
Em um trabalho anterior (um centro de informática da universidade central), tínhamos um pequeno notebook armazenado em nossa caixa de chaves dentro de nossa sala de máquinas, que obviamente tinha um número limitado de pessoas que podiam acessá-lo.
7119 David Pashley
+1 porque esta funciona e é a solução mais simples ... se o notebook é mantido trancado em um local seguro ...
cop1152
Da mesma forma. Pasta de senhas armazenadas no cofre, na sala de máquinas. A senha do root central era conhecida apenas por algumas pessoas e depois colocada em um envelope lacrado; acesso sudo para qualquer pessoa que precise de acesso privilegiado.
CK.
Parece uma boa solução de baixa tecnologia. Eu ficaria um pouco preocupado com pessoas como pessoal de limpeza, técnicos de manutenção etc., que ocasionalmente podem entrar na sala. Você precisará se lembrar de manter o fichário a salvo deles.
Sleske
7

Temos um arquivo de texto criptografado PGP. É criptografado para cada uma das chaves do administrador de sistemas. Usamos um plug - in vim para facilitar a atualização.

Em um trabalho anterior, usamos um esquema semelhante, mas usamos criptografia simétrica porque não tínhamos descoberto o plug-in (ou ainda não existia) e ninguém gastou tempo para descobrir como as chaves privadas funcionariam.

David Pashley
fonte
+1 Esquema agradável, além de saber sobre o plugin :-).
Sleske
5

Tenho uma memória fotográfica, lembro-me das senhas dos arquivos zip criados nos anos 80 - não tão legais quanto você imagina :)


fonte
Solução muito boa. Eu simplesmente não dimensiono muito bem para os outros: - /.
Sleske
Também parece que consigo me lembrar de todas as senhas que já usei ... o que funciona muito bem até que você inevitavelmente esqueça uma, como eu fiz. Era para assinatura de certificado Android - o que significa que nunca mais posso atualizar um aplicativo que escrevi que está no mercado do Google Play. É claro que eu poderia assiná-lo com um certificado diferente, mas isso não traz os usuários existentes para o passeio.
Timothy Lee Russell
5

KeePassX é uma alternativa KeePass multiplataforma. Uma interface gráfica (Qt) muito agradável e funcionalidade quase idêntica.

Ehtyar.

[editar] Esqueci de mencionar que suporta os bancos de dados do KeePass [/ editar]

Ehtyar
fonte
5

Eu uso um programa chamado pwsafe na minha área de trabalho. Se eu precisar de uma senha de outro lugar, faça o SSH e a uso.

Bill Weiss
fonte
2

Vamos supor que você tenha muitas senhas (diferentes) para vários serviços e equipamentos on-line que você possui. Você gostaria de armazená-los em um arquivo.

Nunca mantenha seu arquivo de senhas aberto (como não criptografado) em suas máquinas / servidores. Dito isto, não o mantenha criptografado com algum provedor de espaço na Web que também oferece suporte à criptografia - a menos que você realmente confie neles.

Para armazenamento móvel de senhas, considere os volumes ou arquivos TrueCrypt que você pode armazenar sempre que conveniente - como pendrives ou até anexos de email. O TrueCrypt é suportado em quase todas as plataformas e fornece uma segurança muito boa quando você descriptografa os arquivos para visualização. Então, você deve apenas tomar cuidado para não copiar ou deixar o arquivo em algum sistema (ou pasta de arquivos excluídos).

Ah! e leve a sério sua geração de senhas :-)

nik
fonte
2

Chaveiro. Eu tentei o 1password, mas o chaveiro faz o que eu preciso e gosto da maneira como funciona melhor.

churnd
fonte
1

Infelizmente, em uma planilha protegida por senha.

Matt Hanson
fonte
1

Eu mantenho minhas senhas em um arquivo de texto para que seja fácil olhar - não precisa de nenhum aplicativo. Eu mantenho o arquivo criptografado com uma senha longa que nunca escrevi. Acho que um dia desses eu deveria contar à minha esposa o que é ...

A versão "funcional" do arquivo é impressa em uma fonte pequena, para caber em uma folha de papel e dobrada no caderninho que eu carrego e acompanho como minha carteira. Basicamente, sigo os conselhos de Bruce Schneier e tenho boas senhas escritas em algum lugar seguro.

Nosso plano "e se um administrador for atropelado por um ônibus" é que cada um de nós tenha seu próprio arquivo de senha criptografada. Há um número pequeno de nós e nem todos somos burros o suficiente para deixar uma lista impressa por aí, então funciona bem.

Também temos um pequeno arquivo nos diretórios compartilhados que usamos, com as senhas menos críticas a que todos nos referimos.

Nós "geramos" nossas próprias senhas complexas para os usos mais críticos: geralmente eu primeiro escolho uma letra ou um número. Então o próximo cara escolhe um, depois eu (ou outro cara), e assim por diante. Terminamos com coisas como pl8u7ke, que não são muito difíceis de lembrar se você as usa quase todos os dias.

enfermaria
fonte
1

Para senhas pessoais, eu uso 1Password. Ele tem um ótimo aplicativo (gratuito) para iPhone / iPod Touch, para que eu tenha minhas senhas onde quer que eu vá.

abourg
fonte
1

Você deve conferir o Yubikey ( http://www.yubico.com/ ).

Ele gera um OTP para uso em um sistema de autenticação de dois fatores, mas para aplicativos não acessíveis pela rede, ele pode ser configurado para gerar uma senha pseudo-aleatória de 64 caracteres (para todos os efeitos e intencionalmente, não admissível), ou você pode defina a senha você mesmo.

A senha estática ou de uso único é emitida como se fosse um teclado, de forma quase universal. Eu uso o meu no Linux, MacOS e Windows.

PS edit: Estou brincando com meu próprio Yubikey, mas não tenho nenhum interesse; Eu apenas acho que é uma ferramenta de senha muito útil.

msanford
fonte
YubiKeys são grandes, mas você ainda precisa de um servidor de autenticação e um aplicativo útil que fala com o servidor de autenticação para ele fazer qualquer coisa de valor
Nathan Hartley
1

para senhas pessoais, eu uso o PassPack .

cd1
fonte
1

Eu uso o 1Password da Agile Web Solutions. Ele se integra perfeitamente a todos os navegadores comuns no Mac e, com a ajuda do Dropbox , posso acessar a mesma coleção de senhas em todas as minhas máquinas.

Se você precisar acessar seus segredos em diferentes plataformas de SO, o KeypassX é uma boa escolha.

geewiz
fonte
1

Se você possui sistemas OS X como estações de trabalho clientes, pode usar o programa Keychain Access para gerenciar senhas. Usamos um arquivo de chaveiro em um local compartilhado acessível pelos administradores do sistema e apenas o vinculamos ao nosso programa de acesso ao chaveiro.

Kamil Kisiel
fonte
1

Eu recomendaria o PasswordVault

Um grupo do nosso departamento de TI o usa e realmente gosta dos recursos que ele tem a oferecer.

As senhas são sempre criptografadas. Usuários individuais podem escolher quais senhas compartilhar. O melhor de tudo é que o software é gratuito.

Tudo o que você decidir usar, verifique se o sistema operacional está seguro e se as senhas estão criptografadas.

IOTAMAN
fonte
11
O link não deveria indicar PasswordVault?
7119 David Pashley
"Esta edição Lite gratuita suporta até 25 serviços e inclui uma avaliação de 30 dias da distribuição automática (um recurso Pro Edition)." - parece bastante limitado.
Toto
1

Eu estava usando o serviço TIPAS no twitter:

http://twitter.com/tipas/

Mas, por alguma razão, os administradores do twitter parecem ter quebrado a pesquisa.

dr.pooter
fonte
1

Para senhas pessoais, como uso vários computadores, gosto do serviço online gratuito Clipperz . A criptografia é feita no lado do cliente e armazenada remotamente. Para relacionados ao trabalho, +1 para Password Safe.

Chad Miller
fonte
+1 para Clipperz
elifiner
1

Na cabeça de várias pessoas. Os realmente importantes são escritos em pequenos pedaços de papel e depois presos em pequenos envelopes. Grampeamos os envelopes, por isso é óbvio se alguém o abriu.

koenigdmj
fonte
Além disso, assine e date a costura do envelope, para que você saiba que ninguém usou um novo envelope.
Jay Bazuzi
0

Pessoalmente, uso o eWallet , para sincronizar meu arquivo de senhas com o telefone. Custa US $ 30, mas fiquei feliz com isso ao longo dos anos e o suporte sempre foi rápido e cortês.

Em uma situação de trabalho, minha solução preferida é o Portable KeePass ou similar. O arquivo executável e a senha podem ser colocados em um disquete ou chave USB. Senha mestra gravada na parte externa da disquete / chave USB. Sele isso em um envelope, assine seu nome e data na aba e, em seguida, coloque fita adesiva transparente sobre a data e a assinatura. Atualize com um novo envelope a cada 6 meses (1).

O envelope é então colocado em um local seguro. De vez em quando, os envelopes devem ser inventariados.


(1) Opcionalmente, guarde os envelopes antigos para fins históricos - caso contrário, os antigos deverão ser destruídos.

quux
fonte
0

Eu uso o método de diceware para gerar senhas (para que sejam mais fáceis de lembrar do que o verdadeiro lixo aleatório):

http://world.std.com/~reinhold/diceware.html

Eu tento usar grupos de senhas para acessar diferentes tipos de sistemas, para limitar o número de senhas que preciso lembrar a qualquer momento e para limitar os danos, se houver comprometimento.

Então eu as troco regularmente. A frequência com que você as altera depende da rapidez com que você pode treinar a lembrar de novas senhas.

Se você precisar, pode manter os resultados dos dados trancados em algum lugar, como um cofre ou um cofre. Recriar as senhas dos rolos (apenas fazendo pesquisas na lista de palavras) é uma tarefa bastante irritante para servir como um impedimento ao esquecimento. E a pior parte é que, depois de procurar as duas primeiras palavras, você costuma se lembrar do resto.

James F
fonte
0

Eu uso apg e pwsafe no meu servidor pessoal. O apg (Gerador automatizado de senhas) cria senhas aleatórias de acordo com os critérios que você pode definir e pwsafe é apenas a versão Linux da linha de comando do Password Safe.

Eu sempre pode SSH no meu servidor para obter as minhas senhas, se necessário, embora para sites de baixo valor que não acabam usando a mesma senha em vários lugares.

Brad Beyenhof
fonte
0

Para ajudar a lembrar as senhas, acho que é útil se elas forem pronunciáveis, para que você possa pelo menos dizê-las.

Eu mantenho uma lista de algumas senhas que geralmente preciso na minha carteira. Não é 100% seguro, mas acho improvável que cause problemas importantes.

A lista principal de todas as senhas é mantida em um cofre à prova de fogo.

Marca
fonte
0

Eu só tenho uma planilha no google docs com os dados.

Cesar
fonte
5
Normalmente, não sou o único a derrubar o SaaS, mas colocar suas senhas em uma plataforma terceirizada parece algo bastante errado.
Dan Carley
0

Eu uso o Passkeeper . É simples, gratuito, leve e não requer instalação.

Carl C
fonte
0

Em um prev. vida, quando tive que "lembrar" 20 senhas diferentes para vários ambientes com regras diferentes de geração de senhas para cada uma, usei o Whisper32 . Ele fez o trabalho bem o suficiente.

J. Polfer
fonte
0

Utilizamos o CyberArk, pois precisávamos de uma solução compatível com PCI (e também temos necessidades HIPPA), além de quase todos os sistemas do cliente. Não estou empolgado com o CyberArk, mas funciona.

Ronald Pottol
fonte