Como você gerencia suas senhas?

Obviamente, como muitos de nós aqui somos pessoas do tipo administrador de sistemas, temos muitas senhas espalhadas por vários sistemas e contas. Alguns deles são de baixa prioridade, outros podem causar sérios danos a uma empresa se descobertos (você não ama o poder?).

Senhas simples e fáceis de lembrar simplesmente não são aceitáveis. A única opção são senhas complexas e difíceis de lembrar (e digitar). Então, o que você usa para acompanhar suas senhas? Você usa um programa para criptografá-lo para você (exigindo mais uma senha por vez) ou faz algo menos complicado, como um pedaço de papel mantido em sua pessoa, ou está em algum lugar entre essas opções?

O KeePass é ótimo.

Eu tenho uma maneira muito simples de lidar com senhas:

Não gosto de gerenciadores de senhas, mas gosto de criptografia, então aproveito os hashes unidirecionais (md5, sha1 etc.) e gero senhas usando-os.

Como funciona?

Primeiro, escolho uma boa senha longa que usarei em qualquer lugar. Por exemplo, qwerty (não use isso, apenas um exemplo). Agora, para todos os sites, sua senha será o md5 (ou sha1) do nome do site qwerty +. Por exemplo:

$ echo “qwerty http://www.facebook.com” | md5
9d7d9b30592fd43dd6629ef5c12c6e9a

$ echo “qwerty http://www.twitter.com” | md5
cdf0e74e19836efb20f29120884b988d

Dessa forma, minha senha para o facebook é 9d7d9b30592fd43dd6629ef5c12c6e9a e para o twitter é: cdf0e74e19836efb20f29120884b988d

Longo e seguro. Se alguém rouba minha senha do twitter, ele não tem como voltar atrás para descobrir as outras senhas. Além disso, você não precisa de nenhum software de senha armazenado (apenas os binários md5 / sha1 que vêm por padrão no Linux e são fáceis de encontrar no Windows).

O Password Safe possui criptografia sólida e um gerador de senhas aleatório. Grupos de senhas são distribuídos como arquivos criptografados com base em quem precisa de quais senhas.

Mantemos nossas senhas impressas, em um encadernador, com nossa outra documentação de rede, e em nossa sala de servidores fisicamente segura à qual apenas algumas pessoas têm acesso.

Eu não sei o que os administradores de sistemas reais pensam disso, mas acho que essa é uma boa solução para nós. Estou interessado nas outras respostas a esta pergunta.

Temos um arquivo de texto criptografado PGP. É criptografado para cada uma das chaves do administrador de sistemas. Usamos um plug - in vim para facilitar a atualização.

Em um trabalho anterior, usamos um esquema semelhante, mas usamos criptografia simétrica porque não tínhamos descoberto o plug-in (ou ainda não existia) e ninguém gastou tempo para descobrir como as chaves privadas funcionariam.

Tenho uma memória fotográfica, lembro-me das senhas dos arquivos zip criados nos anos 80 - não tão legais quanto você imagina :)

KeePassX é uma alternativa KeePass multiplataforma. Uma interface gráfica (Qt) muito agradável e funcionalidade quase idêntica.

Ehtyar.

[editar] Esqueci de mencionar que suporta os bancos de dados do KeePass [/ editar]

Eu uso um programa chamado pwsafe na minha área de trabalho. Se eu precisar de uma senha de outro lugar, faça o SSH e a uso.

Eu tentei muitos e, para uso pessoal, o meu favorito é o LastPass (gratuito, independente ou complemento do navegador).

Ainda está procurando uma solução para o trabalho e compilou uma lista de requisitos e possíveis soluções em outro post .

Vamos supor que você tenha muitas senhas (diferentes) para vários serviços e equipamentos on-line que você possui. Você gostaria de armazená-los em um arquivo.

Nunca mantenha seu arquivo de senhas aberto (como não criptografado) em suas máquinas / servidores. Dito isto, não o mantenha criptografado com algum provedor de espaço na Web que também oferece suporte à criptografia - a menos que você realmente confie neles.

Para armazenamento móvel de senhas, considere os volumes ou arquivos TrueCrypt que você pode armazenar sempre que conveniente - como pendrives ou até anexos de email. O TrueCrypt é suportado em quase todas as plataformas e fornece uma segurança muito boa quando você descriptografa os arquivos para visualização. Então, você deve apenas tomar cuidado para não copiar ou deixar o arquivo em algum sistema (ou pasta de arquivos excluídos).

Ah! e leve a sério sua geração de senhas :-)

Chaveiro. Eu tentei o 1password, mas o chaveiro faz o que eu preciso e gosto da maneira como funciona melhor.

Infelizmente, em uma planilha protegida por senha.

Eu mantenho minhas senhas em um arquivo de texto para que seja fácil olhar - não precisa de nenhum aplicativo. Eu mantenho o arquivo criptografado com uma senha longa que nunca escrevi. Acho que um dia desses eu deveria contar à minha esposa o que é ...

A versão "funcional" do arquivo é impressa em uma fonte pequena, para caber em uma folha de papel e dobrada no caderninho que eu carrego e acompanho como minha carteira. Basicamente, sigo os conselhos de Bruce Schneier e tenho boas senhas escritas em algum lugar seguro.

Nosso plano "e se um administrador for atropelado por um ônibus" é que cada um de nós tenha seu próprio arquivo de senha criptografada. Há um número pequeno de nós e nem todos somos burros o suficiente para deixar uma lista impressa por aí, então funciona bem.

Também temos um pequeno arquivo nos diretórios compartilhados que usamos, com as senhas menos críticas a que todos nos referimos.

Nós "geramos" nossas próprias senhas complexas para os usos mais críticos: geralmente eu primeiro escolho uma letra ou um número. Então o próximo cara escolhe um, depois eu (ou outro cara), e assim por diante. Terminamos com coisas como pl8u7ke, que não são muito difíceis de lembrar se você as usa quase todos os dias.

Para senhas pessoais, eu uso 1Password. Ele tem um ótimo aplicativo (gratuito) para iPhone / iPod Touch, para que eu tenha minhas senhas onde quer que eu vá.

Você deve conferir o Yubikey ( http://www.yubico.com/ ).

Ele gera um OTP para uso em um sistema de autenticação de dois fatores, mas para aplicativos não acessíveis pela rede, ele pode ser configurado para gerar uma senha pseudo-aleatória de 64 caracteres (para todos os efeitos e intencionalmente, não admissível), ou você pode defina a senha você mesmo.

A senha estática ou de uso único é emitida como se fosse um teclado, de forma quase universal. Eu uso o meu no Linux, MacOS e Windows.

PS edit: Estou brincando com meu próprio Yubikey, mas não tenho nenhum interesse; Eu apenas acho que é uma ferramenta de senha muito útil.

para senhas pessoais, eu uso o PassPack .

Eu uso o 1Password da Agile Web Solutions. Ele se integra perfeitamente a todos os navegadores comuns no Mac e, com a ajuda do Dropbox , posso acessar a mesma coleção de senhas em todas as minhas máquinas.

Se você precisar acessar seus segredos em diferentes plataformas de SO, o KeypassX é uma boa escolha.

Se você possui sistemas OS X como estações de trabalho clientes, pode usar o programa Keychain Access para gerenciar senhas. Usamos um arquivo de chaveiro em um local compartilhado acessível pelos administradores do sistema e apenas o vinculamos ao nosso programa de acesso ao chaveiro.

Eu recomendaria o PasswordVault

Um grupo do nosso departamento de TI o usa e realmente gosta dos recursos que ele tem a oferecer.

As senhas são sempre criptografadas. Usuários individuais podem escolher quais senhas compartilhar. O melhor de tudo é que o software é gratuito.

Tudo o que você decidir usar, verifique se o sistema operacional está seguro e se as senhas estão criptografadas.

Eu estava usando o serviço TIPAS no twitter:

http://twitter.com/tipas/

Mas, por alguma razão, os administradores do twitter parecem ter quebrado a pesquisa.

Para senhas pessoais, como uso vários computadores, gosto do serviço online gratuito Clipperz . A criptografia é feita no lado do cliente e armazenada remotamente. Para relacionados ao trabalho, +1 para Password Safe.

Na cabeça de várias pessoas. Os realmente importantes são escritos em pequenos pedaços de papel e depois presos em pequenos envelopes. Grampeamos os envelopes, por isso é óbvio se alguém o abriu.

Pessoalmente, uso o eWallet , para sincronizar meu arquivo de senhas com o telefone. Custa US $ 30, mas fiquei feliz com isso ao longo dos anos e o suporte sempre foi rápido e cortês.

Em uma situação de trabalho, minha solução preferida é o Portable KeePass ou similar. O arquivo executável e a senha podem ser colocados em um disquete ou chave USB. Senha mestra gravada na parte externa da disquete / chave USB. Sele isso em um envelope, assine seu nome e data na aba e, em seguida, coloque fita adesiva transparente sobre a data e a assinatura. Atualize com um novo envelope a cada 6 meses (1).

O envelope é então colocado em um local seguro. De vez em quando, os envelopes devem ser inventariados.

(1) Opcionalmente, guarde os envelopes antigos para fins históricos - caso contrário, os antigos deverão ser destruídos.

Eu uso o método de diceware para gerar senhas (para que sejam mais fáceis de lembrar do que o verdadeiro lixo aleatório):

http://world.std.com/~reinhold/diceware.html

Eu tento usar grupos de senhas para acessar diferentes tipos de sistemas, para limitar o número de senhas que preciso lembrar a qualquer momento e para limitar os danos, se houver comprometimento.

Então eu as troco regularmente. A frequência com que você as altera depende da rapidez com que você pode treinar a lembrar de novas senhas.

Se você precisar, pode manter os resultados dos dados trancados em algum lugar, como um cofre ou um cofre. Recriar as senhas dos rolos (apenas fazendo pesquisas na lista de palavras) é uma tarefa bastante irritante para servir como um impedimento ao esquecimento. E a pior parte é que, depois de procurar as duas primeiras palavras, você costuma se lembrar do resto.

Eu uso apg e pwsafe no meu servidor pessoal. O apg (Gerador automatizado de senhas) cria senhas aleatórias de acordo com os critérios que você pode definir e pwsafe é apenas a versão Linux da linha de comando do Password Safe.

Eu sempre pode SSH no meu servidor para obter as minhas senhas, se necessário, embora para sites de baixo valor que não acabam usando a mesma senha em vários lugares.

Para ajudar a lembrar as senhas, acho que é útil se elas forem pronunciáveis, para que você possa pelo menos dizê-las.

Eu mantenho uma lista de algumas senhas que geralmente preciso na minha carteira. Não é 100% seguro, mas acho improvável que cause problemas importantes.

A lista principal de todas as senhas é mantida em um cofre à prova de fogo.

Eu só tenho uma planilha no google docs com os dados.

Eu uso o Passkeeper . É simples, gratuito, leve e não requer instalação.

Em um prev. vida, quando tive que "lembrar" 20 senhas diferentes para vários ambientes com regras diferentes de geração de senhas para cada uma, usei o Whisper32 . Ele fez o trabalho bem o suficiente.

Utilizamos o CyberArk, pois precisávamos de uma solução compatível com PCI (e também temos necessidades HIPPA), além de quase todos os sistemas do cliente. Não estou empolgado com o CyberArk, mas funciona.