Re: [-Fx-] 誰比較安全 LastPass、Xmarks、Firefox …

[cg6445 (HenryBug)]

※ 引述《aqua5461 (aqua)》之銘言：
: 請問這幾款可線上同步的密碼管理軟體
: 哪一款的安全性相對比較高
: 不會因電腦中毒或伺服器被駭客入侵
: 導致密碼外流被破解?
: 謝謝

原則上來說
只要是因為病毒等等導致密碼外流的話
不管主控密碼設的多安全都是白費
至於儲存在本地及雲端是否比較安全
以及雲端不同廠商的設計上的差異

先從後者說起
在設計上雲端的操作是大同小異的
受限於一些先天條件
他們要認證目前使用者的方法不外乎是使用密碼、頂多搭配安全問題等等
還有加上記錄使用者IP位置等等((這個也只在事發"後"方便抓人用的

密碼管理軟體
雖然說應該要有比較強大的反入侵功能等等
不過我們必須清楚
防禦設的越多，自然越不容易存取
而不容易存取意味著方便性受限

瀏覽器的密碼同步套件
設定上就是希望以簡便的同步密碼到各式電腦裝置上面
而且他今天同步的式密碼、不是書籤這種一般的資訊
理論上會被使用者設定同步的電腦，應該都是使用者自己才再使用的
平時就不會有其他人用，而且使用者本身也會有一定控管
基於此前提下，我想應該都只是會設定一般的防禦
方便瀏覽器及使用者的密碼存取使用
不然想想妳美登入一個網站輸入密碼時
都還要輸入安全問題等等的，頗是麻煩


至於雲端及本地安全性
其實各有優缺點
對於本地而言
優點就是別人無法透過網路攻擊((或比較難
只要你確保電腦沒有中毒或是有別人使用
就可以保障安全，但相對的
就等於每台電腦都要重新儲存一次
或是把密碼放在隨身碟中西帶
而萬一隨身碟掉了之後的問題等等...

另一個好處是
本地端的因為受限較少
自然可以加強安全性
以KeePass來說
除了密碼以外還可以指定特殊檔案當作是key file
而設定經過一定時間閒置後自動鎖定等等


雲端的話
除非有辦法做到FB或是Google那樣
登入時便認裝置、輸入手機驗證碼、裝置認證機制、
二重甚至是多重安全機制等等
不然其實光靠一組帳號密碼
我只要一盜取成功，管他防愈多嚴密......
蛋是這種流覽器的設定成像FB一樣的手機認證
你每次登入網站還要先等手機收到任鄭簡訊、輸入後才能取得密碼
萬一不小心式在地下室還收不到簡訊.....

所以各有優缺點
與其這樣子問大家做比較
不如選擇一種適合自己的方式、介面、還有檢查評價等等比較實際
反正會被盜就是會被盜
而且方便性與安全性之間是互補的
所以要如何拿捏就看自己囉!

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 111.250.40.188
推 aqua5461:感謝cg6445大熱心解說。就雲端(線上、同步)的部分有點疑
→ aqua5461:問，之前lastpass疑似被駭客入侵，好像就有說到雖然被盜
→ aqua5461:，但因為有加密，所以不用太擔心。似乎儲存雲端那些資料
→ aqua5461:(密碼)必須要使用者連線時輸入主控密碼，才會解密及可以
→ aqua5461:使用，是不是主控密碼設的好(多位數、英數字符號..)，只
→ aqua5461:要主控密碼常更改，就不太會有問題?就算資料(加密的密碼)
→ aqua5461:外流，要解開也不是那麼容易。
推 linjrming:基本上是這樣，一般來說存在伺服器端會用密碼保護的資料
→ linjrming:都是用密碼加上一些資料做Hashing的，要反向作業不是不
→ linjrming:可能，但是效益實在太差應該沒有人會去做
→ bestpika:現在GPU輔助運算這麼強大，就算用暴力還是有機會破出來的