Parhaat ohjelmat salasanojen säilytykseen

[techlad]

bitwarden on kyllä hyvä ja mobiilisovelluksesta plussaa!

 

[Cryptic5627]

Miksi kannattaa tehdä erillinen sähköposti joka ei omalla nimellä? Itsellä harkinnassa Bitwarden.

Ei voida yhdistää sinuun eli lisää tietoturvaa. Joku secure mail free version sopii tähän vallan hyvä. Tutanota tai Protonmail esim. Sinne mailiin ei tule muuta kuin tiedot kun kirjaudut uudella laitteella eli ei ole muuta merkitystä kuin lisätä tietoturvaa kun tuollainen secure sähköposti (jota et käytä missään muualla huom), ei voida missään tietovuodossa yhdistää sitä sinuun.

Mutta tuota tärkeämpi asia on toki että Master salasana on huippuluokkaa ja 2FA ita käytössä muutama. Ei yhden authenticatorin appin varassa ainakaan. Mutta miksei tietoturvan maksimointia myös uniikilla sähköpostilla? Kirjautumisen sähköpostilla on joka tapauksessa kuitenkin mahdotonta palauttaa Master salasanaa missään tilanteessa. Jos sen unohtaa niin palautus ei onnistu mitenkään.

 

[Tsih]

Onko joku jo ottanut käyttöön Proton Passia jos on niin kokemuksia.
Proton Pass

Oon nyt parisen viikkoa käytellyt, Proton Ultimate kun löytyi jo valmiiksi. Bitwardenista siirto onnistui mutkitta, ja ei ole vielä mitään ongelmia tullut vastan, rullaa selaimessa ja puhelimessa mukavasti. Kiva ominaisuus tuo random sähköpostin käyttäminen myös, ei ole kuin parisen klikkausta lisää per tunnuksien luominen.

 

[FireExit]

Onko muilla Bitwardenin Firefox -plugarissa lakannut PIN-koodi toimimasta? Itsellä se ei avaa tietokantaa PIN-koodilla enään. Kun OK-painiketta painaa PIN-koodin syöttämisen jälkeen mitään ei tapahdu. Kokeillut käynnistää FF-, sekä kone uudelleen, sekä asentaa Bitwarden-plugari uudestaan. Plugarin uudelleen asennuksen jälkeen en pysty edes asettamaan PIN-koodia enään, sallituksi avausmetodiksi kun se OK-painike ei toimi...

Redditissä näyttää olevan ketju aiheesta: Reddit - Dive into anything

 

[Kautium]

Onko muilla Bitwardenin Firefox -plugarissa lakannut PIN-koodi toimimasta? Itsellä se ei avaa tietokantaa PIN-koodilla enään. Kun OK-painiketta painaa PIN-koodin syöttämisen jälkeen mitään ei tapahdu. Kokeillut käynnistää FF-, sekä kone uudelleen, sekä asentaa Bitwarden-plugari uudestaan. Plugarin uudelleen asennuksen jälkeen en pysty edes asettamaan PIN-koodia enään, sallituksi avausmetodiksi kun se OK-painike ei toimi...

Redditissä näyttää olevan ketju aiheesta: Reddit - Dive into anything

Tuossa Reddit-ketjussa sanotaan, että vika olisi sen BW-plugarin versiossa 2023.8.3, mutta minulla on juuri se asennettuna uusimmassa Firefoxissa ja toimii PIN-koodin kanssa ongelmitta.

 

[FireExit]

Tuossa Reddit-ketjussa sanotaan, että vika olisi sen BW-plugarin versiossa 2023.8.3, mutta minulla on juuri se asennettuna uusimmassa Firefoxissa ja toimii PIN-koodin kanssa ongelmitta.

Kokeilin nyt vielä Windowssin puolella ja sama homma, ei toimi (Firefox 117.0.1 ja Bitwarden 2023.8.3)...

 

[Kautium]

Kokeilin nyt vielä Windowssin puolella ja sama homma, ei toimi (Firefox 117.0.1 ja Bitwarden 2023.8.3)...

Omituista. Minulla tosiaan toimii ja versiot ovat nuo samat.

 

[Paapaa]

Näköjään on myös kehitystiimin tiedossa, joten luultavasti/toivottavasti tuo saadaan nopeasti korjattua. Vaikkei itseäni koskekaan (avaan sormenjäljellä vaultin).

 

[FireExit]

Näköjään on myös kehitystiimin tiedossa, joten luultavasti/toivottavasti tuo saadaan nopeasti korjattua. Vaikkei itseäni koskekaan (avaan sormenjäljellä vaultin).

Joo pitää seurailla tilannetta rauhassa ja odotella korjausta. Ja tuolla Redditin ketjussa oli mainintaa, että vanhempi versio toimisi kunnolla, niin vaihtaa siihen, jos alkaa ärsyttämään tarpeeksi.

 

[escalibur]

Tällaiseen törmäsin: How to migrate your Bitwarden vaults from US to EU storage

Onko kukaan tehnyt vaultin siirtoa US -> EU? Vaultin kun exporttaa niin siinä taitaa hävitä salasanahistoriat?


4. Poista accountti vanhalta serveriltä?

Kävin siirtämässä oman vaultin EU:hun.

Kiinnostuneille tein pikaopasvideon kanavallani tämän asian hoitamiseen.

 

[Lista]

Kävin siirtämässä oman vaultin EU:hun.

Kiinnostuneille tein pikaopasvideon kanavallani tämän asian hoitamiseen.

Mitä kaikkea hyötyjä tuolla EU verrattuna USA että kannattaako nähdä vaivaa?

 

[Paapaa]

Kävin siirtämässä oman vaultin EU:hun.

Kiinnostuneille tein pikaopasvideon kanavallani tämän asian hoitamiseen.

Vähintään kummallista, ettei Bitwarden ole tehnyt itse tuolle helppoa automaattista prosessia.

 

[Paapaa]

Mitä kaikkea hyötyjä tuolla EU verrattuna USA että kannattaako nähdä vaivaa?

Eipä sillä juuri muita hyötyjä saa kuin jos esim. regulaation takia on pakotettu säilyttämään datansa EU:ssa. Ja varmaan ainakin teoriassa EU-serverit ovat lähempänä ja latenssi pienempi. En osaa sanoa, onko erolla mitään käytännön merkitystä. Mutta muutoin palvelu toimii ihan identtisesti.

 

[Kautium]

Vähintään kummallista, ettei Bitwarden ole tehnyt itse tuolle helppoa automaattista prosessia.

Kyllä ja kummallista myös, että pitää käyttää eri osoitetta sen mukaan missä datat sijaitsevat. Tuon olisi voinut hoitaa niin, että osoite on aina sama ja vain asiakkaan datojen sijainti vaihtuu. Nyt kyse on ilmeisesti kahdesta täysin erillisestä järjestelmästä ja siksi niihin pitää olla myös eri tunnukset. Ei kyllä kiinnosta alkaa luomaan uusia tilejä koko perheelle ja säätämään niille kaikkia asetuksia ja salasanalistojen jakoja jne.

 

[escalibur]

Vähintään kummallista, ettei Bitwarden ole tehnyt itse tuolle helppoa automaattista prosessia.

Syy on luultavasti melko pienessä kysynnässä (vähän maksajia?) vrt. Bitwardenin yleiseen suosioon, sekä siihen että salaus on tehty jo valitun konesalin mukaan. Vaultin sisältö on siis purettava ja salattava uudelleen. Tämän vuoksi Bitwarden ei itse pysty lennosta siirtelemään noita miten sattuu. Toki käyttäjän kannalta "siirrä salasanat"-toiminto olisi huomattavasti helpompi ja kätevämpi ratkaisu. Toteutus vaatisi melkoista työtä ja se taas maksaa rahaa sisältäen tietoturvan, sen auditoinnin jne jne.

 

[TenderBeef]

Kiinnostuneille tein pikaopasvideon kanavallani tämän asian hoitamiseen.

Hyvää settiä. Tosin olisit voinut lisätä, että tietyt asiat vaultista EI tule exporttiin mukaan.

Vault exports will not include file attachments, items in the trash, password history, or Sends.

Tosin, juuri julkaistut "web" ja "browser" 2023.9.0 versiot sisältävät tämän muutoksen: "Added password history to Bitwarden export".

Ehkä sen takia kun tuossa n. kuukausi sitten tivasin bitwardenin supportilta, että miksi bitwarden ei näe tärkeäksi liitetiedostojen/salasanahistorian/roskiksen/Sendsin exporttaamista, varsinkin kun sitä varmasti käytetään varmuuskopiointiin. Vastaus supportilta oli lyhykäisyydessään: "The Bitwarden export has been designed like that." Johon muistaakseni (olen näköjään poistanut sen emailin) vastasin tyyliin, "niin, miksi sitä ei voi parantaa?"... ilmeisesti ottivat onkeen ainakin pw-historian osalta. Mielestäni roskiksenkin exporttaus olisi järkevää, puhumattakaan liitetiedostoista (tämähän on kaiken lisäksi vielä maksullinen ominaisuus, eikä niitä saa silti exportattua).

Supportti kirjoitti myös näin: "Vault data is stored in Ireland and the Netherlands on Microsoft Azure servers.", noita maita en ole nähnyt mainittavan bitwardenin online help centerissä, jos jotakuta kiinnostaa.

 

[escalibur]

Hyvää settiä. Tosin olisit voinut lisätä, että tietyt asiat vaultista EI tule exporttiin mukaan.



Tosin, juuri julkaistut "web" ja "browser" 2023.9.0 versiot sisältävät tämän muutoksen: "Added password history to Bitwarden export".

Ehkä sen takia kun tuossa n. kuukausi sitten tivasin bitwardenin supportilta, että miksi bitwarden ei näe tärkeäksi liitetiedostojen/salasanahistorian/roskiksen/Sendsin exporttaamista, varsinkin kun sitä varmasti käytetään varmuuskopiointiin. Vastaus supportilta oli lyhykäisyydessään: "The Bitwarden export has been designed like that." Johon muistaakseni (olen näköjään poistanut sen emailin) vastasin tyyliin, "niin, miksi sitä ei voi parantaa?"... ilmeisesti ottivat onkeen ainakin pw-historian osalta. Mielestäni roskiksenkin exporttaus olisi järkevää, puhumattakaan liitetiedostoista (tämähän on kaiken lisäksi vielä maksullinen ominaisuus, eikä niitä saa silti exportattua).

Supportti kirjoitti myös näin: "Vault data is stored in Ireland and the Netherlands on Microsoft Azure servers.", noita maita en ole nähnyt mainittavan bitwardenin online help centerissä, jos jotakuta kiinnostaa.

Kiitos! Kävin lisäämässä tuon tiedon linkin kera.

 

[Daatta]

Kokeilin nyt vielä Windowssin puolella ja sama homma, ei toimi (Firefox 117.0.1 ja Bitwarden 2023.8.3)...

Samat versiot käytössä itsellä, ongelmana on se ettei Firefox-plugari muista asetuksia ollenkaan. Unlock with PIN tai Biometrics ei pysy päällä, aina pitää mennä Masterilla sisään.

Otin eilen Bitwardenin käyttöön, Tunnuksia kaapattu -keskustelun pohjalta. Aikaisemmin käytössä oli Keepass synkattuna Google-driven kautta + selaimien omat salasana-managerit, kun laiskana ei jaksanut aina Keepassista copy-pastetella. Firefoxin salasana-managerin tyhjensin jo eilen ja tässä nyt harjoittelen selviytymistä ilman sitä. Bitwardenin tietokanta on aika pulskana kun importtasin sinne Keepassin lisäksi Chromen ja Firefoxin salasanat, parhaimmat web-saitit taitaa olla 20x listattuna... Manuaalisesti olen noita siivoillut, pitäisi kuulemma exportoida tietokanta ja poistaa duplikaatit Excelissä tai scriptillä. Sitten tietokannan wipe ja import takaisin. Jotenkin oletin, että Bitwardenin web-liittymässä olisi duplicate finder -ominaisuus sisäänrakennettuna. Importoiduista salasanoista hävisi last used ja created -tiedot, vähän hankalaa kun joutuu tunnuksen ja salasanan perusteella katsomaan että onko tämä item tarpeellinen ollenkaan. Mutta kertarykäisy noiden kuosiin laittaminen on ja sittenhän ne on, kunnossa.

Samalla tuli kiristettyä tietoturvaa muiltakin osin, laitoin 2FA päälle niihin sovelluksiin mistä vielä puuttui, olihan siellä mm. Paypal... Yubikeyta harjoittelin myös, selvisi mm. että halpa Security Key NFS ei ihan kaikkia hienouksia tue. Vähän uutena tietona tuli, että Autentikaattoreita voi ja pitääkin olla useampia käytössä. Bitwardenissa on oma autentikaattori (TOPT) mikä vaikutti ihan toimivalta.

 

[TimoToThe]

Onko joku jo ottanut käyttöön Proton Passia jos on niin kokemuksia.
Proton Pass

Ollut itsellä nyt kuukauden päivät ollut käytössä, ei huonoa sanottavaa tähän mennessä. Tosin maksan Protonista muutenkin valmiiksi sähköpostin/driven takia.

 

[Humanoid]

Ollut itsellä nyt kuukauden päivät ollut käytössä, ei huonoa sanottavaa tähän mennessä. Tosin maksan Protonista muutenkin valmiiksi sähköpostin/driven takia.

Joko tuon Proton Passin selainlaajennuksesta voi sammuttaa telemetriikan sen asetuksista? Ensimmäisen julkaisun yhteydessä selainlaajennus lähetti telemetriikkaa automaattisesti Protonille, ja asetuksen pystyi sammuttamaan vain vastaanottopäässä, eli Protonin palvelimilla.

 

[Kautium]

Samat versiot käytössä itsellä, ongelmana on se ettei Firefox-plugari muista asetuksia ollenkaan. Unlock with PIN tai Biometrics ei pysy päällä, aina pitää mennä Masterilla sisään.

Tämä on kyllä jännä. Minulla tuo toimii ihan ok.

Onhan sieltä asetuksista vault timeout halutussa asetuksessa?

Otin eilen Bitwardenin käyttöön, Tunnuksia kaapattu -keskustelun pohjalta. Aikaisemmin käytössä oli Keepass synkattuna Google-driven kautta + selaimien omat salasana-managerit, kun laiskana ei jaksanut aina Keepassista copy-pastetella. Firefoxin salasana-managerin tyhjensin jo eilen ja tässä nyt harjoittelen selviytymistä ilman sitä. Bitwardenin tietokanta on aika pulskana kun importtasin sinne Keepassin lisäksi Chromen ja Firefoxin salasanat, parhaimmat web-saitit taitaa olla 20x listattuna... Manuaalisesti olen noita siivoillut, pitäisi kuulemma exportoida tietokanta ja poistaa duplikaatit Excelissä tai scriptillä. Sitten tietokannan wipe ja import takaisin. Jotenkin oletin, että Bitwardenin web-liittymässä olisi duplicate finder -ominaisuus sisäänrakennettuna. Importoiduista salasanoista hävisi last used ja created -tiedot, vähän hankalaa kun joutuu tunnuksen ja salasanan perusteella katsomaan että onko tämä item tarpeellinen ollenkaan. Mutta kertarykäisy noiden kuosiin laittaminen on ja sittenhän ne on, kunnossa.

Samalla tuli kiristettyä tietoturvaa muiltakin osin, laitoin 2FA päälle niihin sovelluksiin mistä vielä puuttui, olihan siellä mm. Paypal... Yubikeyta harjoittelin myös, selvisi mm. että halpa Security Key NFS ei ihan kaikkia hienouksia tue. Vähän uutena tietona tuli, että Autentikaattoreita voi ja pitääkin olla useampia käytössä. Bitwardenissa on oma autentikaattori (TOPT) mikä vaikutti ihan toimivalta.

Niitä logineita kannattaa tosiaan muokata Bitwardenin selainliittymän kautta, kuten olitkin jo tehnyt. Ei se täydellinen ole, eikä siellä mitään duplicate findereitä tosiaan ole, mutta säästyy monta harmaata hiusta siihen verrattuna, että yrittäisi kliksutella niitä sen selainplugarin kautta. Se ottaa oman aikansa, mutta sitten kun se on tehty, niin jatkossa on helpompaa. Se on vähän niinkuin suursiivous samalla.

Bitwarden Web Vault

vault.bitwarden.com

Autentikaattoreita kannattaa tosiaan olla vähintään kaksi ja aina toinen jossakin tallessa, kun muuten on ihan kusessa, jos ainoa laite on puhelin ja se hajoaa tai varastetaan. Siinäpä sitten yrität päästä yhtään mihinkään, kun kaikki on lukossa sen yhden laitteen takana, jota ei enää ole. Tuo on kaksivaiheisen tunnistuksen suurin ongelmakohta, sen lisäksi että niiden koodien jatkuva näpyttely on yksinkertaisesti ärsyttävää ja kömpelöä.

Bitwarden on loistava sovellus, mutta voisivat vähitellen keskittyä käytettävyyden parantamiseen uusia tunnuksia lisättäessä. Nyt se on uusille käyttäjille vähän sellainen yritys ja erehdys -menetelmällä hoidettava setti. Ja sitten jos haluaa saman kirjautumisen toimivan Android-sovelluksessa ja verkkosivulla, niin siihenkään ei sovellus käytännössä mitenkään ohjaa, vaan pitää käydä manuaalista tavaamassa, että Android-sovelluksille pitää ymmärtää määritellä URI-kohtaan "androidapp://" ja siihen perään Play-Storesta sovelluksen osoitteen kautta kaivettava id.

 

[Daatta]

Onhan sieltä asetuksista vault timeout halutussa asetuksessa?

Joo, ovat tuossa asennossa by default. Mutta Unlock with PIN asetus ei "pysy". Tarkemmin sanottuna, myös Desktop-sovellus toimii samalla tavalla, sisään pääsee ainoastaan Master passwordilla. Web-käyttöliittymässä on määritelty Two-step logineissa Authenticator app ja FIDO2 WebAuthn, selainlaajennuksen liittyviä asetuksia en löytänyt. Täytyy testata kotona vielä uudestaan, ettei kyseessä ole mikään työkoneen ominaisuus.

Edit: Laajennetun testauksen jälkeen selvisi, että PIN-kirjautuminen tulee tosiaan lock:n jälkeen. Minulla ei vaan ollut lukitus päällä, joten tietokanta ei koskaan mennyt lukkoon. Nyt kun manuaalisesti pisti lock now niin PIN-asetus pysyi ja pääsin avaamaan lukituksen sillä. Ensimmäisellä käynnistyksellä kysytään ilmeisesti aina master-keyta, eikä sitä pysty muuttamaan/ohittamaan. Eli kaipa tämä toimii niinkuin on tarkoituskin.

 

[Skk3]

Te keillä YubiKey käytössä BitWardenin 2FA tunnistautumisessa; riittääkö tuo halvin Security Key vai pitäskö ottaa tuo hitusen kalliimpi YubiKey 5? Juu, kalliimpi = enemmän turvaominaisuuksia, mutta pitäiskö asiasta ymmärtää enemmän kuin myyntitekstit ja pintaa raapaisevat artikkelit antavat noista ymmärtää ja päätyä tiettyyn? 8)

 

[Paapaa]

Te keillä YubiKey käytössä BitWardenin 2FA tunnistautumisessa; riittääkö tuo halvin Security Key vai pitäskö ottaa tuo hitusen kalliimpi YubiKey 5? Juu, kalliimpi = enemmän turvaominaisuuksia, mutta pitäiskö asiasta ymmärtää enemmän kuin myyntitekstit ja pintaa raapaisevat artikkelit antavat noista ymmärtää ja päätyä tiettyyn? 8)

Siinä halvassa on mukana ne parhaat ja musta ainoat relevantit protokollat. Itselläni on sekä halpista että 5-sarjalaista, ja jatkossa ostaisin vain halpista. En halua käyttää Yubikeytä TOTP-koodien säilömiseen, vaan FIDO/FIDO2/Webauthn/U2F ovat ainoat oikeasti käyttökelpoiset standardit. Eli ehdottomasti riittää halpis suurimpaan osaan käyttökohteista.

 

[TenderBeef]

Autentikaattoreita kannattaa tosiaan olla vähintään kaksi ja aina toinen jossakin tallessa, kun muuten on ihan kusessa, jos ainoa laite on puhelin ja se hajoaa tai varastetaan. Siinäpä sitten yrität päästä yhtään mihinkään, kun kaikki on lukossa sen yhden laitteen takana, jota ei enää ole. Tuo on kaksivaiheisen tunnistuksen suurin ongelmakohta,

Juuri "pitfalls of locking yourself out" takia en ole vielä 2/MFA:ta ottanut käyttöön mutta pitäisi kyllä kait (github pakottaa parin viikon päästä), mutta eikös tuota kuvaamaasi tilannetta varten suositella ottamaan talteen (printtaamaan "kassakaappiin") se joku koodi/t?

 

[Xiyng]

Juuri "pitfalls of locking yourself out" takia en ole vielä 2/MFA:ta ottanut käyttöön mutta pitäisi kyllä kait (github pakottaa parin viikon päästä), mutta eikös tuota kuvaamaasi tilannetta varten suositella ottamaan talteen (printtaamaan "kassakaappiin") se joku koodi/t?

Sama täällä. Sen verran hankalaksi oletettavasti menee, jos lukitsee itsensä ulos, että ainakin itse tahtoisin varautua erilaisiin uhkakuviin: tulipalo, varkaus...

 

[FireExit]

Itellä noi "rescue/backup-koodit" on erillisessä Keepass-tietokannssa, jonne pääsy ei riipu normikäytössä olevasta Bitwardenista. Harkinnassa on et tekisin toisen tilin joko suoraan Bitwardeniin, mut toiseen datakeskukseen, tai jopa kokonaan toiseen palveluun.

Ongelmana on et hyödyt vs. haitat menee omalla kohdalla aikalailla tasan jokaisessa yhdistelmässä, niin en oikein tiedä mitä tehdä...

 

[TenderBeef]

Käyttääkö kukaan tällaista lisäturvaa?

Peppering Your Passwords In Your Password Manager: How-To Guide

If you don’t trust password managers or fear “putting all your eggs in one basket” then the peppering method is for you. Note: Peppering your passwords also have been called salting, secret salt…

passwordbits.com

What Passwords Should You Pepper?
Please do -not- pepper all your passwords!

Only pepper the most important passwords like the ones for your email or banking accounts.

Peppering all accounts will make your life harder then it needs to be.

What If My Peppered Password Ends Up In A Breach?
I only recommend you pepper the important passwords, this is your email and banking accounts. Those accounts becoming breached are very slim. Trust me, Google and most banks are doing hashing and protecting you better than the forum you only visited twice.

But there is still the possiblity.

The good news is that it doesn’t matter much as your passwords are still unique and randomly generated by the password manager.

Tuo vaikuttaa ihan järkevältä lisäturvalta. Laittaa vain tunnuksen nimen perään jotain josta huomaa, että tähän täytyy lisätä pippuri.. esim. (!) tai (PIP). Vaultin salasana ja pippuri vain talteen (omaan päähän) ja paperille johonkin turvalliseen paikkaan, ei sinne vaulttiin.

 

[Paapaa]

Tuo vaikuttaa ihan järkevältä lisäturvalta.

Itse pidän tuota tarpeettomana, ja turhana lisävaivana kirjautumisessa. Pidän todennäköisyyttä vaultin murtautumiseen todella olemattomana. Eli kunhan pääsalasana on tarpeeksi hyvä ja toisaalta käytössä argon2, niin en itse jaksa pippurointiä harrastaa.

 

[TenderBeef]

Itse pidän tuota tarpeettomana, ja turhana lisävaivana kirjautumisessa.

Jos sitä pippuroi vain tärkeimmät, eli lähinnä emailin/t, niin ei se käytettävyyttä paljon haittaa, varsinkin jos ei "ikinä" tarvi kirjautua emailiin (käyttää email-softaa). Jos vaultin sisältöön joku pääsee niin ainakin nuo tärkeimmät jää vielä turvatuksi. Itse varmaan laitan pariin tunnariin tuon käyttöön... vaikka on pitkä salasanalause + argon2 + custom argon asetukset (ruuvattu niin tiukaksi että vaultin avaus kestää n. 3 sekuntia) bitwardenissa.

 

[TenderBeef]

Hei Bitwardenin käyttäjät, tai muutkin jolla online vaultti, miten olette hoitaneet vaultin backupin, vai luotatteko vain, että palvelu ei ikinä kadota vaulttianne?

Itse otan Bitwardenista kryptatun JSON exportin, sellaisen joka ei ole tiliin naitettu (eli pystyy importtaamaan myös ihan uuteenkin Bitwarden-tiliin), samalla salasanalla kun itse vaultti on suojattu. EDIT: tällaisen exportin saa käsittääkseni vain kirjautumalla selaimella Bitwardenin vaulttiin. Pidän omalla läppärillä (kryptatty levyosio) niitä (kaikki export-versiot) ja ne myös menee automaattisesti Mega-palveluun (tässä tosin on se ongelma, että pitkä generoitu salasana Megaan on Bitwardenissa.. eli tällä hetkellä ei ihan optimaalinen/järkevä ratkaisu, pitää funtsia tämä uusiksi).

 

[TenderBeef]

Kovasti menee näköjään yksinpuheluksi..

Vielä yhtä asiaa mietin, oletteko esim. pääemailinne (tai muutkin) salasanat hoitaneet salasanamanagerin generoimalla salasanalla, vai käytättekö jotain muistettavaa salasanaa (esim lausetta)? Kaiken varalta jos iso paska osuu tuulettimeen salasanavaultin kanssa?

Mulla on pääemailissa salasanalause mutta en ole oikein ollut siihen tyytyväinen, että se olisi tarpeeksi hyvä ja tässä nyt mietin, että pistäisikö vaan senkin generoidulla pitkällä salasanalla eikä yrittäisi keksiä uutta lausetta (ja treenata muistamista). Kun kerran kaikki oikeastaan on jo bitwardenissa generoiduilla salasanoilla, paitsi kännyn ja läppärin kryptaus & bitwarden itsessään, niin sen bitwardenin vaultin (tai sen backupin) hukkaaminen EI ole sallittava skenaario. Tosin emailtilien hukkaus ei sinänsä ole katastrofi koska en niissä mitään tietoja säilytä (tallennettavat tiedot laitetaan muualle) ja tileillä on muutamia kymmeniä viestejä kerrallaan (jotain keskeneräisiä kommunikointeja). Kirjoitan tätä siksi koska nyt aivot jotenkin vähän sulaneet kun on miettinyt monta päivää salasanoja/2FA:ta/varmuuskopiointia/kaikenlaisia skenaarioita joihin pitäisi varautua ja miten, jne., helkkarin monimutkaista näiden salasanojen ja muiden kanssa ettei vaan astu mihinkään sudenkuoppaan ja kuinka taiteilla käytettävyyden ja turvallisuuden kanssa.

 

[Taneli-]

Nyt kun tuli tietoa sekä ilmoitusta Dashlanelta:
"
Beginning November 7th, 2023, Free subscribers can store up to 25 passwords, rather than unlimited passwords, to access from their device of choice. You'll still have access to key benefits like secure sharing and new features like passkey management.
"
+
"
You currently have 229 passwords stored in Dashlane, which means you’re at or over the upcoming limit of 25 passwords. But don’t worry—you won’t lose any data
"

Eli enempää ei voi tallentaa tulevaisuudessa.. ..tähän mennessä olen ollut oikein tyytyväinen ja hinta (tuli jonkun huble paketin mukana 12kk maksullista ja siitä eteenpäin ilmainen) oikein edullinen.

Kysymys siis kuuluukin, mikä olisi mieluusti ilmainen salasana manageri, riittää että se toimisi yhdessä kohteessa (PC, windows 11 ympäristö) ja kohtuullisen helppokäyttöinen ja siihen saisi ympättyä Dashlanen salasanat kohtuullisen helposti.

Toki bonusta myös jos se olisi tietoturvallinen sekä hieman suurempi & tunnetumpi yrityksenä (ettei ole heti menossa nurin, myymässä itseään Venäjälle tai muuttamassa itseään maksulliseksi). Toki juu, notepad ja salaus tai esim. muistivihko ja lyijykynä ovat wanhoja hyväksi koettuja vaihtoehtoja mutta jos olisi "hieman" helppokäyttöisempi (nopeampi) vaihtoehto olemassa...

 

[Humanoid]

Nyt kun tuli tietoa sekä ilmoitusta Dashlanelta:
"
Beginning November 7th, 2023, Free subscribers can store up to 25 passwords, rather than unlimited passwords, to access from their device of choice. You'll still have access to key benefits like secure sharing and new features like passkey management.
"
+
"
You currently have 229 passwords stored in Dashlane, which means you’re at or over the upcoming limit of 25 passwords. But don’t worry—you won’t lose any data
"

Eli enempää ei voi tallentaa tulevaisuudessa.. ..tähän mennessä olen ollut oikein tyytyväinen ja hinta (tuli jonkun huble paketin mukana 12kk maksullista ja siitä eteenpäin ilmainen) oikein edullinen.

Kysymys siis kuuluukin, mikä olisi mieluusti ilmainen salasana manageri, riittää että se toimisi yhdessä kohteessa (PC, windows 11 ympäristö) ja kohtuullisen helppokäyttöinen ja siihen saisi ympättyä Dashlanen salasanat kohtuullisen helposti.

Toki bonusta myös jos se olisi tietoturvallinen sekä hieman suurempi & tunnetumpi yrityksenä (ettei ole heti menossa nurin, myymässä itseään Venäjälle tai muuttamassa itseään maksulliseksi). Toki juu, notepad ja salaus tai esim. muistivihko ja lyijykynä ovat wanhoja hyväksi koettuja vaihtoehtoja mutta jos olisi "hieman" helppokäyttöisempi (nopeampi) vaihtoehto olemassa...

KeePassXC. Ilmainen, mikään yritys ei omista sitä, avointa koodia. Mukana 2FA:t ja kaikki

 

[Paapaa]

Kysymys siis kuuluukin, mikä olisi mieluusti ilmainen salasana manageri, riittää että se toimisi yhdessä kohteessa (PC, windows 11 ympäristö) ja kohtuullisen helppokäyttöinen ja siihen saisi ympättyä Dashlanen salasanat kohtuullisen helposti.

Bitwardenin ilmainen on todella toimiva ja kattava ja helppokäyttöinen. Ja maksullinenkin on käytännössä ilmainen (tyyliin kympin vuodessa eli ei mitään). Itse olen pitänyt tästä enemmän kuin 1Passwordistä tai LastPassista, joita myös olen käyttänyt aika paljon. No, LastPassia ei voi suositella joka tapauksessa kellekään missään tilanteessa.

 

[pulatunnus]

Kovasti menee näköjään yksinpuheluksi..

Vielä yhtä asiaa mietin, oletteko esim. pääemailinne (tai muutkin) salasanat hoitaneet salasanamanagerin generoimalla salasanalla, vai käytättekö jotain muistettavaa salasanaa (esim lausetta)? Kaiken varalta jos iso paska osuu tuulettimeen salasanavaultin kanssa?

Avaamatti miten itse hoidan, niin kannattan ajatusta että yksi luotettava sähköposti tili on sellainen mihin on konsti kirjautua muistainvaraisesti, silloin kun on menettänyt laitteet, mukaan lukien puhelimen jne. Se sitten millaisen ketjun siihen virittelee että se onnistuu, jos ei luota pelkkään salasanaan.

Hei Bitwardenin käyttäjät, tai muutkin jolla online vaultti, miten olette hoitaneet vaultin backupin, vai luotatteko vain, että palvelu ei ikinä kadota vaulttianne?

Varmuuskopio joka ei ole riippuvainen pilvipalvelun saatavuudesta, ja varmuuskopion varmuuskopio, (eli offline paikallisilla laitteilla) ja yrittää tiedostaa että varmuuskopiot ovat vanhentuineita, eli kriittisten juttujen osalta ainakin yrittää pitää ajan tasalla.

Se mikä pitäisi olla kunnossa, mutta herkästi kärsii vielä enemmän on se miten asia hoidettu oleellisten asioiden kohdalla jos itse ei pysty syystä tai toisesta toimiin, tyyliin sairaus, kuolema. Eli jos ei ole itse ohjelmassa ominaisuutta millä voi jakaa osiin eri kirjautumis tiedot, eli joutuu käsi pitään tuollaista holvia/holvi tiedostoa.


Edit:
Lisään vielä, eli jos käytössä on luotettava palvelu, niin sen voi olettaa olevan varmempi kuin omat kopsut, mutta laatu varma palevelukin voi olla saavuttamattomissa, niin ainakin paikallinen offline kopio. Sitten ne jotkin EMP kestävyyttä vaativat folio asu päällä suojaan.

 

[escalibur]

Bitwardenin ilmainen on todella toimiva ja kattava ja helppokäyttöinen. Ja maksullinenkin on käytännössä ilmainen (tyyliin kympin vuodessa eli ei mitään).

Tähän vielä sellainen lisäys, että luultavasti jo ensi kuusta lähtien Bitwarden tulee tukemaan myös Passkeysiä.

 

[Humanoid]

Tähän vielä sellainen lisäys, että luultavasti jo ensi kuusta lähtien Bitwarden tulee tukemaan myös Passkeysiä.

Ovatko avanneet onko se tulossa vain maksaville käyttäjille?

 

[escalibur]

Ovatko avanneet onko se tulossa vain maksaville käyttäjille?

Ei ole tullut vastaan moista tietoa. Eiköhän se ole korkeintaaan $10/vuosi-tilauksessa mukana.

 

[Moilaps]

Mitä appia käytätte 2fa? Olen käyttänyt microsoftin authia mutta vähän miettityttää jos en pääse kirjautumaan niin sitten voi ne totp hävitä.

 

[SamCer]

Mitä appia käytätte 2fa? Olen käyttänyt microsoftin authia mutta vähän miettityttää jos en pääse kirjautumaan niin sitten voi ne totp hävitä.

Bitwarden (maksullinen) + Microsoftin Auth (mikkitilillä = sis. backup) tjms. Plus tärkeimmät vielä erillään noista ja jotka on varmistettu myös, mutta taas erillään noista aikaisemmista.

 

[escalibur]

Mitä appia käytätte 2fa? Olen käyttänyt microsoftin authia mutta vähän miettityttää jos en pääse kirjautumaan niin sitten voi ne totp hävitä.

2FAS iOS:lle ja esim Aegis Authenicator Androidille olisivat minun valintoja. Microsoft Authenticator on oikeastaan aika huono kaikkeen muuhun paitsi Mcrosoft 365-palveluihin.

 

[Ilppa]

Mitä appia käytätte 2fa? Olen käyttänyt microsoftin authia mutta vähän miettityttää jos en pääse kirjautumaan niin sitten voi ne totp hävitä.

Authy, toimii hyvin puhelimissa tableteis ja windoosis

 

[Obi-Lan]

Mitä appia käytätte 2fa? Olen käyttänyt microsoftin authia mutta vähän miettityttää jos en pääse kirjautumaan niin sitten voi ne totp hävitä.

Siirtymässä KeepassDX, pidän 2FA:t omassa kannassa mitä en avaa koneella.

 

[pulatunnus]

pidän 2FA:t omassa kannassa mitä en avaa koneella.

Mitä tällä tarkoitat ?
Tulkkaan niin että 2FA KeepassXC millä avataan on toisella laitteella, kuin se millä kirjaudutaan.

Edit:
Selvisi, KeepassDX, Android sovellus, ja 2FA kantaa ei avata muilla

 

[Obi-Lan]

Mitä tällä tarkoitat ?
Tulkkaan niin että 2FA KeepassXC millä avataan on toisella laitteella, kuin se millä kirjaudutaan.

En tiedä ehditkö lukea ennen kuin korjasin typon, puhelimessa mulla on KeepassDX appi mikä siis tallentaa normi keepass standardin tiedostoja. Tarkoitus on, että teen oman kannan missä on käyttäjätunnus+salasana ja toisen kannan missä on 2FA koodit ja näitä avataan eri laitteilla tietokone ja puhelin.

Keepass pohjaisissa ohjelmissa voi laittaa passut ja TOPT koodit myös samaan kantaan jos kokee sen riittäväksi tai ei halua puhelinta käyttää tms.

 

[pulatunnus]

En tiedä ehditkö lukea ennen kuin korjasin typon, puhelimessa mulla on KeepassDX appi mikä siis tallentaa normi keepass standardin tiedostoja. Tarkoitus on, että teen oman kannan missä on käyttäjätunnus+salasana ja toisen kannan missä on 2FA koodit ja näitä avataan eri laitteilla tietokone ja puhelin.

Keepass pohjaisissa ohjelmissa voi laittaa passut ja TOPT koodit myös samaan kantaan jos kokee sen riittäväksi tai ei halua puhelinta käyttää tms.

Eli haet lisäturvaa sillä että kaksivaiheinen varmistus vaatii aina myös kaksi laitetta. Eli yhden laitteen "kaappaaminen" ei avaa ovia.

Ja tuolla puhelimella ei kirjauduta, tai jos kirjaudutaan, niin pidetään huoli ettei tunnuksia jää talteen.

 

[Paapaa]

Noniin, nyt on 1password ollut hyökkäysyrityksen kohteena:

“On September 29, we detected suspicious activity on our Okta instance that we use to manage our employee-facing apps,” 1Password CTO Pedro Canahuati wrote in an email. “We immediately terminated the activity, investigated, and found no compromise of user data or other sensitive systems, either employee-facing or user-facing.”

1Password detects “suspicious activity” in its internal Okta account

1Password CTO says investigation found no compromise of user data or sensitive systems.

arstechnica.com

https://blog.1password.com/files/okta-incident/okta-incident-report.pdf

 

[Obi-Lan]

Eli haet lisäturvaa sillä että kaksivaiheinen varmistus vaatii aina myös kaksi laitetta. Eli yhden laitteen "kaappaaminen" ei avaa ovia.

Ja tuolla puhelimella ei kirjauduta, tai jos kirjaudutaan, niin pidetään huoli ettei tunnuksia jää talteen.

Joo ja jos puhelin tippuu järveen niin ton TOPT kannan saa auki hätätilassa myös koneelta. Tosin sitä en oo vielä miettinyt ihan loppuun miten puhelin appien kanssa pitäisi toimia, erityisesti niiden joita käyttää myös koneelta esim. tori, pitääkö se passukantakin kuitenkin synkronoida puhelimeen.

 

[pulatunnus]

Joo ja jos puhelin tippuu järveen niin ton TOPT kannan saa auki hätätilassa myös koneelta. Tosin sitä en oo vielä miettinyt ihan loppuun miten puhelin appien kanssa pitäisi toimia, erityisesti niiden joita käyttää myös koneelta esim. tori, pitääkö se passukantakin kuitenkin synkronoida puhelimeen.

Jos käytettävyyttä miettii, ja tavallista puhelimen käyttöä, niin harva haluaa kanniskella mukana erillistä kirjautumislaitetta.
No jos ne ei mailmantärkeimmät jutut on yhdessä kannassa, joita voi käyttää samalla laitteella kuin kirjautuu, käytettävyys ja taviksella jopa turvalisuutta lisävää, ei tule kiusausta jättää uloskirjautumatta, tai ruksia muista minut jne.

Käyttää kannan avaamiseen jotain muuta kuin laitteen avaamiseen, tarkoitan ettei suojaa kantaa biometrisellä, jos itse laitteen sillä suojaa.

Tyypillisesti ihmiset vetää käyttö puhelimella kyllä ihan kaikki, siis työjututkin. Pankki kaksivaiheinen tunnistautuminen varmaan isolla prosentilla samalla puhelimella millä pankkiin kirjaudutaan.