Parhaat ohjelmat salasanojen säilytykseen

[Kautium]

Jos klikkaat ensin sitä "täytä luotu salasana" ja sen jälkeen klikkaat käyttäjätunnuskohtaan, niin aukeaa "+ uusi kirjautumistieto", niin tänne tulee automaattisesti se äsken luotu salasana ja voit tallentaa uuden tiedon.

Edit. toki voi suoraan klikata uusi kirjautumistieto ja tehdä siellä uuden salasanan halutuilla parametreillä.

Vai niin, no onpas erikoinen taas tuokin. En pääse nyt testaamaan, mutta saako tuota jostakin pois? Se on täysin turha minulle ja se haittaa mm. parilla käyttämälläni sivulla scramblepadin näkymistä (numerolista, josta pitää valita pin-koodia vastaava vaihtuva kirjain).

 

[apek]

Vai niin, no onpas erikoinen taas tuokin. En pääse nyt testaamaan, mutta saako tuota jostakin pois? Se on täysin turha minulle ja se haittaa mm. parilla käyttämälläni sivulla scramblepadin näkymistä (numerolista, josta pitää valita pin-koodia vastaava vaihtuva kirjain).

Laita asetukset -> automaattitäyttö -> näytä ehdotukset kun kuvaketta painetaan päälle, niin sitten ne kyselyt näkyy vasta jos ensin klikkaat esim. salasana kohtaa ja siitä bitwarden kuvaketta. Eli ei ilmesty automaattisesti kun salasana kohtaa on klikannut.

 

[Kautium]

Laita asetukset -> automaattitäyttö -> näytä ehdotukset kun kuvaketta painetaan päälle, niin sitten ne kyselyt näkyy vasta jos ensin klikkaat esim. salasana kohtaa ja siitä bitwarden kuvaketta. Eli ei ilmesty automaattisesti kun salasana kohtaa on klikannut.

Ei niissä kirjautumisehdotuksessa ole mitään vikaa, eli ne haluaisin tulevan näkyville saman tien kun kenttää klikkaa. Nyt se kuitenkin työntää niiden sijaan aina salasanakenttään koskettaessa tuon typerän random-salasana-dialogin. Tässä vielä kuvakaappaus tilanteesta, jossa se estää näkemästä alla olevaa scramblepadia -->

Tämä siis Edgessä uusimmalla Bitwardenin versiolla. Firefox-versio ei ole vielä päivittynyt, eikä siinä ole optiota vaihtaa tuota filliäkään.

 

[apek]

Ei niissä kirjautumisehdotuksessa ole mitään vikaa, eli ne haluaisin tulevan näkyville saman tien kun kenttää klikkaa. Nyt se kuitenkin työntää niiden sijaan aina salasanakenttään koskettaessa tuon typerän random-salasana-dialogin. Tässä vielä kuvakaappaus tilanteesta, jossa se estää näkemästä alla olevaa scramblepadia -->

Tämä siis Edgessä uusimmalla Bitwardenin versiolla. Firefox-versio ei ole vielä päivittynyt, eikä siinä ole optiota vaihtaa tuota filliäkään.

Niin ei sitä pelkkää luodun salasanan ehdotusta saa pois. Se on joko tai. Sinänsä tietysti ei ole iso homma painaa tuota kuvaketta, että saa kirjautumisehdotukset.

 

[Kautium]

Niin ei sitä pelkkää luodun salasanan ehdotusta saa pois. Se on joko tai. Sinänsä tietysti ei ole iso homma painaa tuota kuvaketta, että saa kirjautumisehdotukset.

Vaiva ei ole iso, mutta jokainen ylimääräinen klikkaus on ylimääräinen klikkaus. Tällä hetkellä tuo taitaa kuitenkin olla ainoa tapa kiertää ongelmaa.

Ihan hyvin voisi olla asetuksissa optio, että haluaako joku käyttää tuota vai ei (tai haluaisiko sen vaikka toimivan niin, että jos sivustolle ei ole tunnusta olemassa, niin silloin uuden loginin voi lisätä siitä painikkeesta). Ikävä kyllä BW on lähtenyt tälle nykypäivänä aika tyypilliselle linjalle, jossa ominaisuuksia muokataan ja tuputetaan käyttäjille sen kummempia testaamatta. Edelliset typeryydet sentään suostuivat korjaamaan muutaman kuukauden valituksen jälkeen, mutta uusia pukkaa koko ajan.

 

[ristokoo]

Kannanottoja seuraavaan?

Pohdiskelin salasanojen yms. salaisten juttujen säilytystä turvallisesti ja mahdollisimman helposti. Käytössä on jo KeePassXC parissa Windows-koneessa, puhelimessa ja tabletissa. Synkkaus hoituu Syncthingillä.

Mietin kuitenkin (kokeilinkin), josko laittaisi Dockerilla pyörimään Vaultwardenin Raspberry Pi:hin. Jos käyttäisi sitä, voisi jättää Syncthingin kanssa puljaamisen (ei mitenkään rankkaa sekään). Varmuuskopioinnista tietysti pitäisi huolehtia yhtä lailla kuin nytkin. Vaultwardeniin olisi helppo laittaa pääsy netin kauttakin, mutta eipä taida kiinnostaa/uskaltaa, vaan pysyn pelkästään lähiverkossa jos sitä alan käyttää.

Mielipiteitä ja/tai ehdotuksia muuksi ratkaisuksi? Saako tuollaista Docker-toteutusta järkevästi tai mitenkään pyöritettyä niin, että sama Vaultwarden-holvi olisi kahdessa paikassa? Raspberry löytyisi mökiltäkin.

 

[erekola]

Itse voin kyllä lämpimästi suositella kaikkia Protonin palveluita. Itsellä käytössä kai kaikki Pass, VPN, Mail ja Calendar. Mielestäni todella helpot ja siistit ratkaisut. Ei tosin kokemusta ilmaisversioista.

 

[ristokoo]

Itse voin kyllä lämpimästi suositella kaikkia Protonin palveluita. Itsellä käytössä kai kaikki Pass, VPN, Mail ja Calendar. Mielestäni todella helpot ja siistit ratkaisut. Ei tosin kokemusta ilmaisversioista.

Protonin varmasti otan, jos johonkin ulkopuoliseen palveluun päädyn. Tällä erää on maksullisena vain ProtonVPN, otin kun viime syksynä sen sai alle 2€/kk. ProtonMail on ollut ilmaisversiona kevyessä käytössä, mutta kiinnostaisi kyllä siirtyä Googlesta siihen. Salasanapalvelusta ei periaatteessa huvittaisi maksaa juuri mitään, kun ilmaisia hyviä vaihtoehtojakin on. Voipi olla, että ensi syksyllä tulee ostettua tarjouksesta Unlimited, siinähän tulisi vissiin Pass mukana.

 

[ristokoo]

Tulevaan KeePassXC:n 2.8.0 -versioon on tulossa remote sync -ominaisuus joka osaa automaattisesti synkata palvelimella olevan tietokannan vaikkapa SFTP:n yli. Joten jatkossa Syncthingiäkään ei ole pakko käyttää. Jos kuitenkin docker-konttien pyöräyttely kiinnostaa, niin sellaisenhan voi laittaa pyörimään vaikka Tailscalen taakse jolloin kellään ulkopuolisella ei ole pääsyä palvelimelle. Hieman turvallisempi tapa avata portteja maailmalle. Omalla kotiservulla pyörii NextCloud juurikin tuolla tavoin.

Tuohan on mainio uutinen, pitää ehdottomasti kokeilla. Dockeria kokeilin ihan harrastusmielessä, kun Raspberryt on nyt pelkästään kevyessä tiedostopalvelinkäytössä. Samalla testasin uteliaisuuttani, miten GhatGPT, Gemini ja Copilot suoriutuvat, kun niiltä kysyy miten Vaultvarden laitetaan tulille. Kaikilta tuli mainiot ohjeet sujuvalla suomella. Onhan nuo tekoälyköt jo melkein pelottavan hyviä

Tailscale on hyvä ehdotus myös. Testailinkin sitä hieman taannoin, mutta en jaksanut vielä perehtyä tarkemmin. Nextcloudia voisikin kokeilla seuraavan Docker-projektina.

 

[erekola]

Protonin varmasti otan, jos johonkin ulkopuoliseen palveluun päädyn. Tällä erää on maksullisena vain ProtonVPN, otin kun viime syksynä sen sai alle 2€/kk. ProtonMail on ollut ilmaisversiona kevyessä käytössä, mutta kiinnostaisi kyllä siirtyä Googlesta siihen. Salasanapalvelusta ei periaatteessa huvittaisi maksaa juuri mitään, kun ilmaisia hyviä vaihtoehtojakin on. Voipi olla, että ensi syksyllä tulee ostettua tarjouksesta Unlimited, siinähän tulisi vissiin Pass mukana.

Juuri tuo Unlimited itsellä. Ei kuitenkaan mahdottoman kallis ole ja en kyllä oikeasti keksi mitä muuttaisi..

edit. Ja kun saat loputtomasti tehtyä aliaksia emailille niin todella iso plussa. Kaikkiin paikkoihin eri email helposti. Jos käy joku tietomurto niin poistat vaan aliaksen.

 

[Paapaa]

Mietin kuitenkin (kokeilinkin), josko laittaisi Dockerilla pyörimään Vaultwardenin Raspberry Pi:hin.

Miksi haluat itse pyörittää sitä kun voit käyttää ilmaista Bitwardenin pilvipalvelua jolloin joku oikeasti hoitaa sen tietoturvan jatkuvasti ajan tasalle varmuuskopioineen jne. Yksi raspi ei myöskään ole maailman vikasietoisin rauta tuolle.

 

[ristokoo]

Miksi haluat itse pyörittää sitä kun voit käyttää ilmaista Bitwardenin pilvipalvelua jolloin joku oikeasti hoitaa sen tietoturvan jatkuvasti ajan tasalle varmuuskopioineen jne. Yksi raspi ei myöskään ole maailman vikasietoisin rauta tuolle.

Miksi ei? Harrastelun ilosta tietenkin, ja siinä saa toisinaan hyödyllistäkin aikaan. Bitwarden ei kiinnosta, kun mieluummin pyrin välttämään USAlaisten tuottamia palveluja. Ilmaispalveluun ei myöskään näytä kuuluvan tiedostoliitteiden säilöntä. En kyllä ensivilkaisulla löytänyt sitä mahdollisuutta Vaultvardenistakaan, eli ei sekään ehkä ole vaihtoehto.

Vikasietoisuutta saa kun hoitaa varmuuskopioinnin. Raspberry ei ole oman kokemuksen mukaan erityisen vikaherkkä kevyessä käytössä. Varmaan viitisentoista vuotta on Pi tai pari ollut päällä 24/7, eikä vielä ole yksikään hajonnut. Ei toki sama rauta, vaan päivittyvät muutaman vuoden välein uudempaan. Löytyy kyllä vielä myös toimiva Pi kolmonen.

 

[Paapaa]

Miksi ei?

Itse ajattelen, että salasanamanageri on hyvin kriittinen osa tietoturvaa. Siksi en itse käyttäisi epävirallisia ei-tuettuja palvelinsoftia (Vaultwarden), enkä käyttäisi Raspiä tuollaiseen, ja jättäisin palvelimen suojaamisen ja jatkuvan ylläpidon jollekin jolle siitä maksetaan. Mutta YMMV.

Harrastelun ilosta tietenkin

Se on sinänsä ihan mukavaa ja oppii ehdottomasti. Mutta tosiaan kannattaa ainakin tiedostaa, että kannattaako juuri tässä asiassa se harrastelu ja siksi tätä kysyin.

Vikasietoisuutta saa kun hoitaa varmuuskopioinnin

Se ei tietysti auta jos pitäisi saada salasanat synkattua ja palvelin ei vastaa.

Bitwarden ei kiinnosta, kun mieluummin pyrin välttämään USAlaisten tuottamia palveluja

Et siis käyttäisi myöskään Bitwardenin kehittämiä clientejä esim. kännykkäsoftaa tai selainplugareita? Kuulostaa aika hankalalta, ehkä tosiaan joku muu olisi sitten parempi vaihtoehto. BW on tosiaan jenkkifirma, mutta sentään datan saa halutessaan talteen EU:n alueelle jos kokee sen tärkeäksi. Mutta jos haluaa boikotoida kaikkea USA:aan liittyvää, niin BW taitaa jäädä pois laskuista.

 

[ristokoo]

Itse ajattelen, että salasanamanageri on hyvin kriittinen osa tietoturvaa. Siksi en itse käyttäisi epävirallisia ei-tuettuja palvelinsoftia (Vaultwarden), enkä käyttäisi Raspiä tuollaiseen, ja jättäisin palvelimen suojaamisen ja jatkuvan ylläpidon jollekin jolle siitä maksetaan. Mutta YMMV.

Ajattelen samoin. Siksipä aikomus onkin laittaa (jos laitan) Vaultwarden vain omaan lähiverkkoon. Ei lisänne kotiini/mökilleni kohdistuvaa hyökkäysriskiä merkittävästi

Se ei tietysti auta jos pitäisi saada salasanat synkattua ja palvelin ei vastaa.

Tämä on hyvä pointti. Tuossa suhteessa KeePass on helppo, kun kanta on paikallisesti laitteissa ja Syncthing synkkailee kun pyytää. Mutta eikös salasanat ole paikallisena kopiona myös Bitwarden-sovelluksissa? Eli niihin pääsisi käsiksi, vaikka palvelin olis nurin?

Et siis käyttäisi myöskään Bitwardenin kehittämiä clientejä esim. kännykkäsoftaa tai selainplugareita? Kuulostaa aika hankalalta, ehkä tosiaan joku muu olisi sitten parempi vaihtoehto. BW on tosiaan jenkkifirma, mutta sentään datan saa halutessaan talteen EU:n alueelle jos kokee sen tärkeäksi. Mutta jos haluaa boikotoida kaikkea USA:aan liittyvää, niin BW taitaa jäädä pois laskuista.

Boikottikeskustelua voi käydä toisaalla, sille on jo oma ketju. Jälleen, miksi ei? Jos ei ole muuta mobiilisovellusta tuohon käyttöön, käytän Bitwardenia. Ehkä se sitten jotain moraalista tukea antaa Trumppilan väelle, mutta ei haittaa minua, kun en suoraan maksa rahalla.

Makuasioitahan nämä, ja nykyään myös arvokysymyksiä. Tällä hetkellä en ostaisi mitään amerikkalaisten palvelua, jos vastaava löytyy vaikkapa Sveitsistä.

 

[Paapaa]

Jälleen, miksi ei?

Luulin, että halusit boikotoida kun kirjoitit että pyrit välttämättän USA:laisia palveluita. Mutta boikotoit siis vain heidän pilvipalvelimiaan ja virallista palvelinsoftaa, mutta käytät muita softia tarpeen mukaan. Samat toiminnallisuudet siis saisit ihan virallisilla ja tuetuilla softilla ja pilvipalvelulla mutta jos pitää liitteet tallettaa niin sitten pitäisi maksaa. Sen maksullisen paras ominaisuus on intergroitu TOTP-koodien syöttö. Eli voit tallettaa TOTP:t Bitwardeniin ja syöttää koodit automaattisesti. Helposti sen $10/v (+ALV) arvoinen.

 

[Deus Vult]

Onko Proton Pass turvallinen? Tuo näyttäisi synkronoivan internettiin niin saisi pidettyä kaikki salasanat mukana mutta näyttää myös olevan siitä riippuvainen eli jos netti on katki = hyvästi salasanat tai vielä pahempi jos heidän serverinsä hakkeroidaan tai palvelu loppuu niin se oli siinä? Onko Proton niin luotettava firma että voi luottaa heihin että tuollaisessa tilanteessa asiakkaille ilmotetaan rehellisesti ja salasanat saa talteen?

 

[ristokoo]

Luulin, että halusit boikotoida kun kirjoitit että pyrit välttämättän USA:laisia palveluita. Mutta boikotoit siis vain heidän pilvipalvelimiaan ja virallista palvelinsoftaa, mutta käytät muita softia tarpeen mukaan. Samat toiminnallisuudet siis saisit ihan virallisilla ja tuetuilla softilla ja pilvipalvelulla mutta jos pitää liitteet tallettaa niin sitten pitäisi maksaa. Sen maksullisen paras ominaisuus on intergroitu TOTP-koodien syöttö. Eli voit tallettaa TOTP:t Bitwardeniin ja syöttää koodit automaattisesti. Helposti sen $10/v (+ALV) arvoinen.

Tämä on väärä ketju, tuolla voi jatkaa moraalisfilosofisia pohdintoja:
Jenkkituotteiden boikotointi

Liitteet on ehdottoman tärkeitä, ja näkyyhän ne Vaultwardenilla toimivan. Kuten sanoin, jos päädyn maksulliseen palveluun, se on melko varmasti Proton.

 

[erekola]

Onko Proton Pass turvallinen? Tuo näyttäisi synkronoivan internettiin niin saisi pidettyä kaikki salasanat mukana mutta näyttää myös olevan siitä riippuvainen eli jos netti on katki = hyvästi salasanat tai vielä pahempi jos heidän serverinsä hakkeroidaan tai palvelu loppuu niin se oli siinä? Onko Proton niin luotettava firma että voi luottaa heihin että tuollaisessa tilanteessa asiakkaille ilmotetaan rehellisesti ja salasanat saa talteen?

On. Ja tietokoneelle ladattu sovellus toimii myös offline jos annat siihen luvan. Voit myös tietenkin ladata salatun backupin kaikista koneellesi. Hakkerointi ei haittaa koska kaikki tietosi on salattu. Toki hakkerointi on myös erittäin epätodennäköistä.

 

[Vaateri]

Mulla on ollut salasanat MS Authenticatorissa, koska sitä tarvitsee joka tapauksessa. Nyt Microsoft suoraviivaistaa ohjelmistojaan tjsp ja poistaa ominaisuuden. Tai oikeastaan siirtää, koska sama toiminnallisuus pitäisi olla Edgessä. Kokeilin Edgen automaattista täyttöä muihin sovelluksiin Androidilla, enkä saanut sitä toimimaan. Onko kokemuksia Edgestä tuossa käytössä? Vai täytyykö tässä suosilla siirtyä toisen palvelun käyttäjäksi?

 

[Kautium]

Mulla on ollut salasanat MS Authenticatorissa, koska sitä tarvitsee joka tapauksessa. Nyt Microsoft suoraviivaistaa ohjelmistojaan tjsp ja poistaa ominaisuuden. Tai oikeastaan siirtää, koska sama toiminnallisuus pitäisi olla Edgessä. Kokeilin Edgen automaattista täyttöä muihin sovelluksiin Androidilla, enkä saanut sitä toimimaan. Onko kokemuksia Edgestä tuossa käytössä? Vai täytyykö tässä suosilla siirtyä toisen palvelun käyttäjäksi?

Ei se varmaankaan voi toimia lainkaan Edgen ulkopuolella. Melkoinen aivopieru Microsoftilta. Suosittelen vaihtamaan esim. Bitwardeniin.

 

[Vaateri]

Ei se varmaankaan voi toimia lainkaan Edgen ulkopuolella. Melkoinen aivopieru Microsoftilta. Suosittelen vaihtamaan esim. Bitwardeniin.

Kyllä Microsoft väittää sen toimivan ja onpa sen asetuksissakin vipu, josta automaattinen täyttö muissa sovelluksissa laitetaan päälle. Ja Androidin asetuksissakin se on muiden salasanojen hallinta -sovellusten kanssa valittavissa oletukseksi.

Changes to Microsoft Authenticator autofill - Microsoft Support

support.microsoft.com

 

[Kautium]

Kyllä Microsoft väittää sen toimivan ja onpa sen asetuksissakin vipu, josta automaattinen täyttö muissa sovelluksissa laitetaan päälle. Ja Androidin asetuksissakin se on muiden salasanojen hallinta -sovellusten kanssa valittavissa oletukseksi.

Changes to Microsoft Authenticator autofill - Microsoft Support

support.microsoft.com

Ok, meni ohi tuo kohta. En tosin ole siltikään asentamassa Edgeä mihinkään Androidiin, joten samapa tuo.

 

[Vaateri]

Päivitys tuohon ylläolevaan... Ehkä Microsoft on päivittänyt jotain, ehkä nyt on vaan tuulet suotuisammat, mutta Edgen automaattinen toisto toimii kuten pitääkin. Näin ollen ei tarvitse lähteä siirtämään salasanoja minnekään.

 

[Vain_Pelaaja]

Löytyykö LastPass:n käyttäjiä jotka ovat nyt ihan juuri uusineet tilauksen? mulla meni tilaus vanhaksi kun automaattinen uusiminen ei ollut onnistunut vanhentuneen kortin takia, mutta kun yritän päivittää kortin tiedot niin saan vain ilmoituksen että uusiminen ei onnistu. Kortilta on katsottu turvarajat jne ettei haittaa. Eli onko muilla vastaavaa?

 

[Aaltoliike]

Löytyykö LastPass:n käyttäjiä jotka ovat nyt ihan juuri uusineet tilauksen? mulla meni tilaus vanhaksi kun automaattinen uusiminen ei ollut onnistunut vanhentuneen kortin takia, mutta kun yritän päivittää kortin tiedot niin saan vain ilmoituksen että uusiminen ei onnistu. Kortilta on katsottu turvarajat jne ettei haittaa. Eli onko muilla vastaavaa?

Kuka sitä enää käyttäisi, sen jälkeen kun on murtauduttu ainakin kahteen kertaan. Vaihda Bitwardeniin.

 

[Ezzy]

Onko muissa salasanamanagereissa Keepassin tyylistä automaattista salasanan kirjoitusavustinta ettei tarvitse koskea näppäimistöön eikä copypastettaa? Joskus käpistelee etäkoneita minne tarvii typottaa pitkää passua eikä copypaste toimi, niin toi olis aika rok ominaisuus ehkä ole törmännyt siihen muissa kuin Keepassissa.

 

[Hans Niskatuki]

Firefoxin lisäosa päivittyi ja siinä samalla on näköjään tullut asetuksiin tälle oma valintansa.

Edelleenkään eivät ole muuttaneet autofillin toimintaa, eli tunnuksen klikkaaminen listalla avaa editorin ja fillille on erillinen painikkeensa.

Jossain vaiheessa sen jälkeen kun Firefoxin Bitwarden-extensioon ilmaantuivat päivityksen myötä nuo pikkuruiset Fill-napit, koko Bitwardenin lisäosa ainakin omien koneideni Firefoxeissa on hidastunut ja pelkkä kikkareen unlockkaus (master passun typottamisen yhteydessä) kestää jopa kymmeniä sekunteja. Puhumattakaan siitä kun alkaa täytellä jonkun nettisivuston kenttiä Fillillä. Johtuukohan tämä Firefoxista vai Bitwardenista?

Kellään muulla samoja havaintoja?

 

[Kautium]

Jossain vaiheessa sen jälkeen kun Firefoxin Bitwarden-extensioon ilmaantuivat päivityksen myötä nuo pikkuruiset Fill-napit, koko Bitwardenin lisäosa ainakin omien koneideni Firefoxeissa on hidastunut ja pelkkä kikkareen unlockkaus (master passun typottamisen yhteydessä) kestää jopa kymmeniä sekunteja. Puhumattakaan siitä kun alkaa täytellä jonkun nettisivuston kenttiä Fillillä. Johtuukohan tämä Firefoxista vai Bitwardenista?

Kellään muulla samoja havaintoja?

Eipä ole ollut tuollaisia ongelmia täällä. Mulla on ollut Bitwarden käytössä useissa koneissa ja useissa eri selaimissa vuosikausia. Master passwordia ei tosin tarvitse kirjoitella kuin aniharvoin, kun käytän yleensä PIN-koodia.

Mutta siis tiivistetysti en ole havainnut mitään hidastumista missään vaiheessa ja nuo painikkeetkin saa muutettua valikosta samalla tavalla kuin ennen.

 

[Hans Niskatuki]

Mutta siis tiivistetysti en ole havainnut mitään hidastumista missään vaiheessa

En sitten tiedä mistä omat jumitukset johtuvat. Minulla oli yhdessä vähemmän käytössä olleessa koneessa roikkumassa vielä joku wanhempi versio Firefoxin Bitwarden-lisäosasta, eli sellainen jossa niitä pikkuisia Fill-nappuloita ei vielä ollut. Ja se toimi nopeammin kuin ajatus. Mutta heti kun päivitin extension tuoreimpaan versioon niin hidastelu alkoi samantien. Täytynee seurailla tilannetta.

Ja sellainen juttu vielä että Windowsin Bitwardenista (en tarkoita siis lisäosia) ja sen ilmeisesti aivan tuoreimmasta versiosta joka on julkaistu ihan hiljattain on käsittääkseni poistettu mahdollisuus unlockata Bitwarden sormenjäljellä (ilman että naputtaa pinnin tai passun).

 

[Kautium]

Salasanamanagereiden selainlaajennukset ovat herkkiä klikkausten kaappauksille:

DOM-based Extension Clickjacking: Your Password Manager Data at Risk

Security Researcher | Ethical Hacker | Web Application Security

marektoth.com

Bitwardenin oleminen edelleen tuolla listalla tuntuu erityisen pahalta. Salasanojen manuaalinen copy/paste on ainoa turvallinen vaihtoehto tällä hetkellä (edes manuaalinen autofill ei ole turvallinen).

Edellisen lisäksi yksi olennainen pointti on alla oleva, eli 2FA-tunnistamisen ei pitäisi liittyä millään tavalla samaan säilöön, jossa itse salasana tai muu vastaava autentikaatiotoken on.

2FA should be strictly separated from login credentials - when storing everything in one place, so the attacker could exploit vulnerable password managers and gain access to the account even with 2FA enabled.

 

[Taneli-]

Salasanamanagereiden selainlaajennukset ovat herkkiä klikkausten kaappauksille:

DOM-based Extension Clickjacking: Your Password Manager Data at Risk

Security Researcher | Ethical Hacker | Web Application Security

marektoth.com

F-Secure ilmoittaa itselläni samantien

Itse olen käytellyt: KeePassXC ( KeePassXC Password Manager ) mihin ollut tyytyväinen.

 

[kaakau<"'\\/>]

Tuo on kyllä erikoista, että sivusto suosittelee copy/pastea, vaikka leikepöydälle on vapaa pääsy millä tahansa ohjelmalla. Tuon sijasta on suositeltavaa käyttää esim. KeePassXC:ssä olevaa Auto-Typea.

Tätä käytän itsekin. KeePassXC:kin on selainlisäosa, mutta en ole edes koskaan kokeillut sitä, kun en ole nähnyt tarvetta, kun auto-type toimii sen verran hyvin.

 

[Infy]

The attacker needs to find some vulnerability, such as XSS, subdomain takeover, web cache poisoning or other. The goal is for the attacker to be able to execute their javascript code on a trusted domain. For simplicity, I will use "XSS" beacuse it's the most common type of vulnerability in web applications.

Web-sivusto pitää olla hyökkääjän käsissä, jotta tätä haavoittuvuutta pystyy hyödyntämään. Siinä kohtaa peli on jo menetetty muutenkin, huolimatta miten sinne salasanasi syötät, selainlaajennoksella tai ilman.

 

[Sp3]

Eipä kyllä luottaisi muuhun, kuin johonkin Googlen kaltaiseen isoon yritykseen, resursseineen, valtavan yleisän katseen ja odotusten alla. Muuten aika meedio pitäisi olla, että vaan luottaa johonkin tuntemattomaan jolla kivat sivut.

Ehkä paras kun jossain tekstitiedostossa, josta kopio ja liittää.
Ehkä voi joihinkin uhkiin olla alttiimpi, mutta ei varmaan monen tietokoneen käytöllä todennäköisimpiä uhkia tiedostoihin pääsy ja jos ei samalla sit muuhunkin.
Sit taas oma juttunsa, jos joku pääsee välistä fyysisesti koneelle.

 

[pulatunnus]

Eipä kyllä luottaisi muuhun, kuin johonkin Googlen kaltaiseen isoon yritykseen, resursseineen, valtavan yleisän katseen ja odotusten alla. Muuten aika meedio pitäisi olla, että vaan luottaa johonkin tuntemattomaan jolla kivat sivut.

Google varmaan tavikselle ihan ok, ja laitaa resursseja mm salasanojen käisttelyyn, ongelma tosin se että siinä sitoutuu Googlen juttuihin , ja menaa vaikeaksi ,riskialttiiksi jos muuissakin ympäristöissä tarvetta.

Ehkä paras kun jossain tekstitiedostossa, josta kopio ja liittää.
Ehkä voi joihinkin uhkiin olla alttiimpi, mutta ei varmaan monen tietokoneen käytöllä todennäköisimpiä uhkia tiedostoihin pääsy ja jos ei samalla sit muuhunkin.
Sit taas oma juttunsa, jos joku pääsee välistä fyysisesti koneelle.

Siinä kaksi perus miinaan, salasana kirjasto salaamatta, suojaamatta, käyttäjä ei tiedä onko se vuotanut, koska se on vuotanut, sellaista salasana hallintaa käyttävää ei voi pitää luotettavana henkilönä.
Eli se tiedostosta voi olla laitteilla useita kopioita, kopioita varmuuskopioissa, kopioita pilvessä, muissa laitteissa, ja niissä kanavissa missä sitä siirrelty. Tästä seuraa entistä tiheämpi tarvi vaihdella salasanoja, mistä seuraa entistä tiheämpi tarvi synkata sitä tiedostoa eri laitteisiin ja varmuuskopioida.

Luotettava offline salasana holviohejelmaa nostaa moninkertaiselle tasolle.

Leikepöydän käyttö, vähän parempi, se on myös herkkä vuotamaan, jos käyttäjällä käytössä leikepöydän synkkausta, leikepöydän historiaa, niin se myös voi levitä sinne tänne, siinäkään holviohjelma ja sen leikepöytä tuki ei ainakaan huononna, päinvastoin. Tämä siihen puhtaaseen tekstitiedostoon on jo pienempi riski, ja sitä voi rajata ei niin tärkeiden vs kriittisten juttujen osalta, ja kertakäyttö avaimissa riski ikkuna jää pieneksi.

Jos on salasanoja , salaisuuksia joiden vuotaminen olisi isomp riski, vahinko, niin välttää niiden talentamista kokonaisena, selkokielisena mihinään, teknisesti salattunakaan. luoda omaa kaksivaiheisuutta.

Esim henkilökortin (kansalaisvarmenne) PIN koodin, puhelimen salasana, pankki tunnistuohjelmien vahvistus salasanat jne. Asioita joiden vuotamisesta voisi olla isot vahingot, niin ei tallenna sellaisenaan edes salasana holviin.

 

[Paapaa]

Eipä kyllä luottaisi muuhun, kuin johonkin Googlen kaltaiseen isoon yritykseen, resursseineen, valtavan yleisän katseen ja odotusten alla. Muuten aika meedio pitäisi olla, että vaan luottaa johonkin tuntemattomaan jolla kivat sivut.

En tiedä, kuka täällä luottaa "tuntemattomaan jolla kivat sivut". Tuskin kukaan. Täällä suositellaan vuosia käytössä olleita ja hyviksi todettuja ohjelmia salasanojen säilytykseen, kuten esim. Bitwarden. Sillä se etu Googleen verrattuna, että salasanamanageri on sen pääliiketoimintaa, ei selaimen kylkeen pultattu sivujuonne. Lisäksi Bitwarden on avointa lähdekoodia, joten sen auditointi on mahdollista kelle tahansa. Puhumattakaan siitä, että se toimii kaikissa tunnetuissa selaimissa.

Ehkä paras kun jossain tekstitiedostossa, josta kopio ja liittää.

Hyvin epäkäytännöllinen ja turvaton tapa. Salasanat olisivat yhdellä koneella ja niiden siirto muihin laitteisiin vaatii manuaalista työtä. Ne olisi haittaohjelman tai toisen käyttäjän luettavissa selväkielisenä. Niiden muokkausta ei voi perua jos menee jotain mokaamaan editoidessa. Ne eivät tarjoa mitään automaattista syöttöä selaimeen vaan käsin kopioinnin. Vahvan salasanan luominen ei onnistu ilman ulkopuolista työkalua.

Oletan, ettet käytä tai ole koskaan käyttänyt salasanamanageria kun tuollaista aika hölmöä tapaa ehdotat.

 

[Sp3]

Bugi (laiton viestin, joka vain latasi, eikä lähtenyt itselle näkyen, sitten laitoin uudestaan. Vasta sivun uudelleen ladatessa huomasi lähteneen silti.)

 

[Sp3]

Bugi

 

[Sp3]

En tiedä, kuka täällä luottaa "tuntemattomaan jolla kivat sivut". Tuskin kukaan. Täällä suositellaan vuosia käytössä olleita ja hyviksi todettuja ohjelmia salasanojen säilytykseen, kuten esim. Bitwarden. Sillä se etu Googleen verrattuna, että salasanamanageri on sen pääliiketoimintaa, ei selaimen kylkeen pultattu sivujuonne. Lisäksi Bitwarden on avointa lähdekoodia, joten sen auditointi on mahdollista kelle tahansa. Puhumattakaan siitä, että se toimii kaikissa tunnetuissa selaimissa.



Hyvin epäkäytännöllinen ja turvaton tapa. Salasanat olisivat yhdellä koneella ja niiden siirto muihin laitteisiin vaatii manuaalista työtä. Ne olisi haittaohjelman tai toisen käyttäjän luettavissa selväkielisenä. Niiden muokkausta ei voi perua jos menee jotain mokaamaan editoidessa. Ne eivät tarjoa mitään automaattista syöttöä selaimeen vaan käsin kopioinnin. Vahvan salasanan luominen ei onnistu ilman ulkopuolista työkalua.

Oletan, ettet käytä tai ole koskaan käyttänyt salasanamanageria kun tuollaista aika hölmöä tapaa ehdotat.

Ehkä oli vähän lonkalta heitettyä.

Ainakin sähköpostiasioissa on sitä että mainostetaan millon minkäkin vähemmän tiedetyn tekijän postia, jonka käytännöistä, jatkuvuudesta jne. tietää vain joko meedio tai todella toimijaan perehtynyt.
Kannattaako maalikon valita silloin se suuri, ison yleisön alla oleva firma ennemmin, on sitten jokaisen oma asia.
Jos kukaan ei kokeilisi ja tukisi uusia toimijoita, ei olisi kilpailua ja painetta olla vielä parempi ja turvallisempi.

Mitä tekstitiedoston turvallisuuteen tulee, niin monelle se kaikki tiedostot anastanut haittaohjelma on sitten jo sama tai enemmän kuin sen lajin salasanat, jotka ei kaksivaiheisen tunnistuksen takana. Ja sen verran yleinen kun sellainen haittaohjelma jokaisen käytössä on. Yritysturvallisuus ja erityistarpeet toinen asia.

Olen käyttänyt salasanapalvelua. Heitto liittyi siihen, jos mihinkään sellaiseen ei luottaisi / halua luottaa. Mihinkään kätevyyteen ei liittynyt, tai fyysisen uhan huomiointiin.

Niin ja kyseiseen Bitwardeen en ole perehtynyt mitenkään, enkä kuullut. Enkä tarkotanut johonkin tiettyyn tai edellä keskusteltuun.

Asiasta ennemmän tietävät jatkakoot keskustelua rauhassa. En tiedä miks lähdin heittää loppuenlopuksi aika turhaa hölmöä.

 

[Kautium]

Jep. Eikä tarvi edes feikata mitään kirjautumisformia sinne. Tunnukset voi varastaa suoraan siitä aidosta.

Kyse oli muustakin kuin sivuston ja sen alidomainien tunnuksista. Tuolla tavalla voi kaivella salasanamanagerilta muitakin tietoja ja mahdollisesti myös passkeyn.

Edelleen erikoista, että haavoittuvuuksista kertova sivusta suositteli leikepöydän käyttöä, vaikka siihen on pääsy joka ikisellä ohjelmalla lupia kyselemättä.

Leikepöytä ei ole turvallinen paikka säilöä mitään, mutta ei mikään sivusto silti suoraan pääse sen sisältöä lukemaan.

 

[asentaja142]

On. Ja tietokoneelle ladattu sovellus toimii myös offline jos annat siihen luvan. Voit myös tietenkin ladata salatun backupin kaikista koneellesi. Hakkerointi ei haittaa koska kaikki tietosi on salattu. Toki hakkerointi on myös erittäin epätodennäköistä.

Olen itse myös vakuuttunut protonista kun olen muutaman kuukauden sitä harjoitellut ja nimenomaan Proton Pass sovellus on käytössä ainoana salasana manager ohjelmana tällä hetkellä. Juurikin tuo salatun backupin luominen omaan haltuun ja se että laajennukseen saa oman pin koodin selaimeen sekä puhelimeen on omasta mielestä aika jees, toki nämä ominaisuudet luulisi löytyvän muiltakin. Proton sattui vain nousemaan esille kun aloin ottaa käyttöön ensimmäistä kertaa salasana manageria.

 

[ztec]

Ehkä ne salasanat vaan ihan oikeasti pitäisi unohtaa, kaikki tietää että ne on äärimmäisen ongelmallisia ja käytännössä toimimattomia tietoturvamielessä. Varsinkin kaikki sellaiset ratkaisut joissa salasanaa ei käytetä edes epäsuorasti vaan ihan suoraan. On siirtyä moderniin tekniikkaan (WebAuthn) - Kai te olette huomanneet, että mm. TechBBS tukee, em. tekkiä. Kuten pitäisi jokaisen muunkin sivuston, joka edes ripauksen välittää asiasta.
FIDO2, WebAuthn, Passwordless ja Passkeys

Salasanojakin voi käyttää koskaan paljastamattan niitä, mutta ei ole valitettavasti kovin suosittua tekniikkaa sekään:
Secure Remote Password protocol - Wikipedia

 

[asentaja142]

Ehkä ne salasanat vaan ihan oikeasti pitäisi unohtaa, kaikki tietää että ne on äärimmäisen ongelmallisia ja käytännössä toimimattomia tietoturvamielessä. Varsinkin kaikki sellaiset ratkaisut joissa salasanaa ei käytetä edes epäsuorasti vaan ihan suoraan. On siirtyä moderniin tekniikkaan (WebAuthn) - Kai te olette huomanneet, että mm. TechBBS tukee, em. tekkiä. Kuten pitäisi jokaisen muunkin sivuston, joka edes ripauksen välittää asiasta.
FIDO2, WebAuthn, Passwordless ja Passkeys

Salasanojakin voi käyttää koskaan paljastamattan niitä, mutta ei ole valitettavasti kovin suosittua tekniikkaa sekään:
Secure Remote Password protocol - Wikipedia

Itselläkin on passkey käytössä kaikkialla missä voi. Välillä vain tarvitsee iskeä salasana johonkin, tosin harvoin nykyään.

 

[pulatunnus]

Ehkä ne salasanat vaan ihan oikeasti pitäisi unohtaa, kaikki tietää että ne on äärimmäisen ongelmallisia ja käytännössä toimimattomia tietoturvamielessä. Varsinkin kaikki sellaiset ratkaisut joissa salasanaa ei käytetä edes epäsuorasti vaan ihan suoraan. On siirtyä moderniin tekniikkaan (WebAuthn) - Kai te olette huomanneet, että mm. TechBBS tukee, em. tekkiä. Kuten pitäisi jokaisen muunkin sivuston, joka edes ripauksen välittää asiasta.
FIDO2, WebAuthn, Passwordless ja Passkeys

Salasanojakin voi käyttää koskaan paljastamattan niitä, mutta ei ole valitettavasti kovin suosittua tekniikkaa sekään:
Secure Remote Password protocol - Wikipedia

Ohjelmat salasanojen säilytykseen on tarpeen jatkossakin, salasanoja, pin koodeja, muita sailaisuuksia tarve tallettaa tulevaisuudessakkin ja salasana ohjelmat mahdollistaa sen että käyttäjät ei sorru omavalintaisissa käyttämään yhtä ja samaa eri paikoissa.

Osa otsikkoon liittyvistä ohjelmista/palveluista tukee myös salasanottomia kirjatumisia, joilla voi edes osan yhdistää yhteen ja samaan ohjelmaan/palveluun.

Tietenkin voi miettiä onko parempi jakaa asoita, ettei kaikki salisuudet ole yhdessä paikkaa/palvelussa. No käytännössä nykyään niin ei voi tehdä, jos salasana tyylistä ei tueta niin se tuettujen kirjo on laaja, osalla ihan omat jutut.

Ketjussa on käsitelty eri hjelmine ja palveluiden tukemia ratkaisuja ja niiden toimivuutta ja niiden ongelmia. Ongelma se että vaatii aktiivista seurantaa ja ensin pitäisi sisäistää mitä riskejä jos valitsee johonkin palveluun "salasanattoman" kirjautumisen. Onko isompi vahinko se ettei sinnä pääsy voi estyä. Tästä muistaakseni oma ketjunsa.

 

[avokomposti]

Ehkä ne salasanat vaan ihan oikeasti pitäisi unohtaa, kaikki tietää että ne on äärimmäisen ongelmallisia ja käytännössä toimimattomia tietoturvamielessä. Varsinkin kaikki sellaiset ratkaisut joissa salasanaa ei käytetä edes epäsuorasti vaan ihan suoraan. On siirtyä moderniin tekniikkaan (WebAuthn) - Kai te olette huomanneet, että mm. TechBBS tukee, em. tekkiä. Kuten pitäisi jokaisen muunkin sivuston, joka edes ripauksen välittää asiasta.
FIDO2, WebAuthn, Passwordless ja Passkeys

En ole oikein sisäistänyt vieläkään tuota passkeys-hommaa, mutta kun lukaisin vähän uusimpia postauksia tuosta threadista niin eipä hirveästi tee mieli vaihtaa toimivista salasanoista mihinkään.

Ikäväkseni täytyy todeta, että luotettavuus jatkaa edelleen sitä samaa rataa kuin aikaisemminkin, mistä valittelin. Nyt yht'äkkiä Microsoftin WebAuthn / Passwordless login onkin hajalla. Ai että, sanoo vaan että jokin meni vikaan. No voi voi, on ollut jo pitkään. Tämä siis Windows + Firefox plattarilla. Juuri tätähän jupisinkin aikaisemmin, että on niin hienoa tekkiä, että ei edes toimi.

Edit jatkot: Testasin Firefox + Linux -> Toimii, ai että, just parasta herkkua tämä. Miten normaali käyttäjä, jolla ei ole useita avaimia, eri selaimia ja useita eri käyttiksiä voisi sitten tietää mikä meni pieleen, kun ei ole helppoa tapaa haarukoida. Nami nami.

Microsoftin osalta tämä toteutus on kyllä ollut jo kohta pari vuotta aivan levällään. Toiminta on todella satunnaista, ja samaan aikaan sitten rummuttavat, että ottakaahan kaikki tämä hieno uusi teknologia käyttöön

 

[ztec]

Tietenkin voi miettiä onko parempi jakaa asoita, ettei kaikki salisuudet ole yhdessä paikkaa/palvelussa. No käytännössä nykyään niin ei voi tehdä, jos salasana tyylistä ei tueta niin se tuettujen kirjo on laaja, osalla ihan omat jutut.

Aina näin, tuohan nyt on ihan suositeltu peruskäytäntö. Eikä siinä ole mitään uutta. Jos kaikki on yhdessä paikassa siitä muodostuu klassinen SPOF vektori.

 

[erekola]

Kyllä YubiKey on loistava valinta 2FA. Itse siirsin parille tikulle Protonista kaikki.

 

[ztec]

Ohjelmat salasanojen säilytykseen on tarpeen jatkossakin, salasanoja, pin koodeja, muita sailaisuuksia tarve tallettaa tulevaisuudessakkin ja salasana ohjelmat mahdollistaa sen että käyttäjät ei sorru omavalintaisissa käyttämään yhtä ja samaa eri paikoissa.

Mm. OPAQUE protokollan ideana on juuri se, että sillä ei ole mitään väliä vaikka käyttäisit samaa salasanaa kaikissa palveuissa, koska palvelut eivät tiedä sitä salasanaa mitä kirjautumiseen käytettiin.

Vrt. Aivan sama kuin että käytät kaikkiin palveluihin SSH avainta jossa on sama salasana tai samaa tietokonetta jossa on salasana kirjautumisessa. - Vaikka juuri tuon osastoinnin ja vuoksi juuri tämä käytäntö ei ole (muista syistä) kuin sen salasanan vuoksi suositeltava. mm. et halua käyttää samaa tunnistettavaa avainta (vaikka käyttäisitkin samaa salasanaa), sekä yliopiston palvelimelle, että sun hämärälle kriminaali-serverille. Mutta syy tuohon ei ole itse salasanan suojaaminen, vaan saman julkisen avaimen käyttäminen tarkoitukseen jossa et halua niiden välile yhdistettävyyttä. - Tosin valitettavan monet mokaa tän homman, kuten öh, uutisissakin on nähty. - Heheh.

Edit, jatkot: Elikkäs jos jotakuta jaksoi kiinnostaa oikea-oppinen nykyaikanen salasanojen käsittely, jossa palvelu ei itseasiassa tiedä sinun salasanaasi, niin tässäpä se on hyvin selitettynä ja aukikirjoitettuna:

OPAQUE & PAKE Protocols | Securing the Login Process

OPAQUE is a PAKE protocol that allows for password authentication without revealing the actual password to a server. Learn more about the OPAQUE protocol.

blog.cloudflare.com

Tässä vielä suora linkki demoon:

Cloudflare Research | Home

Kyllä YubiKey on loistava valinta 2FA. Itse siirsin parille tikulle Protonista kaikki.

Hienosti sanottu siinä mielessä, että YubiKey tukee ainakin viittä eri protokollaa. - Mutta hyvä että vaihtoehtoja on.

 

[pulatunnus]

Kyllä YubiKey on loistava valinta 2FA. Itse siirsin parille tikulle Protonista kaikki.

Verkkokauppa.com YubiKey 5C NFC -turva-avain, USB-C , en tiedä mikä sinulla, mutta onko kokemusta mobiililaitteilla, ilmeisesti ainakin NFC tuettu, ei tuossa nyt sanottu onko molemmat (Google Android, Apple)

Mutta otsikkoon liittyen onko siinä myös holvia muille salaisuuksille ja toimiiko varmuuskopiointi niille vaivatta.

No ei tuollainen keskivertoarjessa jaksa jumpata joka kirjatumista, vaan vain niitä missä riskit vaatii.

 

[erekola]

Verkkokauppa.com YubiKey 5C NFC -turva-avain, USB-C , en tiedä mikä sinulla, mutta onko kokemusta mobiililaitteilla, ilmeisesti ainakin NFC tuettu, ei tuossa nyt sanottu onko molemmat (Google Android, Apple)

Mutta otsikkoon liittyen onko siinä myös holvia muille salaisuuksille ja toimiiko varmuuskopiointi niille vaivatta.

No ei tuollainen keskivertoarjessa jaksa jumpata joka kirjatumista, vaan vain niitä missä riskit vaatii.

Itsellä juuri 2x 5 NFC. Iso työ on siirtää kaikki salaisuudet mutta eipä tarvi ikinä enään tehdä uudelleen. Ja saa aivan kaikki sinne. Myös Yubico Authenticator on todella kevyt ja mukava käyttää paikoissa jossa pitää vielä käyttää TOTP.

Tässä hyvä ohje millä itse selvisin:

How to Reset Your YubiKey and Create a Backup

This tutorial demonstrates how to reset a YubiKey close to factory defaults and create a backup of most YubiKey applications on a spare key.

www.privacyguides.org