Parhaat ohjelmat salasanojen säilytykseen

[ojisama]

Saatan olla väärässä, mutta tässä koko touhussa paistaa läpi jonkin sortin epätoivo. Jokainen tietty suhtautukoot asiaan miten parhaaksi näkee.

Aika pitkä matka dossaamisen siitä, että mobiiliversioon ei ole toteutettu exporttia, ja kolmen vaihdon (käytän mobiilia, käytänkin deskaria, käytänkin mobiilia) jäkeen voit olla lukittu mobiiliin. Ja ilmeisesti valituksen jälkeen kesti kaksi viikkoa, että tuotantoon tuli joku vipu tätä varten(?). Tosi hyvä vitsi, että alkavat tekemään rikoksia epätoivossaan.

E. Tarkistin mitä kirjoitti. Lisäsivät ylimääräisen vaihdon tilille, niin sai tiedot haettua. GDPR-uhkailu menee kyllä ohi. Muistaakseni kuukausi aikaa GDPR:n osalta tietojen saamiseen.

 

[pulatunnus]

Aika selkeästi nuo "huonosti menemiseen" viittavat asiat ovat listattuna.

Lainauksestasi
Google käännös

"• Vientitoiminnon saaminen saataville vain työpöytäselainlaajennuksen kautta, vaikka ihmisten tilit lukitaan joko Desktop- tai Mobile-tilille kolmen vaihdon jälkeen näiden alustojen välillä.
• Vahingossa tahallaan "vika" työpöytäselainlaajennuksessa, joka estää ihmisiä, joiden tilit on lukittu mobiililaitteisiinsa, voimasta viedä tietojaan.
• Vahingossa tahallaan toinen "vika" työpöytäselainlaajennuksessa, mikä tarkoittaa, että tietojen vienti työpöytäselainlaajennuksista ei kuitenkaan toimi
• Koska meillä ei ole virallista tukikanavaa tämän ongelman ratkaisemiseksi, ihmiset pakotetaan luomaan erillinen tili päästäkseen "yhteisön" foorumeille, joissa voit kirjoittaa siitä, kuinka LastPass pitää laittomasti tietojasi panttivankina, ja toivoa jonkun yrityksen vastaavan.

Eli huonosti meneminen ei viitannut siihen että yhtiöllä menee huonosti.

Vaan nimenomaan tuo että mobiilikäyttäjät ei voi massa viedä holvin sisältöä ulos palvelusta.

Desktop käyttäjä voi, tosin jostain bugista tuossa puhutaan ettei voisikaan.

Sori tyhmyys, LastPass tavis käyttäjiä on suomessakin paljon, joten arvostan että postaa firman tuomia tuntemuksista, mutta olisi iso plussa jos avataan vähän mistä kyse. Linkeillä keskustelu ei ihan se juttu.

Muuten vaikuttaa vain firman dissaamiselta.

. Referoin linkit lauseella tai parilla ja puolestani se saa riittää.

Tämä olisi mahtavaa.

.

 

[escalibur]

Sori tyhmyys, LastPass tavis käyttäjiä on suomessakin paljon, joten arvostan että postaa firman tuomia tuntemuksista, mutta olisi iso plussa jos avataan vähän mistä kyse.

Muuten vaikuttaa vain firman dissaamiselta.

LastPassia on kommentoitu tässä ketjussa aikaisemminkin. Huonosti menemisella tarkoitin lähinnä käyttäjän kannalta negatiivisia asioita, olkoot kyse noista typeristä rajoituksista taikka hintojen nostamisesta. Tietoturvan osalta, kyse on varmasti pätevästä palvelusta. Valitettavasti en ala kääntelemään linkkejä ja artikkeleita millään Google translatella siltä varalta ettei joku satu osaamaan englantia. Referoin linkit lauseella tai parilla ja puolestani se saa riittää.

Eiköhän jokaisen pointti ole tullut selväksi, joten en jaksa vatvoa tästä sen enempää.

 

[ojisama]

LastPassia on kommentoitu tässä ketjussa aikaisemminkin. Huonosti menemisella tarkoitin lähinnä käyttäjän kannalta negatiivisia asioita, olkoot kyse noista typeristä rajoituksista taikka hintojen nostamisesta. Tietoturvan osalta, kyse on varmasti pätevästä palvelusta. Valitettavasti en ala kääntelemään linkkejä ja artikkeleita millään Google translatella siltä varalta ettei joku satu osaamaan englantia. Referoin linkit lauseella tai parilla ja puolestani se saa riittää.

Eiköhän jokaisen pointti ole tullut selväksi, joten en jaksa vatvoa tästä sen enempää.

"LastPassilla ei näytä menevän erityisen hyvin. Ilmeisesti yrittävät pakotetusti pitää käyttäjät omina asiakkaina. Yrittävät siis kovasti olla "toinen Oracle". "

Vatvon nyt vielä sen verran, että toivoisin, että kirjoitukset olisi ihan asiaa. Eihän ne yritä pitää pakotetusti käyttäjiä omina asiakkainaan. Eivät siis 'kovasti yritä' olla "toinen Oracle". Deskarilla sai helposti haettua ne tiedot, ja helpparista sai tuokin ylimääräisen vaihdon hakua varten. (Ja reaalielämässä, jos ei ole päättänyt, että käyttääkö softaa deskarilla vai mobiilissa, niin montako passua siellä edes on, ne pystyisi yksitellenkin kopioimaan?)

En lue iltalehtiä kuin pakotetusti, niin vähän meh tuollaiset tiivistelmät.

E. Siirryin itse Bitwardeniin, kun halusin käyttää molemmissa, ja olen pihi. Pidän LastPassia silti snadisti parempana käyttöliittymän osalta.

 

[leripe]

Lastpass - F-Secure Key - Bitwarden premium/maksullinen. En kyllä vaihtaisi noihin aiempiin tästä.
Lastpassistä vaihdoin aikoinaan ekan tietomurron takia. Keyssä harmitti webbisovelluksen puute. Bitwardenissa en oikein ole löytänyt puutteita.

 

[SweeneyTodd]

Kellään muulla Bitwardenissa Androidilla sellaista ongelmaa, että välillä tuo tunnusten täyttö lomakkeelle ei toimi? Vie sinne listaan, missä on kaikki tunnukset eikä siihen valintalistaan, mistä klikataan täytettävät tunnukset.

 

[Leo_Greta]

Kellään muulla Bitwardenissa Androidilla sellaista ongelmaa, että välillä tuo tunnusten täyttö lomakkeelle ei toimi? Vie sinne listaan, missä on kaikki tunnukset eikä siihen valintalistaan, mistä klikataan täytettävät tunnukset.

Missä noi lomakkeet sijaitsee? Jossakin sovelluksessa, vai nettisivuilla?

 

[SweeneyTodd]

Missä noi lomakkeet sijaitsee? Jossakin sovelluksessa, vai nettisivuilla?

Vähän huonosti kirjoitettu. Eli siis ihan kirjautuminen nettisivustoille selaimessa. Samaa kyllä myös välillä sovelluksiin kirjautumisessa.

Välillä toimii hyvin, välillä ei. Joskus tuon Bitwardenin uudelleenkäynnistys auttaa joskus ei.

 

[Kautium]

Vähän huonosti kirjoitettu. Eli siis ihan kirjautuminen nettisivustoille selaimessa. Samaa kyllä myös välillä sovelluksiin kirjautumisessa.

Välillä toimii hyvin, välillä ei. Joskus tuon Bitwardenin uudelleenkäynnistys auttaa joskus ei.

Ei ole ihan samanlaisia ongelmia ollut minulla, mutta muita pieniä sekoiluja kylläkin. Joskus se ei tunnista kirjautumissivua lainkaan ja toisinaan painike änkee väkisin muiden sivulla olevien vaihtoehtojen päälle jne. Se Bitwardenin android-kikkare ei ole missään vaiheessa ollut erityisen laadukkaan oloinen, mutta pääsääntösiesti sillä on kuitenkin saanut asiansa hoidettua.

 

[leripe]

Vähän huonosti kirjoitettu. Eli siis ihan kirjautuminen nettisivustoille selaimessa. Samaa kyllä myös välillä sovelluksiin kirjautumisessa.

Välillä toimii hyvin, välillä ei. Joskus tuon Bitwardenin uudelleenkäynnistys auttaa joskus ei.

Joo välillä tekee sitä, oletan että johtuu siitä ettei se pyöri taustalla päällä kun sen käynnistämisen/avaamisen jälkeen ehdotukset tulee näkyviin taas.

 

[Juffex]

Mikähän omaan Androidin Bitwardeniin iski aivan yllättäen. Ihan sama minkä sivuston tietoja koittaa täyttää niin ilmoittaa vain: "Kohteet palvelulle --, holvissasi ei ole kohteita osoitteelle --"

Pitää manuaalisesti hakea joka sivustolle kirjautumistiedot.

Taisi hajota samoihin aikoihin kun Vivaldi päivittyi uusimpaan versioon.

 

[qazserNOS]

Mikähän omaan Androidin Bitwardeniin iski aivan yllättäen. Ihan sama minkä sivuston tietoja koittaa täyttää niin ilmoittaa vain: "Kohteet palvelulle --, holvissasi ei ole kohteita osoitteelle --"

Pitää manuaalisesti hakea joka sivustolle kirjautumistiedot.

Taisi hajota samoihin aikoihin kun Vivaldi päivittyi uusimpaan versioon.

No niinpäs näkyy olevan minunkin Vivaldin kanssa. Eiköhän tuo ole selaimen päivityksen mukana tullut bugi. Onneksi ei ole iso homma käyttää selaimessa näppäimistöstä avatun Bitwardenin hakua ja siitä painaa auto-filliä.

 

[PittiBossu]

Itselläni on nyt ollut tuo KeepassXC käytössä jo pari vuotta salasanojen hallintaan, mutta nyt tuo mobiili käyttö on alkanut kasvamaan sen verta suureksi että sen takia täytyisi etsiä sellainen vaihtoehto että mikä synkkaisi automaattisesti salasana pilvi palveluun sillä itse en ole saanut android laitteessa tuota keepassin tietokannan synkkausta toimimaan . (Eli Googledriven tiedostojakoa).
Onko tuolle Bitwardenille olemassa varteenotettavia vaihtoehtoja tällä hetkellä, joihin kannattaisi tutustua? Pieni maksullisuus ei haittaa.
F-securen password manageri on ollut työpaikalla käytössä, mutta ne muuttavat kerrran parissa vuodessa tuota tuotteen nimeä ja palvelun kokonais pakettia joten se ei kauheasti omaan käyttöön herätä luottamusta.

 

[pulatunnus]

että mikä synkkaisi automaattisesti salasana pilvi palveluun sillä itse en ole saanut android laitteessa tuota keepassin tietokannan synkkausta toimimaan .

keepass2android tiettävästi synkkaa nätisti pilvipalveluiden levytilan tallenteeseen

https://play.google.com/store/apps/details?id=keepass2android.keepass2android

 

[ontelo]

Itselläni on nyt ollut tuo KeepassXC käytössä jo pari vuotta salasanojen hallintaan, mutta nyt tuo mobiili käyttö on alkanut kasvamaan sen verta suureksi että sen takia täytyisi etsiä sellainen vaihtoehto että mikä synkkaisi automaattisesti salasana pilvi palveluun sillä itse en ole saanut android laitteessa tuota keepassin tietokannan synkkausta toimimaan . (Eli Googledriven tiedostojakoa).
Onko tuolle Bitwardenille olemassa varteenotettavia vaihtoehtoja tällä hetkellä, joihin kannattaisi tutustua? Pieni maksullisuus ei haittaa.
F-securen password manageri on ollut työpaikalla käytössä, mutta ne muuttavat kerrran parissa vuodessa tuota tuotteen nimeä ja palvelun kokonais pakettia joten se ei kauheasti omaan käyttöön herätä luottamusta.

Nyt useampaan tutustunu, niin 1Password on ehdottomasti paras. Vähän kalliimpi se on kun noi muut.

Mikä erottanu sen eniten muista on toi tuki täydentää subdomainille erikseen ja 2FA täyttömahdollisuus.

 

[escalibur]

Itselläni on nyt ollut tuo KeepassXC käytössä jo pari vuotta salasanojen hallintaan, mutta nyt tuo mobiili käyttö on alkanut kasvamaan sen verta suureksi että sen takia täytyisi etsiä sellainen vaihtoehto että mikä synkkaisi automaattisesti salasana pilvi palveluun sillä itse en ole saanut android laitteessa tuota keepassin tietokannan synkkausta toimimaan . (Eli Googledriven tiedostojakoa).
Onko tuolle Bitwardenille olemassa varteenotettavia vaihtoehtoja tällä hetkellä, joihin kannattaisi tutustua? Pieni maksullisuus ei haittaa.
F-securen password manageri on ollut työpaikalla käytössä, mutta ne muuttavat kerrran parissa vuodessa tuota tuotteen nimeä ja palvelun kokonais pakettia joten se ei kauheasti omaan käyttöön herätä luottamusta.

Suosittelen kokeilemaan Bitwardenia. 1Passwordissa on joitakin parempia ominaisuuksia, mutta en tiedä ovatko ihan hintaeronsa arvoisia yksittäiskäytössä. Jos päätät ottaa 1Passwordin, muista käyttää .eu-domainia, muuten datat säilytetään Pohjois-Amerikan AWS:ssä EU:n AWS:n sijaan.

Yleisesti siis, kumpikin on loistava työkalu tähän tarkoitukseen.


ps. En käyttäisi salasanaohjelmiston omaa 2FA/MFA:ta, vaan koodit kannattaa arpoa esim Authyllä. Muussa tapauksessa pääsy salasanahallintaan, saattaa mahdollistaa pääsyn 2FA/MFA:n takana oleviin palveluihinkin.

 

[Jerba_]

ps. 2FA/MFA:ta en käyttäisi kummankaan yhteydessä, vaan koodit kannattaa arpoa esim Authyllä. Muussa tapauksessa pääsy salasanahallintaan, saattaa mahdollistaa pääsyn 2FA/MFA:n takana oleviin palveluihinkin.

Sori en oikein ymmärrä mitä tarkoitat tällä. Bitwarden ollut käytössä itsellä 2FA:n kanssa jo pitkän aikaa? Miten käyttämällä 2FA:ta joku voisi mitenkään saada sen 2FA:n käyttöön ilman sun puhelinta?

 

[Desgorr]

Sori en oikein ymmärrä mitä tarkoitat tällä. Bitwarden ollut käytössä itsellä 2FA:n kanssa jo pitkän aikaa? Miten käyttämällä 2FA:ta joku voisi mitenkään saada sen 2FA:n käyttöön ilman sun puhelinta?

Bitwardenia voi käyttää myös autentikaattorina noille TOTP, eli 2FA koodeille. Tätä en kyllä itsekään suosittele vaan kannattaa käyttää erillistä puhelimessa olevaa autentikaattoria, kuten Authy, Google Authenticator, jne...

Jos joku pääsee luvattomasti Bitwardenin tiliisi käsiksi, niin saa sieltä generoitua myös nuo vaihtuvat TOTP koodit. Jos taas käytät erillistä ohjelmaa koodien generointiin, niin ei saa tietoon kuin salasanat.

 

[escalibur]

Bitwardenia voi käyttää myös autentikaattorina noille TOTP, eli 2FA koodeille. Tätä en kyllä itsekään suosittele vaan kannattaa käyttää erillistä puhelimessa olevaa autentikaattoria, kuten Authy, Google Authenticator, jne...

Jos joku pääsee luvattomasti Bitwardenin tiliisi käsiksi, niin saa sieltä generoitua myös nuo vaihtuvat TOTP koodit. Jos taas käytät erillistä ohjelmaa koodien generointiin, niin ei saa tietoon kuin salasanat.

Siinä se tulikin. Ilmaisin asiani hieman huonosti.

2FA/MFA:n kannattaa toisaan pitää niin erillään kuin vain mahdollista. Authy on sen takia hyvä valinta, koska sitä voi käyttää useammalla eri laitteella yhtä aikaa, tosin kuin esim. Google/Microsoft Authenticatoria.

 

[SweeneyTodd]

Onko tuolle Bitwardenille olemassa varteenotettavia vaihtoehtoja tällä hetkellä, joihin kannattaisi tutustua? Pieni maksullisuus ei haittaa.

Onko Bitwardenissa joku vika, miksi sille pitäisi etsiä vaihtoehtoja? Olisi ehkä helpompi ehdottaa vaihtoehtoa, jos tietäisi mitä siitä puuttuu tai on huonoa. Omassa käytössä tuo on ollut oikein mainio.

 

[ojisama]

Siinä se tulikin. Ilmaisin asiani hieman huonosti.

2FA/MFA:n kannattaa toisaan pitää niin erillään kuin vain mahdollista. Authy on sen takia hyvä valinta, koska sitä voi käyttää useammalla eri laitteella yhtä aikaa, tosin kuin esim. Google/Microsoft Authenticatoria.

Viestin innoittamana kirjauduin myös tabletilla Microsoft Authenticatoriin. Mitä rajoituksia tuossa siis on?

 

[escalibur]

Viestin innoittamana kirjauduin myös tabletilla Microsoft Authenticatoriin. Mitä rajoituksia tuossa siis on?

Viimeksi kun testasin mm. synkkaus laitteiden väliltä ei toiminut. Toimiiko se nyt? Toinen ärsyke oli palauttaa MS Authenticatorin varmistuksista. Kävi ilmi että se varmisti tunnukset, mutta ei "QR-koodi" eli kaikki MFA:t piti resetoida tämän rajoituksen vuoksi.

 

[neko]

2FA/MFA:n kannattaa toisaan pitää niin erillään kuin vain mahdollista. Authy on sen takia hyvä valinta, koska sitä voi käyttää useammalla eri laitteella yhtä aikaa, tosin kuin esim. Google/Microsoft Authenticatoria.

Täytynee kokeilla Authya, mutta em. ohjelmia voi käyttää yhtä aikaa useammalla laitteella. Silti tosiaan aion kokeilla mainitsemaasi Authya, koska mitenkään erityisen tyytyväinen en ole Googlen tai MS:n vastaaviin. Aina vaan tuntuu kestävän itsellä nämä siirtymiset, kesken on Google -> MS (ja ehkä jääkin).

 

[Obi-Lan]

Viimeksi kun testasin mm. synkkaus laitteiden väliltä ei toiminut. Toimiiko se nyt? Toinen ärsyke oli palauttaa MS Authenticatorin varmistuksista. Kävi ilmi että se varmisti tunnukset, mutta ei "QR-koodi" eli kaikki MFA:t piti resetoida tämän rajoituksen vuoksi.

Ei se lennossa synkkaa edelleenkään, backupeista se mielestäni osasi palauttaa yksinkertaisella koodilla toimivat muut palvelut, mutta ei mitään MS tilejä. Nykyäänhän tuossa on myös salasana synkkaus mikä synkronoi Edgeen tallennetut salasanat.

TOPT koodi on pääsääntöisesti ollut 16-32 merkkiä pitkä random string pelkkiä kirjaimia, jos sen saa kaivettua QR koodin takaa tekstimuotoon niin senhän voi tallentaa Exceliin, Notepadiin, omaan Keepass kantaan sekä useimmat muut passu managerit tai vaikka kaikkiin yhtä aikaa. Noiden pyörittely on käynyt raskaaksi sitä mukaan, kun palvelut lisääntyy niin itse en jaksa pitää erillään muuta kuin muutaman tärkeimmän palvelun koodit.

Passumanagerin murto on aina riski, mutta en ole nähnyt vielä juttua, että noita olisi urakalla murrettu? Isompi riski taitaa olla se, että malware nappaa selaimen cookiesta kirjautumiscookien ja ohittaa sillä palvelun passun ja MFA kyselyt. Toi siis mahdollista jos selain muistaa kirjautumisen eikä kirjaudu joka käyttökerran jälkeen palvelusta kokonaan ulos.

 

[escalibur]

Ei se lennossa synkkaa edelleenkään, backupeista se mielestäni osasi palauttaa yksinkertaisella koodilla toimivat muut palvelut, mutta ei mitään MS tilejä. Nykyäänhän tuossa on myös salasana synkkaus mikä synkronoi Edgeen tallennetut salasanat.

TOPT koodi on pääsääntöisesti ollut 16-32 merkkiä pitkä random string pelkkiä kirjaimia, jos sen saa kaivettua QR koodin takaa tekstimuotoon niin senhän voi tallentaa Exceliin, Notepadiin, omaan Keepass kantaan sekä useimmat muut passu managerit tai vaikka kaikkiin yhtä aikaa. Noiden pyörittely on käynyt raskaaksi sitä mukaan, kun palvelut lisääntyy niin itse en jaksa pitää erillään muuta kuin muutaman tärkeimmän palvelun koodit.

Passumanagerin murto on aina riski, mutta en ole nähnyt vielä juttua, että noita olisi urakalla murrettu? Isompi riski taitaa olla se, että malware nappaa selaimen cookiesta kirjautumiscookien ja ohittaa sillä molemmat passun ja MFAn. Toi siis mahdollista jos selain muistaa kirjautumisen eikä kirjaudu joka käyttökerran jälkeen palvelusta kokonaan ulos.

Tilien paluttaminen varmistuksista tai ylipäättäen koko asian hallinta lienee yhä yhtä suurta sotkua ja säätöä. Teknisen henkilön näkökulmasta säätö voisi jopa onnistua, mutta tavallisten käyttäjien osalta kyse voi olla melkoisesta painajaisesta. Siksi suosittelinkin Authyä koska se lienee yksi vähiten ongelmallisimmista, vaikka sekään ei ole täydellinen.

Passumanagerin murto on ainakin teoriatasolla mahdollinen, joskin miltei äärettömän epätodennäköinen. Omien tunnusten joutuminen vääriin käsiin (tavalla tai toisella), on taas huomattavasti todennäköisempi tilanne. Tämän takia 2FA/MFA-koodit on hyvä pitää erillään, koska silloin eri tunnusten hyväksikäyttö on astetta hankalampi, vaikka osa palveluista sortuisikin salasanan resetointiin ilman MFA-tietoa.

 

[Jerba_]

Bitwardenia voi käyttää myös autentikaattorina noille TOTP, eli 2FA koodeille. Tätä en kyllä itsekään suosittele vaan kannattaa käyttää erillistä puhelimessa olevaa autentikaattoria, kuten Authy, Google Authenticator, jne...

Jos joku pääsee luvattomasti Bitwardenin tiliisi käsiksi, niin saa sieltä generoitua myös nuo vaihtuvat TOTP koodit. Jos taas käytät erillistä ohjelmaa koodien generointiin, niin ei saa tietoon kuin salasanat.

Okei joo ymmärsin siis väärin. Bitwardeniin kirjautumisessa on siis itsellä käytössä 2FA. Puhelimessa taas sitten nuo erilliset 2FA-ohjelmat, joita mm Bitwarden käyttää

Edit. Lisätään vielä ymmärsin että suositeltiin käyttämään Bitwardenia ilman että ottaa siihen kaksivaiheisen kirjautumisen käyttöön. Niin ei siis todellakaan kannata tehdä!

 

[pulatunnus]

vaikka osa palveluista sortuisikin salasanan resetointiin ilman MFA-tietoa.

Erilaisissa monivaiheisissa tunnistuksissa on äärimäisen tärkeää että palveluun voi kirjautua jos menettää kyisessä palvelussa käytetyn toisen vaiheen tunnistusmenetelmän. Jos käyttää jotain ohjelmallista systeemiä, niin sen varmuukopion/vaihtoehdon pitää olla luotettavasti toimiva. Jos pitää tehdä käsin varmuuskopio/peilaus niin menee vähän riski jutuksi. Jos toinen vaihe on jostain palvelusta riippuvainen, niin sille pitäisi olla vaihtoehto jne.

 

[escalibur]

Erilaisissa monivaiheisissa tunnistuksissa on äärimäisen tärkeää että palveluun voi kirjautua jos menettää kyisessä palvelussa käytetyn toisen vaiheen tunnistusmenetelmän. Jos käyttää jotain ohjelmallista systeemiä, niin sen varmuukopion/vaihtoehdon pitää olla luotettavasti toimiva. Jos pitää tehdä käsin varmuuskopio/peilaus niin menee vähän riski jutuksi. Jos toinen vaihe on jostain palvelusta riippuvainen, niin sille pitäisi olla vaihtoehto jne.

Onhan se tärkeää, mutta ei mitenkään itsestäänselvää. Esim Bitwardenin tapauksessa Master Keyn unohtaminen voi ja oikeastaan johtaakin koko Vaultin menettämiseen. (Muokattua yritysversiota poisslukien) I Forgot my Master Password | Bitwarden Help & Support Tätä voidaan pitää myös hyvänäkin asiana, koska salaustehdän Master Key:tä vastaan.

MFA/2FA unohtumisen kohdalla menee palvelukohtaisesti, kuka vaatii minkälaisiakin todisteita. Osa on vaatinut jopa virallisen henkilötodistuksen skannaamista ja lähettämistä aspaan yms. Tavalla tai toisella luvassa on isompaa tai pienempää säätöä.

 

[pulatunnus]

Noille 2FA:n palautuskoodeille ym. on ihan kätevää tehdä vaikka ihan erillinen KeePass-tietokanta, niin pysyvät turvallisesti tallessa. Niitä kun ei kannata laittaa myöskään samaan koriin tavallisten tunnusten kanssa.

Tuossa aiemmassa viestissä hain sitä että jos jotain softa/palvelu juttua suositellaan ja jos se ei synkkaa ja toimia useammassa laitteessa yhtäaikaa, ilman käyttäjän jumppaa ja intoa harrastaa, + se että toimii vaikka palvelu kaatuisi, muutoin se on nopeasti tie pahoihin ongelmiin.
Sama myös se että jos suositellaan palveluihin monivaiheista tunnistautumista, niin ykkös juttu on se että nimenomaan on monivaiheinen tunnistus on sellainen jos yksi vaadituista ei ole käytössä, niin kirjautuminen onnistuu.

Monella keskivertokäyttäjällä on varmaa kokemusta pankkien tunnistaumisilla, joiden käyttö voi jymähtää siihen että se puhelin ei olekkaan käytössä ja varapuhelin jossa hommien pitäisi toimia onkin vuoden parin lepäämisen jälkeen vaatimassa jotain ihme prosessia.

Pankki tunnistautuminen on toki tieturvaltaankin niin kriittinen että se oma lukunsa mutta erilaisissa humppa palveluissa isompiriski on se ettei palvelu ole käyttäjän käytössä, vs se että tieturva estää luvallisen käytön.

Noille 2FA:n palautuskoodeille ym. on ihan kätevää tehdä vaikka ihan erillinen KeePass-tietokanta, niin pysyvät turvallisesti tallessa. Niitä kun ei kannata laittaa myöskään samaan koriin tavallisten tunnusten kanssa.

Jos katsotaan tarpeelliseksi että pitää olla kaksi eri holvia, KeePass ohjelmia voi asentaa useampia, tai yhdellä käyttää useampaa tietokantaa, mutta niiden palautuskoodien tallentaminen pitäisi olla helppoa, eli vaatis sellaisen ohjelman joka ne sinne hautaisi vaivatta, siis ihan yhdellä laitteella operoidessa.

 

[pulatunnus]

Kuten aiemmin ehdotettiin, niin kannattaa pitää ne 2FA-koodit muualla, erillisessä autentikaatio-ohjelmassa. Tietääkseni jokaisella yleisellä KeePass-ohjelmalla voi käyttää useaa tietokantaa yhtäaikaa. KeePassXC:llä pitäisi onnistua sekin, että jos sinulla on auki kaksi tietokantaa jossa toisessa vain 2FA:t pelkkien URL:ien kera, selainlaajennus osaa noukkia ne sieltäkin.

Synkkahommissa Android-laitteen kera Syncthing taitaa olla aika ylivoimainen.

Ok, eli jos Androidissa KeePassXC + Syncthing, niin KeePassXC poimii selain laajennoksella ne koodit talteen?
Edit:
Taisit tuossa tarkoittaa PCtä ja siinä jotain selain laajennusta.

Eli ajatuksesi oli se että palvelu kohtaisesti tallentelet palvelun erillisen "palautuskoodit", selain laajennoksella.

Eli jos käyttää jotain monivaiheista tunnistus sovellusta/palvelua, niin riittääkö sieltä yhden palautuskoodin tallentaminen. Siis ilmeisesti osassa onnistuu, osassa ei. Jolloin ei tarvi pitää kahta tietokantaa auki.

Siis tässä nyt haetaan juttua joka olisi vaivaton tavis käyttäjälle.

 

[leripe]

Jos pilvi ei pelota, niin en voisi itse suositella oikein muita kuin Bitwarden ja Authy. Hirveästi kätevämmäksi ei touhua saa ja myös halpaa.

 

[PittiBossu]

Onko Bitwardenissa joku vika, miksi sille pitäisi etsiä vaihtoehtoja? Olisi ehkä helpompi ehdottaa vaihtoehtoa, jos tietäisi mitä siitä puuttuu tai on huonoa. Omassa käytössä tuo on ollut oikein mainio.

Ei tuosta puutu mitään sellaista mitä tarvitsisin. Halusin vaan tietää onko sille mitään muuta varteen otettavaa vaihtoehtoa.

keepass2android tiettävästi synkkaa nätisti pilvipalveluiden levytilan tallenteeseen

https://play.google.com/store/apps/details?id=keepass2android.keepass2android

Mutta koitan nyt tätä että kuinka toimii Google Driven kanssa. Kun ongelma oli tosiaan tuon android laitteen synkkauksessa.

 

[escalibur]

Ei tuosta puutu mitään sellaista mitä tarvitsisin. Halusin vaan tietää onko sille mitään muuta varteen otettavaa vaihtoehtoa.

Muutamia vuosia Bitwardenia käyttäneenä tässä ovat tähänastiset löytämäni puutteet:

- Pilviversio sijaitsee USA:n Azuressa. Toistaiseksi ei ole olemassa esim. "EU"-vaihtoehtoa. Itse hostattu versio ei ole sama asia.
- Pilviversiossa ei ole WAF (Web Application Firewall) esim. 1Passwordin tapaan. Olisi kätevää rajoittaa omaa portaalia esim "Salli vain suomalaiset IP:t, estä loput mukaan lukien VPN:t, VPS-palvelutarjoajat yms). Bitwardenilla ei ole alidomain-portaalia, joten tämän poissaolemisen voi jotenkin vielä ymmärtääkin.
- Käyttöliittymä ei välttämättä ole kaikkien mieleen. Itse arvostan loogista ja nopeaa käyttöliittymää, joten ainakaan itse en kaipaa ylimääräisiä #yolo-animaatioita ja viiveitä.
- Salasanojen jakaminen on yhä rajallinen vrt. 1Passwordiin jossa salasana voi jakaa sähköpostilla esim domain-kohtaisesti ajan umpeutumissääntöineen yms.

Hinta/laatu/käytettävyys-suhteeltaan Bitwarden on ylivoimaisesti paras testaamani ja löytämäni vaihtoehto.

 

[escalibur]

Tähän täytyy toki lisätä ainakin se seikka, että ilman nettiyhteyttä tietokantaasi et voi lisätä sinne mitään uutta, tai muokata sitä. Mahdolliset katkokset palvelussa vaikuttavat isoon osaan käyttäjiä kerralla. Vai onko tuohon asiaan tullut jo jotain edistystä?

En ole perehtynyt asiaan, koska äkkiseltään en keksi tilannetta jossa on tarvetta lisäillä asioita Bitwardeniin ilman toimivaa nettiyhteyttä. Ehkä joku konesalissa nukkuva ja asuva on eri mieltä asiasta.

Mahdolliset katkokset palveluun vaikuttavat samalla tavalla kuten vaikkapa Gmailin, Microsoft 365:n, Adobe Creative Cloudiin, Netflixiin jne jne. Se on maailma jossa nyt eletään.

 

[pulatunnus]

En ole perehtynyt asiaan, koska äkkiseltään en keksi tilannetta jossa on tarvetta lisäillä asioita Bitwardeniin ilman toimivaa nettiyhteyttä. Ehkä joku konesalissa nukkuva ja asuva on eri mieltä asiasta.

Mahdolliset katkokset palveluun vaikuttavat samalla tavalla kuten vaikkapa Gmailin, Microsoft 365:n, Adobe Creative Cloudiin, Netflixiin jne jne. Se on maailma jossa nyt eletään.

Osa noista toimii offline.

Siis oletan että tässä haetaan sitä tilannetta että voi tallentaa, tai muuttaa tietoja ilman yhteyttä ja ennenkaikkea voi käyttää. Se ei ole kovin tavaton tilanne.

Eli se tilanne kuin luot uuden tietueen, niin oltava varma että se myös tallentuu, tai jos muutat salasanan niin se myös tallentuu. En muita mikä ohjelma oli sellainen että käyttöliittymä/ohjelma oli sen verran kökkö että saattoi hukata tietueen muutokset, jos homma jäi kesken. Eli tallensi vasta kun sai muokkauksen, tai uuden tietueen valmiiksi, ei siis ollut edes yhteydestä kiinni.

Edit:
Ja jos ei ole yhteyttä pilveen, niin päivittää muutokset kun yhteys on käytettävissä. ja historia oletuksena säilyy. synkki ristiriidoista kertoo, ja molemmat säilyy historiassa.

 

[user9999]

Itsellä on käytössä Applen oma iCloud Keychain niin se ei tarvitse nettiyhteyttä jos haluaa lisätä uuden salasanatiedon tms. tai muokata olemassa olevaa. Nuo tallentuu laitteelle. iCloud keychain synkka sitten tarvii nettiyhteyden, jotta tiedot päivittyvät muille laitteille.
iCloud Keychainissa ei ole mitään webbisivua, mistä pääsisi tarkastelemaan sinne tallennettuja salasanoja.

Sama homma jos on käytössä iCloud Keychain Verification koodit.
With iCloud Keychain verification codes, iPhones, iPads, and Macs generate verification codes entirely offline, reducing the risk associated with sending them online. iCloud Keychain synchronizes codes across all of the user’s devices.

 

[pulatunnus]

Itsellä on käytössä Applen oma iCloud Keychain niin se ei tarvitse nettiyhteyttä jos haluaa lisätä uuden salasanatiedon tms. tai muokata olemassa olevaa. Nuo tallentuu laitteelle. ...

Tuossa vähän se ongelma että toimii vain Applen omissa tuetuissa laitteissa.
En nyt tilannetta tarkistanut, niin lisämutkia on tuonut se että miten tiedot saa vietyä sieltä ulos (näppärästi).

 

[user9999]

Tuossa vähän se ongelma että toimii vain Applen omissa tuetuissa laitteissa.
En nyt tilannetta tarkistanut, niin lisämutkia on tuonut se että miten tiedot saa vietyä sieltä ulos (näppärästi).

Toimii ehkä Windowssissa. En ole testannu

Set up iCloud Passwords on your Windows computer

Set up iCloud Passwords in iCloud for Windows so you can manage and autofill your passwords on your PC.

support.apple.com

Jossain päivityksessä tuli Monterey käyttikseen export/import ominaisuus.

1Password tuotteella on myös tuohon ohje.

Move your iCloud Passwords from Safari to 1Password | 1Password Support

Transfer your passwords from Safari on your Mac into 1Password using the 1Password apps or on 1Password.com.

support.1password.com

 

[escalibur]

Harvinainen tilanne ehkä, mutta ei mahdoton. Puhuin kuitenkin lähinnä tilanteesta jossa netti kyllä muuten toimii mutta Bitwardenin palvelut eivät. Backupien osalta taitaa monilla olla myös niin, että Bitwardenista exportataan KeePass-tietokantaan?

EDIT: Ainiin. Puuttuuhan Bitwardenista myös Auto-Type (toivottu jo ainakin neljä vuotta sitten), eli salasanojen täydennys jonnekin muualle kuin selainikkunaan. Jotain kolmannen osapuolen kötöstyksiä siihen näyttäisi löytyvän, mutta ohjelmassa itsessään ei moista taida olla?

Silloin kun oma netti toimii ja palvelu X ei, on taas ihan tilanteesta ja itse palvelusta kyse. Vaikka osa palveluista toimiikin offline-tilassa edes joten-kuten, aivan varmasti monesta palvelusta löytyy ominaisuuksia ja asioita jotka ovat riippuvaisia palvelun online-tilasta. En väitä että Bitwarden olisi tällä saralla erityisen hyvä ja valitkoot käyttäjät minkä tahansa muun työkalun, jos se palvelee heitä paremmin.

Backupien käytännöistä en osaa sanoa. Luultavasti jokainen huolehtii asiasta omalla tavalla, jos huolehtii. Tässäkään Bitwarden ei ole minkälainen poikkeus suuntaan eikä toiseen.

Auto-Type-yms ominaisuudet ovat vähän niin ja näin, aikakaudella jossa "kukaan ei enää koodaa softaa Windowsille". Poikkeustapauksia löytyy varmasti miljoonia, mutta toisaalta taas ymmärrän Bitwardenin kehittäjien prioriteettejä, panostaa huomattavasti kysyttympiin ominaisuuksiin.

Käyttäkööt kuitenkin jokainen sitä työkalua joka toimii omassa käytössä parhaiten. Tärkeintä on että on edes joku salasanojen työkalu käytössä.

 

[leripe]

Harvinainen tilanne ehkä, mutta ei mahdoton. Puhuin kuitenkin lähinnä tilanteesta jossa netti kyllä muuten toimii mutta Bitwardenin palvelut eivät. Backupien osalta taitaa monilla olla myös niin, että Bitwardenista exportataan KeePass-tietokantaan?

EDIT: Ainiin. Puuttuuhan Bitwardenista myös Auto-Type (toivottu jo ainakin neljä vuotta sitten), eli salasanojen täydennys jonnekin muualle kuin selainikkunaan. Jotain kolmannen osapuolen kötöstyksiä siihen näyttäisi löytyvän, mutta ohjelmassa itsessään ei moista taida olla?

Tuohan puuttuva juttu on kätevästi integroitu näppäimistön yläpalkkiin, esim. swiftkeyssä.

 

[leripe]

Tietokoneella, työpöytäkäytössä? Miten täytät tunnuksesi esim. Steamin kirjautumisikkunaan?

Aaa, niin paljon vähemmän tarvii pc:llä lätkiä salasanoja, niin en edes haluaisi tuollaista integraatiota sovelluksiin.

 

[escalibur]

Tuo pasteamani Auto-Type -ketju on melko pitkä monen vuoden ajalta, joten tuo on ehdottomasti yksi sen kysytyimpiä ominaisuuksia. Lähes jotain työpöydällä oleva Electron-pohjainen sovellus (eli löytyy kaikille yleisimmille deskarikäyttiksille), oli se sitte Steam, Discord, tai mikä tahansa muu, ei toimi kirjautumiseen Bitwardenin kanssa muuten kuin leikepöydän kautta. Se taas ei ole turvallinen tapa täyttää salasanoja.

Kysehän oli nyt Bitwardenin puutteista, ei siitä mikä työkalu toimii omassa käytössä parhaiten.

Eipä kukaan väittänytkään etteikö se olisi Bitwardenin puute. Itse en näe tuossa asiassa suurta ongelmaa, koska salasanojen kopiointi leikepöydän kautta on yhä äärimmäisen yleistä johtuen eri softien yhteensopivuusrajoituksista. Tietoturvan kannalta tässä on joitakin riskejä, mutta ottaen huomioon menetelmän suosion uskoisin että tästä uutisoitaisiin päivittäin jos ongelma olisi riesaksi asti. Jossitelulla voidaan toki maalailla vaikka minkälaisia tarinoita.

Steam, Discord yms sovellukset ovat sellaisia joihin ainakin itse kirjaudun kenties muutaman kerran vuodessa. Oletan että suurin osa käyttäjistä ei kirjaudu näihin päivittäin, vaan tallentaa kirjautumistiedot itse sovellukseen. Saatan toki olla väärässäkin.

Ja kyllä jokaisesta tuotteesta voidaan löytää niitä puutteita jotka eivät sovi omaan käyttöön. Olkoot se sitten Bitwardenin Auto-Type, 1Passwordin suljettu lähdekoodi, tai KeePassin kömpelyys kun käytetään useampaa laitetta eikä haluta pyöritellä kantoja siellä sun täällä jne, jne. Onneksi on vaihtoehtoja mistä valita.

 

[pulatunnus]

Eipä kukaan väittänytkään etteikö se olisi Bitwardenin puute. Itse en näe tuossa asiassa suurta ongelmaa,...

Tuossa samaa mieltä että yksilölliset tarpeet voivat poiketa muiden tarpeista suuresti, jos jollekkin iCloud Keychain on erinomainen, niin voi silti mainita että toimii vain Applen tuotteissa/palveluissa.

Lukijaa, palvelua/ohjelmaa harkitsevaa kiinnostaa erityisesti ne haasteet, mainokset huutaa hyväpuolia, mutta ne puutteet, ongelmat, rajoitukset on se piilosta kaivettava hyvään valintaan vaikuttava juttu.

Jos itsesstäänselvyydet puuttuu niin ei niitä monikaan muista kysyä tai jos muistaa, niin ei kehtoo.

- Integrointi selaimiin, käyttöjärjestelmään, se on tärkeä kahdesta syystä, yksi niiden salasanojen tallentamisen ja luomisen takia, toinen, niin tunnusten käyttämisen takia. Jos se toimii, niin tietokanta ajantasalla, ja ei sorru käyttään muista minut jne. Tallentaminen on oikeasti tärkeä juttu. "Autotype" on tietoturvajuttu. dissataan laiskureita, mutta skipataan perusjuttuja.


- Ohjelma/palvelu tukee yleisempiä alustoja, osa vetää ensisijaisesti mobiililla, osa työpöydällä, Apple, Android, MS Apple. Googlella on näppärä (peruskäyttää), mutta vain jos vetelee ainoastaan Googlen tuotteilla, Applella on näppärä, mutta vain jos vetelee ainoastaan Applen tuotteilla.

- Asenna ja käytä (unohda), se on se juttu, jos joutuu välillä jumppaa, säätään, niin se vähän rikkoo koko ideaa. Vertaa virus/nettiturva ohjelmat.

 

[user9999]

Itse en käytä helpolla palveluja, jotka lisäävät selaimeen laajennuksia.

On käyttöjärjestelmän tehtävä tarjota noin "yksinkertainen" juttu.
Lastpassilla taisi olla aikoinaan tietoturvaongelmia niin päivityksiä tuli juuri selain pluginiin kun sitä käytin.

Edit: macOS ja Safari kyseessä.

 

[kntkvtknt]

LastPass tapahtui tietovuoto:

Lisätietoa Notice of Recent Security Incident - The LastPass Blog

Tietovuoto ei paljastanut asiakkaiden salasanoja vaan kohdistui muualle LastPassissa.

 

[juuhokei]

Jäipä paska maku Keeperistä. Kokeilin vuoden verran jollain -70% koodilla ja nyt tuli sähköpostiin sitten ilmoitus:

Oletin että tätä jos ei uusi tuolla Renew Now -napilla, niin tilaus loppuu ja that's it. No eikä mitä, kortilta lähtenyt 43,39€ mikä on mielestäni aika sikahinta muutenkin vuoden tilauksesta salasananhallintasoftaan. Asiakaspalvelu tuon nyt lupasi kuitenkin hyvittää, ei ole vielä tapahtunut mutta uskotaan näin kun vasta eilen tuli ilmoitus. Sanoivat että heillä on aina automaattinen uusiminen mutta aika jännä ettei edes hallintasivulla ole mahdollisuutta tuota automaattiveloitusta ottaa pois tai poistaa kortin tietoja ja siellä on vain renew-nappi millä pitäisi tilaus uusia.

Noh siirryin ilmaiseen Bitwardeniin minne näppärästi sai salasanat vietyä eikä mielestäni häviä mitenkään tälle maksulliselle Keeperille.

 

[Neo Cortex]

Bitwarden edelleen käytössä ja maksan tukimielessä 10€/vuodessa tyytyväisenä, vaikka ilmaisellakin pärjäisin ihan hyvin. Sen verran mahtava softa kyseessä omasta mielestä.

 

[Obi-Lan]

Bitwarden on nostanut $100M sijoittajilta: Open source password manager Bitwarden raises $100M

Sanoisin, että 10 vuoden sisällä menee LastPassin tielle kun sijoittajat alkavat vaatia tuottoja. Toki tässä casessa on erilaista koodin avoimuus mistä todennäköisesti spinnaa uusia forkkeja.

 

[Jote]

Bitwarden on nostanut $100M sijoittajilta: Open source password manager Bitwarden raises $100M

Sanoisin, että 10 vuoden sisällä menee LastPassin tielle kun sijoittajat alkavat vaatia tuottoja. Toki tässä casessa on erilaista koodin avoimuus mistä todennäköisesti spinnaa uusia forkkeja.

Tulee etäisesti tai vähemmän etäisesti mieleen Owncloud ja Nextcloud.

 

[pilipalipuu]

Koetin selata ketjua hetken, mutta ei löytynyt ensisilmäyksellä täältä eikä hausta: Onko joku ilman sidonnaisuuksia vaivautunut koostamaan asiaa aloittelijoille suomeksi? Olisin kiitollinen jos joku asiaa tunteva saisi alkeet jopa ketjun aloitusviestiin (tai jos aloitusviestin kirjoittaja ei enää katsele ketjua, niin koostaja tekisi sitten uuden ja lukitsisi tämän vanhan). Saisi ainakin nykyhetken koosteen laajempaan jakoon, vaikka koostaja ei sitä lupautuisikaan päivittämään. Miksei olisi jopa artikkelin arvoinen asia, on ainakin ajankohtainen nyt kun turvallisuudesta puhutaan paljon.

Onko bitwarden nyt se mihin ohjata oletuksena, jos niin miksi tarkalleen, ja mitä odottaa?