Jak klienci mogą łatwo i bezpiecznie wysyłać mi hasła? [Zamknięte]

39

Często muszę uzyskiwać hasła od klientów FTP, SSH, MySQL, Authorize.net itp.

Jak w łatwy sposób bezpiecznie przesyłają mi hasła? Może nawet bez potrzeby logowania / hasła?

Sesje zaszyfrowanych wiadomości błyskawicznych są kłopotliwe z konfiguracją bez technologii. Rozmowy telefoniczne przerywają moją koncentrację i wymagają umówienia się. (Czy połączenia VOIP są bezpieczne?)

Idealny: łatwy sposób na wysyłanie zaszyfrowanych wiadomości e-mail przez osoby nie znające się na technologii . PGP / GPG tego nie robi , chyba że Outlook ma jakiś super łatwy wbudowany kreator. (Nigdy nie wiesz...?)

Dobrze: Bezpieczny system wiadomości internetowych (mam nadzieję, że w PHP), który mógłbym hostować i uruchamiać przez SSL. Nie byłem w stanie znaleźć czegoś takiego.

Może pytam niewłaściwą lub niewłaściwą drogę. Wszelkie sugestie są mile widziane!

Adam DiCarlo
źródło
2
To, że znają twoje hasło, jest dość dużym problemem bezpieczeństwa
Ciaran,
1
Uwaga - to pytanie jest duplikatem stackoverflow.com/questions/1262424/... (Adam najwyraźniej nie wiedział o funkcji migracji pytania) - jeśli pytanie jest migrowane tutaj do superużytkownika, jedno lub drugie należy zamknąć jako duplikat .
bdonlan,
4
Nigdy nie znają moich haseł, ale muszę znać ich mnóstwo, będąc ich programistą.
Adam DiCarlo,
1
Powiązane pytanie dotyczące ServerFault: serverfault.com/questions/61402/…
Tim Lytle,
1
Istnieje również onetimesecret.com, jest to oprogramowanie typu open source i usuwa hasło po jego obejrzeniu. Więc jeśli możesz to zobaczyć, nikt inny tego nie zrobił.
PiTheNumber

Odpowiedzi:

13

Twój pomysł na internetowy system przesyłania wiadomości mógłby zostać zaimplementowany w kilkudziesięciu liniach HTML i PHP (głównie HTML) w każdym systemie, który ma zainstalowany serwer WWW SSL i GPG. To naprawdę bardzo prosty, ale wyspecjalizowany program typu formmail. Możesz nawet zhakować istniejący skrypt CGI formmail, aby wstawić wywołanie do GPG (zakładając, że jeszcze nie istnieje, spróbuj Googling dla formmail + GPG)

  • Jeśli jeszcze tego nie zrobiłeś, zainstaluj gpg na stacji roboczej i utwórz klucze publiczne i prywatne
  • Utwórz stronę php, która wyświetla formularz, aby zaakceptować wiadomość (pole tekstowe), zaszyfrować ją za pomocą gpg za pomocą klucza publicznego i wysłać do Ciebie e-mailem. Zakoduj na stałe swój adres e-mail w skrypcie (tj. Nie zezwalaj nadawcy na określenie, do kogo wysłać)
  • Zainstaluj stronę php na istniejącym serwerze ssl lub utwórz go tylko do tego zadania. Samopodpisany certyfikat jest wystarczający do tej pracy.
  • Poinformuj swojego klienta, kiedy jest potrzebny, aby wysłać Ci login i hasło.

Btw, thunderbird ma wtyczkę Enigmail, która bardzo ułatwia korzystanie z szyfrowania GPG. Ale nadal jest to prawdopodobnie zbyt duży problem dla zwykłych użytkowników.

cas
źródło
Myślałem, że prawdopodobnie będę musiał zrobić coś takiego. Jeśli to zrobię, zrobię z tego projekt open source, jeśli wymyślę dla niego dobre imię.
Adam DiCarlo,
7
Pomyśl o wszystkich projektach open source, które nigdy nie były otwarte, ponieważ ktoś nie mógł wymyślić dobrego imienia!
Robert,
1
jest teraz crypto.cat, pakiet / witryna do szyfrowania czatów typu open source.
Ampersand
23

PGP jest popularny.

Możesz także wypróbować sprawdzoną metodę spotkania nad stawem, najlepiej gdy oboje macie na sobie trencze.

Paxxi
źródło
6
+1 zarówno dla PGP, jak i „francuskiego połączenia” ;-)
Rook
1
Dla tych, którzy byli wersją FOSS - GPG robi to samo.
Dentrasi,
7
Starałem się unikać PGP / GPG - dotyczy to osób nie znających się na technologii , które niekoniecznie mają dużo czasu (lub cierpliwości) na coś zaangażowanego.
Adam DiCarlo,
@AdamDiCarlo, więc myślę, że idziesz do stawu
ironicaldiction
7

Jest to kombinacja pliku tekstowego i połączenia telefonicznego:

Poproś klienta, aby umieścił hasło w zwykłym pliku tekstowym, a następnie upuścił plik tekstowy w chronionym hasłem pliku zip. (7zip jest darmowy i open source). Poproś, aby wysłali Ci zaszyfrowany plik .zip / .rar / .7z, a następnie zadzwonili podając swoją nazwę użytkownika i hasło do pliku zip.

Zapobiega to otwarciu pliku zip przez nikogo, a nawet jeśli tak, to tylko hasło, które niczego nie daje bez żadnych innych informacji, takich jak nazwa użytkownika i gdzie go użyć.

Ponadto jest to sposób wysłania pocztą e-mail „zabronionego” typu pliku, takiego jak .exe, do klienta poczty e-mail, który skanuje załączniki i wewnętrzne zamki. W takich przypadkach zazwyczaj po prostu dołączam hasło do spakowanego pliku w wiadomości e-mail i zwykle jest to „hasło”. Wystarczy jednak, aby oprogramowanie pocztowe nie sprawdzało zawartości.

Jared Harley
źródło
1
chociaż zwiększa to bezpieczeństwo poprzez dodanie większej liczby warstw, nie ułatwia to procesu. Nadal musisz mieć połączenie telefoniczne.
spuder
Z drugiej strony podoba mi się pomysł, aby drugi kanał komunikacyjny przekazywał minimalne informacje podobne do PIN-u. Nie zakładałbym, że nie-technik wie, jak utworzyć plik zip - więc nie użyłbym tej odpowiedzi w obecnej postaci. Możemy jednak założyć, że praktycznie każdy profesjonalista ma telefon komórkowy, na który można wysłać numer PIN, co może być przydatnym sprawdzeniem bezpieczeństwa w ramach bezpiecznego początkowego uwierzytelnienia przez Internet.
ToolmakerSteve
4

Nie komplikuj sprawy zbytnio i nie przeceniaj znaczenia tego, co wysyła ci klient.

Jeśli na dowolnym komputerze jest uruchomiony rejestrator kluczy, żadne szyfrowanie nie ochroni tych cennych haseł.

Nie wysyłałbym NAPRAWDĘ wrażliwych haseł przez Internet (takich jak hasło administratora), ale do aplikacji, o których wspomniałeś? Nie warto podejmować wysiłków, aby zabezpieczyć ich przed przypadkiem, że ktoś może przechwytywać wiadomości e-mail.

Jeśli twój klient jest zaniepokojony, ma kilka opcji:

  1. Dowiedz się, jak wysyłać zaszyfrowane wiadomości e-mail.
  2. Wyślij faks, jeśli to możliwe.
  3. List ślimaka? (lol)
  4. Mów wyraźnie przez telefon, używając alfabetu fonetycznego
EvilChookie
źródło
3
Wspomniane aplikacje obejmują Authorize.net. Uważam to za NAPRAWDĘ wrażliwe, ponieważ (zapomniałem wspomnieć) mówię o kluczu transakcji . Ten klucz umożliwia nie tylko przyjmowanie płatności, ale w zasadzie dokonywanie płatności (celem jest kredytowanie klientów w celu uzyskania refundacji). Dostęp SSH / FTP i MySQL pozwala również wysadzić swoją stronę internetową ... Myślę, że to również ważne, aby chronić. Mówisz, jeśli mój klient jest zaniepokojony; czy moim obowiązkiem jako profesjonalisty nie jest mówienie: „Śmiało i napisz do mnie swoje wrażliwe hasła?”
Adam DiCarlo,
Klucze transakcji - bez pytania. Wyślij je faksem, użyj telefonu, w zależności od tego, co jest łatwiejsze. Ale dla strony klienta? Jasne, to ważne rzeczy, ale nie warto starać się zabezpieczyć e-maila. Jeśli ktoś chce pozbyć się jednej ze stron internetowych klienta, istnieją znacznie lepsze sposoby na pozbycie się go niż szansa na przechwycenie wiadomości e-mail - ataki DDoS, wstrzyknięcie SQL, istnieje wiele bazillionowych sposobów na usunięcie serwera WWW i kradzież czyichś poświadczeń przez wąchanie e-maila po prostu nie jest jednym z lepszych. Jak powiedziałem, nie przeceniaj wagi informacji.
EvilChookie,
1
A ponieważ pracujesz ze stronami internetowymi, powinieneś wiedzieć lepiej niż większość, że po prostu nie przechowujesz ważnych rzeczy na stronie.
EvilChookie
# 4 jest dyskusyjne, jeśli wujek lub ktokolwiek, kto monitoruje pracę dla wuja, chce hasła. NSA gwarantuje, że każdy telefon komórkowy zostanie zarejestrowany, podobnie jak każde połączenie stacjonarne z telefonem stacjonarnym, które przekracza granicę LATA. Rozmowa telefoniczna na giełdzie Milwaukie telcodata.us/view-switch-detail-by-clli?clli=MLWKOR17DS0 nie będzie monitorowana bez nakazu, ale zadzwoni z Milwaukie do Portland.
K7AAY
3

skonfiguruj plik Safe Password w niezależnym Dropbox , aby klienci mogli dodawać hasła w razie potrzeby.

Joel opisuje tutaj technikę

Ryan
źródło
3
Ciekawy pomysł, ale wymaga od każdego klienta nauki / używania nie tylko Bezpiecznego hasła, ale także Dropboksa i przypuszczalnie osobnych dropboxów dla każdego klienta? Nie chcę, aby widzieli tam bezpieczne pliki innych osób - to wyglądałoby źle (nawet gdyby nie mieli hasła do otwierania sejfów innych osób).
Adam DiCarlo,
3

Co z Cryptocat ? Bezpieczny, łatwy w użyciu, a przeglądarka to wszystko, czego potrzebujesz. Szczegółowe informacje można znaleźć na stronie Informacje .

Jak zauważył Ian Dunn, system ma tę wadę, że osoba atakująca może udawać twojego klienta. Jedynym zabezpieczeniem w tym przypadku byłaby nazwa pokoju rozmów, który stałby się hasłem . Problem przesunięty, ale nierozwiązany.

Jednak często muszę wysyłać klientom sałatkę 30+ char (nazywamy je hasłami) i najczęściej używam crypto.cat do wymiany danych uwierzytelniających podczas rozmowy z nimi przez telefon. Wydaje mi się to bardzo bezpieczne i klient może z niego korzystać CTRL+C.

TeX HeX
źródło
2
Jedną z wad korzystania z crypto.cat w tym celu jest to, że nadal musisz udostępniać nazwę pokoju rozmów, która zasadniczo staje się hasłem samym w sobie. Jeśli napastnik przechwyci nazwę pokoju, może podszyć się pod klienta i uzyskać hasło systemowe. Teraz potrzebujesz sposobu, aby bezpiecznie udostępnić hasło crypto.cat, i wróciłeś do punktu wyjścia. Nie jest zasadniczo bardziej bezpieczny, po prostu dodaje dodatkową słabą warstwę. 2 słabe warstwy są jednak lepsze niż 1, a jeśli chcesz, aby proces był prosty, być może jest to akceptowalne ryzyko.
Ian Dunn
Myślę, że rozmowa telefoniczna jest mniej złym sposobem na przekazanie informacji. Identyfikator dzwoniącego może być sfałszowany, ale znacznie trudniej jest naśladować czyjś głos, maniery itp.
Ian Dunn
@Ian Dunn: Dobra, rozumiem o co ci chodzi. Zmienię swoją odpowiedź.
Tex Hex,
Tak, jeśli rozmawiasz już z nimi przez telefon, to jest o wiele lepiej niż jeśli wysyłasz im e-mailem / SMS-em nazwę pokoju. Osobiście wolę proces opisany w mojej odpowiedzi, ale myślę, że twoje podejście również jest dobre.
Ian Dunn
3

Możesz spróbować NoteShred. To narzędzie stworzone właściwie z myślą o twoich potrzebach. Możesz utworzyć bezpieczną notatkę, wysłać komuś link i hasło, a następnie „zniszczyć” je po przeczytaniu. Notatka zniknęła, a otrzymasz powiadomienie e-mailem z informacją, że Twoje informacje zostały zniszczone.

Jest bezpłatny i nie wymaga rejestracji.

https://www.noteshred.com

Cheyne
źródło
Podoba mi się ten pomysł, ale jeśli prześlesz link z hasłem, czy nie jest to znów niebezpieczne? Jeśli atakujący może zobaczyć hasło w wiadomości e-mail, może również zobaczyć link + hasło w wiadomości e-mail?
Wim Deblauwe
Oczywiście nie wyślesz hasła w wiadomości e-mail z linkiem. Możesz przesłać hasło w dowolny sposób. Poza tym, nawet jeśli atakujący dostał hasło, tylko pierwsza osoba, która wyświetli notatkę, zobaczy treść, po czym zostanie zniszczona. Więc hasło jest bezużyteczne.
Cheyne
2

Komunikatory Skype są szyfrowane .

Oto niezbędne ostrzeżenia: Skype nie jest oprogramowaniem typu open source, więc nie wiesz, czy wykonali okropną robotę, zainstalowali tylne wejście do rządu lub skopiowali wszystkie wiadomości do Boba w IT, ale najlepsze dostępne dowody sugerują, że tak jest bezpieczne.

Ryan
źródło
6
Teraz wiemy na pewno, dzięki Snowden, że na pewno istnieją tylne drzwi rządowe do skype
Robert J Berger
1
To powinno zostać poddane pod głosowanie.
PiTheNumber
1
To stara odpowiedź, ale wciąż interesująca. Skype nie powinien już być uważany za „bezpieczny” sposób przesyłania poufnych informacji ( support.skype.com/en/faq/fa31/does-skype-use-encryption)… Zasadniczo wiadomości błyskawiczne są szyfrowane od końca do końca dla bezpośrednie wiadomości, ale tylko komunikatory internetowe w chmurze. Bezpośrednie wiadomości znikają. Więc wszelkie IM wysyłane przez Skype są (lub będą) nie szyfrowane end-to-end.
Rocketmonkeys,
2

Ten proces nie działa we wszystkich sytuacjach, ale myślę, że jest dobry dla systemów dla wielu użytkowników (takich jak CMS lub panel kontrolny hostingu):

  1. Klient dzwoni do ciebie przez telefon.
  2. Gdy rozmawiasz przez telefon, klient loguje się do systemu i tworzy nowe konto administratora specjalnie dla Ciebie, zamiast dać ci dostęp do ich istniejącego.
  3. Wybierają stosunkowo proste, losowe (ale ponad 15 znaków) hasło do początkowego hasła (np. Podczas jazdy do Portland w ten weekend lub gdzie są moje słuchawki )
  4. Mówią ci hasło przez telefon.
  5. Natychmiast logujesz się do systemu i resetujesz hasło na coś naprawdę mocnego , np. #] T'x:} = o ^ _% Zs3T4 [& # FdzL @ y> a26pR "B / cmjV .
  6. Ostatnie hasło przechowujesz w swoim menedżerze haseł.

Zaletami tego podejścia są:

  1. Jest to stosunkowo proste dla klienta. Muszą tylko wiedzieć, jak założyć konto w systemie. Możesz przejść przez to, gdy rozmawiasz przez telefon, jeśli mają problemy.
  2. Jest to również stosunkowo proste dla Ciebie. Nie musisz zajmować się konfigurowaniem i udostępnianiem zaszyfrowanych plików, hostingiem niestandardowego formularza itp.
  3. Używa hasła (w przeciwieństwie do hasła), dzięki czemu hasło tymczasowe jest łatwe do przekazania przez telefon, ale jest również względnie bezpieczne.
  4. Ostateczne hasło nigdy nie jest przesyłane (z wyjątkiem oczywiście formularza resetowania hasła, ale system powinien je zaszyfrować).
  5. Ostateczne hasło nigdy nie jest znane klientowi, więc nie może przypadkowo udostępnić go atakującym. Oczywiście nadal mogą ujawnić hasło do swojego konta, ale pośmiertne dochodzenie w sprawie zdarzenia śledziłoby penetrację konta, a nie twojego;)

Początkowe hasło jest najsłabszym ogniwem w łańcuchu ze względu na jego stosunkowo niską entropię i niepewną transmisję przez telefon. Jednak nadal ma ~ 100 bitów entropii i żyje tylko przez 15-90 sekund. Moim zdaniem jest to wystarczająco dobre, chyba że pracujesz nad czymś bardzo wrażliwym lub wiesz, że jesteś obecnie osobiście atakowany przez dobrego hakera.

Ian Dunn
źródło
Jeśli masz zamiar głosować, wyjaśnij, dlaczego ...
Ian Dunn
Nie ja, ale prawdopodobnie dlatego, że pytanie ma 3 lata.
Ampersand
3
To nie ma dla mnie sensu. To nie jest wątek na forum; celem witryn wymiany stosów jest zbudowanie repozytorium wiedzy. Myślę, że wiek pytania jest nieistotny. Są nawet odznaki za pracę nad starymi pytaniami, takimi jak Nekromanta i Archeolog. Ale jeśli ktoś zauważy jakiekolwiek błędy w mojej odpowiedzi, proszę wskazać je, abym mógł je poprawić.
Ian Dunn,
Trafne spostrzeżenie. Powinieneś przesłać odpowiedź crypto.cat.
Ampersand
2

Niektóre osoby w tym wątku sugerowały utworzenie aplikacji internetowej w tym celu. W rzeczywistości niektórzy nawet stworzyli własne. Szczerze mówiąc, nie sądzę, że dobrym pomysłem jest poleganie na nieznajomych przy takich usługach. Wdrożyłem podstawową aplikację internetową, która umożliwia użytkownikom wymianę haseł za pomocą prostego interfejsu internetowego i udostępniłem ją swobodnie na licencji MIT.

Sprawdź to tutaj: https://github.com/MichaelThessel/pwx

Instalacja w ramach własnej infrastruktury zajmuje kilka minut, a Ty możesz dokładnie przeanalizować kod źródłowy. Używam własnej instalacji z moimi klientami od miesięcy, a nawet osoby bez wiedzy technicznej szybko ją podniosły.

Jeśli chcesz przetestować aplikację bez uprzedniej instalacji, możesz zajrzeć tutaj:

https://pwx.michaelthessel.com

Michael Thessel
źródło
Powiedziałeś: „ Nie sądzę, że dobrym pomysłem jest poleganie na nieznajomych przy takiej usłudze ”, a następnie polecasz, aby użyli twojego kodu do tego? W jaki sposób twój kod (jesteś obcy) jest bezpieczniejszy niż kod innych losowych nieznajomych?
DavidPostill
Wszystkie pozostałe rozwiązania w tym wątku oferują rozwiązania zamknięte, hostowane na własnych serwerach. To rozwiązanie jest open source. Możesz przejrzeć kod, upewnić się, że nie robi nic złośliwego i zainstalować go we własnej infrastrukturze. To jest piękno open source.
Michael Thessel,
Dziękujemy bardzo za zaoferowanie własnej wersji tych narzędzi, Michael. Doskonale rozumiem twoje argumenty i prawdopodobnie będziemy podążać za tobą (a branding jest lepszy). Świetna robota!
Foliovision
1

Co powiesz na wysyłanie haseł za pomocą starych dobrych SMS-ów ? Jest to bardzo proste i dopóki nie podasz żadnych innych informacji w tekście, bardzo trudno będzie ustalić, dokąd zmierza.

Leif
źródło
Wpisywanie długich skomplikowanych haseł w telefonie (a czasem ich czytanie) jest podatne na błędy.
Walf
0

Ten jest nieco większy wysiłek, ale oszczędza również czas klienta:

Skonfiguruj je za pomocą czegoś takiego jak Roboform, ale przechowuj dane w Internecie, abyś mógł uzyskać do nich dostęp. Kiedy się gdzieś zalogują, RF zapisze hasło i będzie dla ciebie dostępne.

Wady:
* Nie jestem pewien, jak bezpieczne jest przechowywanie online Roboforma * Masz wtedy dostęp do wszystkich haseł klienta i może im się to nie podobać.

Clay Nichols
źródło
0

Korzystanie z programu Outlook lub Thunderbirda w S / MIME jest łatwe, ale jeszcze lepiej jest, aby zadzwonili do Ciebie i przeczytali Ci swoje hasło - jeśli chcesz być niesamowity, poproś o przeczytanie Ci części, a następnie wysłanie Ci SMS-a i wysłanie Ci e-maila inna część tego.

Baran
źródło
0

Jeśli użycie jest bardzo tymczasowe, takie jak jednorazowe rozwiązywanie problemów lub przesyłanie plików, ten poziom bezpieczeństwa może być niepotrzebny. Poproś klienta, aby tymczasowo zmienił hasło na coś, co znasz, wykonaj swoją pracę, a następnie poproś klienta o zmianę go ponownie. Nawet jeśli tymczasowe hasło zostanie odkryte, stanie się nieaktualne, zanim będzie mogło być użyte do niecnych celów.

fixer1234
źródło
0

Mój przyjaciel stworzył tę witrynę specjalnie z tego powodu: https://pwshare.com

Dla mnie i moich przyjaciół w świecie hostingu jest to świetne narzędzie do szybkiego wysyłania haseł do klientów.

Ze strony about: https://pwshare.com/about PWShare używa specyfikacji szyfrowania klucza publicznego / prywatnego znanej jako RSA. Gdy klient chce wysłać hasło, serwer żąda klucza publicznego.

Klient następnie szyfruje hasło przed wysłaniem hasła do serwera. Z tego powodu serwer nie zna ani nie przechowuje odszyfrowanego hasła.

Tylko przy użyciu łącza, które zawiera identyfikator klucza prywatnego i hasło, hasło można odszyfrować.

Mark Kraakman
źródło
-1

Poleciłbym użycie czegoś takiego jak axcrypt. Jest bardzo intuicyjny, więc nawet osoby z trudnościami technicznymi mogą go uruchomić.

Pobierz AxCrypt tutaj

Korzystając z AxCrypt, użytkownik lub osoba, z którą mamy do czynienia, może utworzyć plik ze wszystkimi hasłami / poufnymi informacjami, a następnie zaszyfrować go za pomocą hasła. Zawsze zalecam przynajmniej wymianę hasła przez telefon lub osobiście (jest to najlepsza opcja). AxCrypt wykorzystuje pewne przyzwoite szyfrowanie, więc możesz być pewien, że zatrzyma on wszystkich oprócz najbardziej zdeterminowanych przeciwników. Najlepsze w AxCrypt jest to, że integruje się z systemem Windows jako rozszerzenie eksploratora. W Eksploratorze Windows wszystko, co musisz zrobić, to kliknąć plik prawym przyciskiem myszy, aby go zaszyfrować / odszyfrować /

Pomyślnych łowów!

Axxmasterr
źródło