Nya krav på lösenord för Club Carlsonkontot

[doc]

Ska man inte göra så alltså!?

OT: Sjukhus har många spännande saker för sig. Jag har hört skräckhistorier om hur folk lagrat mail i papperskorgen eftersom de bara haft 100MB mailkvota men kvoten räknade inte saker som låg i papperskorgen... Gissa hur det slutade...

Eftersom Peter Hagander nästan verkar få provision på 1Password så bestämde jag mig för att titta lite på den igen. Jag testade den för ett antal år sedan och då sög den så hårt att den drog fotbollar genom trädgårdsslang. Nu verkar de ha fått ordning på det hela och ser rätt trevlig ut. Ska fundera på om jag ska migrera till den från Keepass som jag kör idag.

OT: Jadu, IT på sjukhus ska vi inte tala om. Av säkerhetsskäl kör vi Windows XP och IE 8 fortfarande.

1Password har utvecklats mycket senaste tiden. I och med version 4 har det blivit fantastiskt mycket bättre. Jag är också väldigt nöjd med det för närvarande. Men ska man synkronisera automatiskt mellan telefon, platta och dator så hamnar man oavsett hur man gör i Nemos dilemma. Då får man göra det manuellt om man vill vara helt säker.

 

[Peter Hagander]

Eftersom Peter Hagander nästan verkar få provision på 1Password så bestämde jag mig för att titta lite på den igen. Jag testade den för ett antal år sedan och då sög den så hårt att den drog fotbollar genom trädgårdsslang. Nu verkar de ha fått ordning på det hela och ser rätt trevlig ut. Ska fundera på om jag ska migrera till den från Keepass som jag kör idag.

Hehe, nejdå, ingen provision vad jag vet.. Däremot tycker jag det är en utmärkt app som underlättar mycket för mig.

 

[Nemo]

OT: Jadu, IT på sjukhus ska vi inte tala om. Av säkerhetsskäl kör vi Windows XP och IE 8 fortfarande.

OT: Jag har på ett sjukhus varit med om att man förvarat stöldbegärliga läkemedel i ett skåp låst med ett kombinationshänglås, med tre siffror. Väntevärdet för att pröva sig fram till rätt kombination är ungefär 4 minuter (2 kombinationer per sekund, totalt 1000 kombinationer, i genomsnitt behöver man gå igenom hälften av kombinationerna => 250 sekunder). Med en skruvmejsel som bryter upp låset 2 sekunder. Nåväl, när vi väl behövde komma in i skåpet (helt legalt) hade de glömt bort rätt kombination. Det tog 3 min 30 sek att få upp låset bara genom att pröva sig fram. Säkerhetstänkandet inom sjukhusvärlden = minimalt

 

[Nemo]

Complex, unique passwords should only be used to access highly sensitive data such as a person’s bank account, says the academic paper published by Microsoft Research, the R&D arm of the software firm. Simpler passwords should then be recycled for low-risk websites, the researchers argue.

Microsoft: 'You're better off reusing old passwords than creating new ones' - News - Gadgets and Tech - The Independent

Att smidigt och enkelt samla ihop alla sina lösenord i ett och samma program är det många som uppskattar. Men nu varnar forskare på University of California att det kan uppstå rejäla problem om man låter lösenordshanterare hålla koll på internettillvaron.

Därför är lösenordshanterare inte att lita på - IDG.se

 

[mha321]

Complex, unique passwords should only be used to access highly sensitive data such as a person’s bank account, says the academic paper published by Microsoft Research, the R&D arm of the software firm. Simpler passwords should then be recycled for low-risk websites, the researchers argue.

T.ex. Club Carlson måste ju dock räknas som ett "highly sensitive data", eftersom det kan köpas en hel del saker med det, det är ju i princip ett bankkonto bara med en lite udda valuta. Men du kan ju t.ex. köpa gift cards med dem, eller överföra till paypal, och därmed konvertera dem till ren cash.

Att smidigt och enkelt samla ihop alla sina lösenord i ett och samma program är det många som uppskattar. Men nu varnar forskare på University of California att det kan uppstå rejäla problem om man låter lösenordshanterare hålla koll på internettillvaron.

Den där handlar väl om specifika säkerhetshål för dem som använder vissa produkter. Värt att noter att ingen av de lösningar som diskuterats i den här tråden fanns med bland de som de hittade säkerhetshål i. Däremot betyder det förstås inte att det finns, och om man lägger alla ägg i en korg så blir det en rätt dyrbar korg... Ytterligare en bra anledning att välja ett verktyg som är peer-reviewed, även om det inte alltid är lika "snyggt på ytan".

Sårbarheter finns i all programvara. Men även i människor. Och den ena är enklare att patcha än den andra

 

[doc]

Nu är vi helt OT här men:

The right way to build reliable systems is to put all your eggs in one basket, after making sure that you’ve built a really good basket.

1Password is a very safe basket | Agile Blog

 

[Peter Hagander]

Därför är lösenordshanterare inte att lita på - IDG.se

Den artikeln var inte särskilt uttömmande;

Engångslösenord - dessa lagrar man ju inte i en lösenordshanterare
Delade lösenord - säkerhetshålet ligger väl snarare i att flera personer har tillgång till samma login/lösen snarare än lösenordshanteraren?
Mobila plattformar - hade gärna sett mer kring detta, på vilket sätt det är mer osäkert att ha en krypterad https://-uppkoppling mobilt än från en desktop...

Det framgår inte heller vilka hanterare som undersökts.

 

[mha321]

Den artikeln var inte särskilt uttömmande;

Engångslösenord - dessa lagrar man ju inte i en lösenordshanterare
Delade lösenord - säkerhetshålet ligger väl snarare i att flera personer har tillgång till samma login/lösen snarare än lösenordshanteraren?
Mobila plattformar - hade gärna sett mer kring detta, på vilket sätt det är mer osäkert att ha en krypterad https://-uppkoppling mobilt än från en desktop...

Det framgår inte heller vilka hanterare som undersökts.

Som alltid med IDG bör man gå till källan: http://devd.me/papers/pwdmgr-usenix14.pdf. De testade var lastpass, roboform, my1login, passwordbox och needmypassword.

Den gemensamma nämnaren är just webb-baserade password managers. Man kan tycka att det borde vara uppenbart att det aldrig kan bli lika säkert som en "native"-lösning (som t.ex. 1password), men tydligen inte... Allt ska ju vara cloud och webb!