Evo, baš sam pogledao sve logine koje imam (oldschool, zapisano na nekoliko stranica A4), i dostigli smo čak 215 logina. Naravski, s toliko šifri, ne dolazi u obzir zasebna šifra za svaku stranicu ili aplikaciju, pa se mora vrtiti max nekih 5-6 kombinacija email/šifra. To predstavlja ogroman problem jer ako samo jedna od tih stranica izgubi podatke, eto laganog načina da ti osoba koja je sad u posjedu detalja provali neke od popularnijih servisa. Za najosjetljivije stvari (bankarstvo i za posao) se koristi 2FA, što je uglavnom dovoljan blok.

No, s kim god sam popričao preporučuje Password managere (ili LogMeIn ili Dashlane). Ali jednostavno ne mogu preći preko toga da pohranjujem sve šifre na jedno mjestu u cloudu...mislim ono, džaba što se ti servisi hvale da imaju nevjerojatnu enkripciju ovo ono. Onda pročitam da je LogMeIn hakiran 2x u zadnjih 7-8 godina.

Prednost je što generiraju šifre koje su nemoguće pogoditi, i što ih redovno mijenjaju na svim servisima i stranicama koje koristiš (dužina šifre, korištenje svih mogućih kombinacija slova, brojki i simbola). Strah mi je najveći od zaborava master passworda, ili pak da mi to netko pogodi.

Jel iko probao?

https://www.logmein.com/

https://www.dashlane.com/

Koristim Lastpass već par godina, plaćena verzija. Ima i besplatna ali htio sam ih novčano podržati. Taj LogMeIn je vlasnik Lastpass.
Nešto najbolje što sam ikada u životu instalirao i koristio. Bez zajebancije. I sad imam na svim stranicama gdje imam login strukturirane passwords koje su teške za nagađati i sve različite.

https://bitwarden.com/
Bitwarden je Open Sorce, jedan od rijetkih takvih. Dobar je za testirati i naviknuti se. Mada je sa nekim stvarima tanak. Ne što je developer loš programer, već što to jadan sam radi sve dok firma ne krene malo više zarađivati. Ali hvale ga svi inače.

Nemoj koristiti to njihovo generiranje passwords. Niti da ti taj dodatak mijenja passwords u raznim intervalima. Nauči se koristiti ljudski razumljive passwords. Bitno je samo da su minimalno 12 znakova, i da tvoja izmišljena riječ ne postoji ni u jednom rječniku svijeta.
Samo jedan banalan primjer koji ti nećeš nikada zaboraviti, težak je za hackers, i ne postoji kao riječ nigdje na svijetu. (Master Password na primjer, ali može isti princip za svaki. Nikad ne koristi Master Password na drugim mjestima, baš nikad.)

- sarajevo1992sidney1998
(Tvoj rodni grad-godina odlaska iz njega-novo mjesto boravka-godina kad si počeo studirati. Samo banalan primjer naravno. Možeš uzeti jedan čitav stih iz omiljene pjesme i složiti u jednu riječ, mnogi tako rade.)

22 znaka, čak i jednoj jačoj armiji bi uzelo godine da to provali sa brute force.
Ta riječ baš nigdje ne postoji, nemoguće koristiti dictionary attack.
Ti je zapamtiš za čitav život.
Paziš da tvoji bližnji ne mogu pogoditi.
Paziš (jako) što pišeš pod password hint. Tu moraš lukav biti i ne otkrivati puno ali da ipak tebi pomogne ako zatreba. I obvezno je polje pa moraš nešto staviti.

Ili npr stih od Jelene Rozge kao MP, banalan primjer opet, ali tako to ide. Ubaciš tu između još koje datume, godine, cifre koje tebi nešto znače u slučaju da neka banda pravi dictionary od lyrics, što mi teško vjerovati, ali eto: ja_sam_ti_bila_privjesak
Miroslav Škoro primjer zvan screw you NSA (doduše oni to rade na drugi način): ti_si_moja_tajna_najveca_ti_si_moja_ljubav_jedina

uHDk%R#Dtf@9 = ovo je sranje i treba izbjegavati koliko je god moguće (osim za database passwords, jer tamo je set it and forget it, jednom). To je za strojeve ne za ljude.

Databaza sa password je sigurna na serverima od password managers. Događalo se da im hackers provale i ukradu pa nikakvu korist od tog nemaju jer je sve kriptirano. Doduše oni koji uzimaju za Master Password riječi kao zagreb, london, berlin, 123456. Njima je databaza bila za sekund dekriptirana, pretpostavljam.

Ako hoćeš dodatnu sigurnost aktiviraj besplatnu opciju da ti šalje PIN kod na smartphone koji moraš ukucavati poslije Master Password. ili 2 way autentifikaciju sa USB stick. Onda ti malware i virusi na računalu ne mogu ništa ukrasti. A imaš i onaj fazon da isprintaš njihovu tabelu koja je veličine kartice za novčanik. I bez nje hackers koji bi ti ukrali MP ne mogu ništa.

Databaza na cloud ti je sigurna koliko ti je siguran MP. Keylogger krađa ti je sigurna ako koristiš 2 way autentifikaciju. I da ukradu MP nemaju korist od toga. Ja ne koristim 2 way, nemam volje za to. Kaspersky ipak nešto znači.

Imaš opciju i svoju databazu kriptiranu imati na USB u džepu. Ali nekako pobija logiku prijava. Ako se negdje prijavljuješ imaš Internet vezu, pa glupo.

Da, trebao sam napisati Lastpass, doslovno je ispred mene dar koji su mi dali, (webcam cover). No, što s ovim?

Pa ništa, apsolutno ništa. Ako se držiš samo basic pravila kod pravljenja MP možeš mirno spavati. To je military standard encryption.
Nigdje nije osvanulo da se hackers pohvalili/ili prodaju na Dark/Deep Web. Ukrali i kao telad buljili u kriptirane datoteke.

Da je to imalo lako do sad bi postojala bar jedna tvrtka (legalna) koja ljudima za sitnu novčanu naknadu otključava datoteke nakon Ransomware napada. Ali ne postoji. Zar to ne govori sve ?

Šta s tim "webcam cover" ? Nisam pohvatao.

Ma dijele plastične webcam covere na kojim piše Lastpass...dobra reklama.

A to. Ja odavno imam crni tape. Ali sam pogriješio što sam pokrio LED lampicu.

Ukratko ovako. Stvarno to je sve što je bitno, sa tehničke strane.

- Jedini osobe koje ti mogu ukrasti Master Password su: osoba koja ti stoji iza leđa i gleda što kucaš. Hacker sa keylogger malware.
(Ako imaš keylogger i ne znaš za njega svakako će pokupiti sve tvoje login podatke i bez Password Manager.) Možeš koristiti screen keyboard, ali ja lijen za to. Nekih 80-90% keylogger malware si time odbio.

Ništa više. Kad logiraš u dodatku browsera otvori se kriptiran tunel i MP ne ide u clear text preko Interneta.

U opciji browser dodatka aktiviraš ovo (bar ja jesam, ali i to je overkill s obzirom da Notebook nikad ne napušta dom)_

- Da te izlogira sa PM servera kad se browser ugasi, zatvori.
- Da te izlogira sa PM servera poslije 30 minuta neaktivnosti na računalu (Sleep-hibernate mode)
- Ugasi opciju da automatski prijavljuje na web stranice kad te web stranica izbaci zbog neaktivnosti.
- Clear Clipboard after x seconds (60)
- Najbitnije, PM ti daju opciju da uneseš entries za plaćanje kreditnim karticama, online banking i slično. Ja osobno sam tu stavio da me ponovo (drugi put) pita Master Password, kad mi trebaju ti podaci za automatsko popunjavanje u shops i slično. Ako već postoji strah unesi sve osim koda od 3 cifre. Kad fulaju 3 puta zablokira ih sljedeća 24 sata.
- Zaštiti account settings opet sa Master Password, drugi put da moraš ukucati.

Bitna stvar je isto recovery mail account da ima težak password za pogoditi.

Probat ću kroz koji tjedan pa javim dojmove.

Sa jednim klijentom silom prilika (on koristi već pa onda i ja) koristim Passpack.

Ima tu neku prednost da se lozinke mogu dijeliti, pa je zgodno kad radi više ljudi.

Nakon dugo vremena čitajući mnoštvo ocjena, članaka (što iskrenih, što plaćenih), birajući između LastPass i Dashlane, neočekivano sam se odlučio za nešto sasvim treće, 1Password: https://1password.com/

Ključni razlog je preporuka prijatelja prijatelja, koji je stručnjak za web security, inače piše ovaj blog: https://www.troyhunt.com/

On je inače kreator stranice Have i been pwned https://haveibeenpwned.com/ koja ima najveću bazu provaljenih login detalja (preporučio bih je svima). Stupio je u komercijalnu vezu sa tim portalom i 1password, ali nije da ih hvali samo zbog toga...a nije ni jedini, pohvalio ih je i šef AWS-a. Vjerojatno zato jer imaju API koji stalno prati kompromitirane login detalje i javlja u realnom vremenu.

Da, i ja sam svojevremeno pravio glupe greške, isti login detalji na mnoštvu portala...padne jedan, padoše ti svi. Sad sa password managerom, i 2FA na svim važnim platformama, nema zime.

Zvuči interesantno moram priznati.
To za "Have i been pwned" nije toliko bitno, iz osobnog iskustva znam. Iako sam jedan svoj mail tamo pronašao. To svakako budu udarne naslovnice u svim medijima ako bitni akteri imaju breach, pa znaš da moraš promijeniti password.

Preko google password managera ugradjenog u chrome i androidOS mozes postaviti master password, zasticen dvostrukom provjerom (email +sms). Dalje chrome nudi "hardcoded" passworde za svaku online lokaciju posebno. Npr dodjes na ovaj forum i zelis se registrirati, chrome ti ponudi slucajno kreiranu zaporku kao sto je 4D35%)97dfhJJH5668#*, koju spremi u svoj manager zasticen master zaporkom i duplom provjerom prilikom autorizacije.

Doslo je vrime i meni za ovo, jel ima sta besplatno da je ok? Windows, linux i android. Nekakav Bitwarden iskače prvi na listi, a vidim i već spomenuti lastpass.

Totalno sam van trendova, i sad imam wordov file sa lozinkama.

Ta 2 su besplatna ako nemaš velikih prohtjeva. Probaj neće te ugristi. Ako ti se ne sviđa izbriši.

I moraš konstantno biti Sign In na Google. Onda ti prate svaki korak. Google i NSA / CIA. Ali kako kažu ako ne radiš ništa nezakonito onda nemaš što kriti, zar ne ?
Kao kad se jebeš doma i ako ne radiš sado-mazo i slične pervezije onda valjda možeš pozvati čitavo susjedstvo da stoje pored kreveta i gledaju, snimaju kamerama.

onda mozes ici na ispovijed ciste savjesti

Et kao ostali alati nisu proizvod nekih tajni sluzbi,...

Koliko znam taj Google Chrome password manager ne radi za aplikacije dok 1password i ostali rade. Ne odgovara mi vezanost samo za browser s obzirom da mi je barem pola stvari u appovima.

https://news.ycombinator.com/item?id=16719396

Počeo sam koristiti LastPass i nemam nikakvih pritužbi, stvar je jednostavna, promjenio sam sve passworde sa generiranima iz lastpassa. Postoji plugin za svaki browser, radi uredno i na androidu (popunjava loginove i u browseru i u aplikacijama)

I kakvi su dojmovi poslije duže vremena ? I za Lastpass i 1password.

Lastpass je nešto najbolje što sam ikada plaćao kao prenumeraciju. Koristim i 2way potvrdu preko Android App. Nek se jebu virusi, virusići, trojani i trojanići. I da uhvate master password nemaju koristi.

Ja sam u analogno-digitalnom fazonu. Za sifre koristim svesku, a kada recimo kucam PIN kartice i druge osjetljive podatke, koristim VPN, a za sve ostalo idem "regularno".

1Password kod kuće, odličan je. LastPass je na poslu, tek sad uvodimo managed laptops, pa s obzirom da je to jedina opcija, morat ću koristiti za posao. Valjda ću imati neki usporedan dojam, pa javim.

Tu duplu potvrdu treba za sve platforme koristiti, gdje god ima. Na Face sam se jednom uvjerio
koliko je bitno.

Dojmovi ostali isti, i dalje koristim sve uredno. Koristim besplatnu verziju. Ukljucio sam jednom dvostruku potvrdu vezanu za mobitel ali mi se ucinilo nepotrebnim kompliciranjem, ne znam. Palo mi je i na pamet sta bi se onda dogodilo kad bih izgubio, razbio mobitel, sto je veca vjerojatnost nego da dobijem trojanca ili nesto slicno, ali mi se nije dalo dalje istrazivat, pa sam iskljucio tu opciju.

Od sigurnosnih opcija sam jedino ukljucio da mi se last pass svugdje odlogira 5 minuta nakon sto sam ga upotrebljava tako da ne bi slucajno na nekom kompu ostao ulogiran.

Ma lijen pa nisam znao da se to da dekativirati preko mail adrese. (Ako se izgubi telefon ili bude ukraden) Jedino zbog tog razloga sam dugo odbijao to koristiti.