forum.opennet.ru - "Небезопасное хранение данных в менеджерах паролей для платфо..." (74)

"Небезопасное хранение данных в менеджерах паролей для платфо..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Небезопасное хранение данных в менеджерах паролей для платфо..."	+/–
Сообщение от opennews (??), 02-Мрт-17, 08:50
Исследователи из группы TeamSIK опубликовали (https://team-sik.org/trent_portfolio/password-manager-apps/) результаты проверки безопасности менеджеров паролей для платформы Android. Результаты оказались не лучше, чем при анализе (https://www.opennet.ru/opennews/art.shtml?num=45940) VPN-приложений для Android - в 9 менеджерах паролей выявлены серьёзные уязвимости, позволяющие получить доступ к закрытой информации. В том числе в некоторых приложениях мастер-пароль был доступен для извлечения, пароли хранились в открытом виде или не была обеспечена должная защита хранилища. Также отмечается достаточно длительный срок устранения выявленных проблем - о большинстве уязвимостей разработчикам было сообщено ещё осенью прошлого года, а исправления были выпущены лишь спустя несколько месяцев. Наиболее интересные проблемы: - MyPasswords (https://play.google.com/store/apps/details?id=com.er.mo.apps... - возможность чтения закрытых данных и дешифрования мастер-пароля; - Informaticore/Mirsoft Password Manager (https://play.google.com/store/apps/details?id=com.mirsoft.pa... - небезопасное (https://team-sik.org/sik-2016-021/) хранение учётных записей, ключ для доступа к мастер-паролю был вшит в код приложения; - LastPass Password Manager (https://play.google.com/store/apps/details?id=com.lastpass.l... - вшитый фиксированный универсальный ключ доступа, утечка данных через функцию поиска и возможность извлечения мастер пароля; - Keeper Passwort-Manager (https://play.google.com/store/apps/details?id=com.fsecure.key) - возможность обхода контрольного вопроса и возможность подстановки данных в защищённое хранилище без ввода мастер-пароля; - F-Secure KEY Password Manager (https://play.google.com/store/apps/details?id=com.dashlane) - небезопасное хранение учётных записей, хранение мастер-пароля в открытом виде; - Dashlane Password Manager (https://play.google.com/store/apps/details?id=com.dashlane) - возможность чтения закрытых данных из каталога приложения, возможность извлечения мастер-пароля и утечка паролей для поддоменов; - Hide Pictures Keep Safe Vault (https://play.google.com/store/apps/details?id=com.kii.safe) - хранение паролей в открытом виде; - Avast Passwords (https://play.google.com/store/apps/details?id=com.avast.andr... - получение информации о паролях через из утечку при автозаполнении форм, обращение к типовым страницам входа популярных сайтов без шифрвания по HTTP, передача данных на внешний бэкенд по HTTP; - 1Password (https://play.google.com/store/apps/details?id=com.agilebits.... - возможность чтения закрытых данных из каталога приложения, вход по умолчанию по HTTP, хранение заголовков и URL без шифрования, утечка паролей для поддоменов. URL: https://team-sik.org/trent_portfolio/password-manager-apps/ Новость: http://www.opennet.ru/opennews/art.shtml?num=46121
Ответить \| Правка \| Cообщить модератору

Оглавление

Сапожники без сапог Тоже самое с антивирусами Из свежего http seclists org , Аноним (-), 08:50 , 02-Мрт-17, (1) +7
Шикарно MyPasswords SIK-2016-043 Free Premium Features Unlock for My Passwords, Аноним (-), 08:55 , 02-Мрт-17, (2) +1

Это не то, что можно подумать The free application from the google play store , Аноним (-), 09:08 , 02-Мрт-17, (3)

По ссылке только проблемные приложения А что нибудь нормально работающее они на, iv (?), 09:18 , 02-Мрт-17, (4) +8

Хранение секретных данных это целая наука и сложно ожидать глубоких знаний от ра, A.Stahl (ok), 09:38 , 02-Мрт-17, (9) +8

Фигня Например, первый из паролей со скрина - DutyZad3 - легко брутфорсится по с, Iaaa (ok), 13:12 , 02-Мрт-17, (57)

Ну-у-у Легко, значит, брутфорсится Ну если ты так говоришь , A.Stahl (ok), 13:19 , 02-Мрт-17, (58) +3
Все столь короткие пароли прекрасно брутфорсятся Нормальная длина - хотя бы 16 , Аномномномнимус (?), 18:18 , 02-Мрт-17, (76)
Это смотря что брутфорсить Если сетевой сервис - здесь, пожалуй, опасны только , я (?), 22:15 , 02-Мрт-17, (87)
Вот потому, Iaaa, что некторые даже не отличают брутфорс от перебора по словарю,, Аноним (-), 19:40 , 03-Мрт-17, (99)

https play google com store apps details id com android keepass, Аноним (-), 10:53 , 02-Мрт-17, (26) +11

Навались дружнее, чо так мало минусов Для недалёких поясню open source, поддерж, Аноним (-), 15:42 , 02-Мрт-17, (69) +5
Хороший, сам им пользуюсь Совместимость с десктопным KeePassX очень помогает , BlackRaven86 (ok), 16:42 , 02-Мрт-17, (72) +1
тоже удивлен что его нет в анализе И кажись GPL-ый, fi (ok), 16:50 , 02-Мрт-17, (73)

play google com store apps Креститься https f-droid org repository browse , Andrey Mitrofanov (?), 16:56 , 02-Мрт-17, (74)

Мне больше этот вариант нравится https play google com store apps details id k, h31 (ok), 02:26 , 03-Мрт-17, (89) –1

Keeoass2 на mono Этот _тоже_ Мигель-то -- молодецЬ Та Ты Чо , Andrey Mitrofanov (?), 09:08 , 03-Мрт-17, (94)
Это та кодовая база, которая без VCS пишется , Аноним (-), 10:13 , 03-Мрт-17, (97)

Надёжное это которое использует scrypt с параметрами не ниже рекомендуемых, полн, romanegunkov (ok), 03:13 , 03-Мрт-17, (90)

А как насчет KeepassDroid , Mohn (?), 09:21 , 02-Мрт-17, (5) +6

http fc13 ifca ai proc 4-2 pdf, Аноним (-), 09:50 , 02-Мрт-17, (12)

Какая-то длинная портянка на языке потенциального противника, в которой мылятся , Аномномномнимус (?), 10:39 , 02-Мрт-17, (21) –22

Божежтыжмой У-х-х-х Водка подешевела , A.Stahl (ok), 10:47 , 02-Мрт-17, (23) +22

Хорошо тебе , Аномномномнимус (?), 10:57 , 02-Мрт-17, (28) +2
Для тебя это основной смысл жизни , Аноним (-), 12:11 , 02-Мрт-17, (46) –4

Для вас и это длинн, я поясню Нет, для вас, которым слишком длинно и фчём смысл, Andrey Mitrofanov (?), 14:23 , 02-Мрт-17, (64)

В глум он может Ржу У тебя и остальных просто бомбануло от одной старой фраз, Аномномномнимус (?), 18:39 , 02-Мрт-17, (77) –3

Ах вот как ты видишь ситуацию лол , Ordu (ok), 10:07 , 03-Мрт-17, (95) +1

Не читал, но название уже наводит на мысль, что не про то тут Keepass отчищает , Аноним (-), 12:22 , 02-Мрт-17, (54)

https f-droid org repository browse fdid com android keepass , Аноним (-), 19:14 , 02-Мрт-17, (78)

LastPass дыряв by design , сколько там дыр не находи, они всё равно на одни гра, Аноним (-), 09:28 , 02-Мрт-17, (6) +1
Нашли чего тестить Да кому нужна эта проприетарщина , dimqua (ok), 09:32 , 02-Мрт-17, (7) +4

ретрошаровцы, поди, телефонами вообще не пользуются , сисястая_тян (?), 09:46 , 02-Мрт-17, (11) –2
нужна для пиара , chinarulezzz (ok), 15:00 , 05-Мрт-17, (101)

Мда, KeepSafe - 10 млн установок, у остальных от миллиона до пяти И гады, как в, Аноним (-), 09:37 , 02-Мрт-17, (8) +3

А что они должны писать в описаниях себя мы дырявое сито , adminlocalhost (ok), 09:39 , 02-Мрт-17, (10) +3

И зачем все эти софтины без совместимости с keepass bd нужны Интересно, у них д, Аноним (-), 09:53 , 02-Мрт-17, (13)
уж сколько раз твердили миру не устанавливайте крап из google play, Аноним (-), 10:08 , 02-Мрт-17, (14) –2

Предлагаешь устанавливать его из файлопомоек с apk-шками , A.Stahl (ok), 10:17 , 02-Мрт-17, (17) +8

F-Droid А конкретно KeePassDroid или как там p s смотрю ты активизировался , Проходямимо (?), 10:50 , 02-Мрт-17, (25) –1

А какая же божественная десница не пускает в F-Droid халтуру М , A.Stahl (ok), 10:56 , 02-Мрт-17, (27) +8

Такая, что там сначала обсуждают на форуме, что туда пускать Некоторый хороший , Аноним (-), 12:25 , 02-Мрт-17, (55)

Баян Приложение, тырящее буфер обмена забирает себе все пароли Все приложения , diggya (?), 13:49 , 02-Мрт-17, (60)

Расскажите как можно использовать без буфера обмена Запомнить пасс в 20 символов, Аноним (-), 19:19 , 02-Мрт-17, (79)

Приложения для обеспечения секретности должны быть с открытым кодом - необходимо, Аноним (-), 10:14 , 02-Мрт-17, (15) +11

Приступ неудержимой рвоты , Ordu (ok), 10:09 , 03-Мрт-17, (96)

умные клавиатуры на смартфонах могут отправлять все, что было введену кому-то не, яя (?), 10:15 , 02-Мрт-17, (16)

фаерволом им запретить лезть туда, Аноним (-), 10:44 , 02-Мрт-17, (22) –1

Вкратце На ведроиде безопасности нет или нужен напильник Всякие там альтернат, ryoken (ok), 10:27 , 02-Мрт-17, (19) +2
Да почти все дырявы передают пароль через буфер обмена вместо использования acc, Аноним (-), 10:31 , 02-Мрт-17, (20) +1
Пишут, чтоЧерез полгода после репортов пофиксили Я, честно, удивлен, что кто-то , Аноним (-), 10:58 , 02-Мрт-17, (29) +1

На фоне изученных в отчёте дополнений с миллионами активных установок, KeePassDr, Аноним (-), 11:37 , 02-Мрт-17, (30)
Интерфейс и юзабилити у него на уровне первых андроидов Он где-то там так и ост, mumu (??), 11:42 , 02-Мрт-17, (31) –5

Я сам за юзабилити Но то что вы и вам подобные называеют этим словом - я называ, Аноним (-), 15:45 , 02-Мрт-17, (70) +2

Видимо, расчет на шифрование всего устройства Менеджерпаролей - прога чтоб паро, Аноним (-), 11:53 , 02-Мрт-17, (35) –1
SafeInCloud наше всё , Аноним (-), 11:57 , 02-Мрт-17, (36) –1

А он с открытым кодом Довольно интересный вариант, но как убедиться что ему мож, Антон (??), 13:24 , 02-Мрт-17, (59)

Всё, что попадает в руки комерсантов превращается в тыкву главное красивая обёрт, Аноним (-), 12:17 , 02-Мрт-17, (53) +1
За LastPass особенно обидно А я ему доверял Хоть и не самые важные пароли, но , vantoo (ok), 12:28 , 02-Мрт-17, (56)
password store который работает с pass the standard unix password manager с, Алексей (??), 14:18 , 02-Мрт-17, (63)

наверно очень удобно использовать его в андроид-телефоне , Антон (??), 14:27 , 02-Мрт-17, (65)

после тщательной настройки, все вполне юзабильно , Алексей (??), 14:39 , 02-Мрт-17, (66)

ccrypt на гугель драйв а пароль 25 знаков в бумажном блокноте тока, какой олень , Аноним (-), 15:25 , 02-Мрт-17, (68)

Вы шифрование свопа и тмп забылЪ И тмпфс-а И ту опцию в глибц-е с очисткой пам, Andrey Mitrofanov (?), 16:29 , 02-Мрт-17, (71)

В конце - киянкой по голове для амнезии, чтобы даже под пытками свой пароль нико, НяшМяш (ok), 18:07 , 02-Мрт-17, (75)

Интересно по 1Password Эти его уязвимости только андроид-версии касаются Его в, Аноним (-), 20:43 , 02-Мрт-17, (86)
Копирование паролей через буфер обмена действительно небезопасно by design Я пр, Аноним (-), 23:24 , 02-Мрт-17, (88) +1

В keepass2android уже есть , Аноним (-), 06:14 , 03-Мрт-17, (91) +1

По названию ждал howto , Аноним (-), 07:05 , 03-Мрт-17, (92) +1

Кулхацкеры в треде Ждут когда им сделают пошаговый мануал с картинками Как укр, 123 (??), 07:36 , 03-Мрт-17, (93)

кто-то считает Андроиды хоть сколько нибудь безопасными По моему к 4 5 всех ра, DmA (??), 17:36 , 03-Мрт-17, (98)
KeePassDroid KeePass-compatible password safe - https f-droid org app com an, Виталий (??), 20:53 , 03-Мрт-17, (100)
Что не делают люди лишь бы не использовать PasswdSafe , Аноним (-), 13:51 , 08-Мрт-17, (102)
По LastPass почитал конкретику - не так всё и плохо Да если поставил галочку со, Pavel (??), 16:00 , 13-Мрт-17, (103)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (-), 02-Мрт-17, 08:50 +7 +/–

Сапожники без сапог. Тоже самое с антивирусами. Из свежего: http://seclists.org/fulldisclosure/2017/Feb/68 "Remote Code Execution as Root via ESET Endpoint Antivirus 6"

Ответить | Правка | Наверх | Cообщить модератору

2. Сообщение от Аноним (-), 02-Мрт-17, 08:55 +1 +/–

Шикарно:
MyPasswords
SIK-2016-043: Free Premium Features Unlock for My Passwords

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3

3. Сообщение от Аноним (-), 02-Мрт-17, 09:08 +/–

Это не то, что можно подумать: "The free application from the google play store can be upgraded to a premium version with additional features. An implementation flaw allows the user directly to upgrade the app without paying."

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

4. Сообщение от iv (?), 02-Мрт-17, 09:18 +8 +/–

По ссылке только проблемные приложения. А что нибудь нормально работающее они нашли?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #26, #90

5. Сообщение от Mohn (?), 02-Мрт-17, 09:21 +6 +/–

А как насчет KeepassDroid?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #78

6. Сообщение от Аноним (-), 02-Мрт-17, 09:28 +1 +/–

LastPass дыряв "by design", сколько там дыр не находи, они всё равно на одни грабли продолжают наступать - https://lastpass.com/support.php/support.php?cmd=showfaq&id=...

Ответить | Правка | Наверх | Cообщить модератору

7. Сообщение от dimqua (ok), 02-Мрт-17, 09:32 +4 +/–

Нашли чего тестить. Да кому нужна эта проприетарщина?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11, #101

8. Сообщение от Аноним (-), 02-Мрт-17, 09:37 +3 +/–

Мда, KeepSafe - 10 млн установок, у остальных от миллиона до пяти. И гады, как в описаниях ярко себя преподносят  bank-level, military-grade.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10

9. Сообщение от A.Stahl (ok), 02-Мрт-17, 09:38 +8 +/–

Хранение секретных данных это целая наука и сложно ожидать глубоких знаний от разработчиков андроид-приложений для домохозяек. Тут логичней воспользоваться чем-то таким (https://play.google.com/store/apps/details?id=tk.asciigames.... что в принципе пароли не хранит, а просто делает их более удобными для запоминания человеком.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #57

10. Сообщение от adminlocalhost (ok), 02-Мрт-17, 09:39 +3 +/–

А что они должны писать в описаниях себя?  "мы дырявое сито"?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

11. Сообщение от сисястая_тян (?), 02-Мрт-17, 09:46 –2 +/–

ретрошаровцы, поди, телефонами вообще не пользуются. :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

12. Сообщение от Аноним (-), 02-Мрт-17, 09:50 +/–

http://fc13.ifca.ai/proc/4-2.pdf

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #21, #54

13. Сообщение от Аноним (-), 02-Мрт-17, 09:53 +/–

И зачем все эти софтины без совместимости с keepass bd нужны? Интересно, у них до весьма популярного Keepass2android руки не дошли или с ним всё в порядке?

Ответить | Правка | Наверх | Cообщить модератору

14. Сообщение от Аноним (-), 02-Мрт-17, 10:08 –2 +/–

уж сколько раз твердили миру: не устанавливайте крап из google play

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

15. Сообщение от Аноним (-), 02-Мрт-17, 10:14 +11 +/–

Приложения для обеспечения секретности должны быть с открытым кодом - необходимое условие. Это должно восприниматься как Отче наш.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #96

16. Сообщение от яя (?), 02-Мрт-17, 10:15 +/–

умные клавиатуры на смартфонах могут отправлять все, что было введену кому-то неизвестному в интернете. какой смысл хранить все пароли в закрытом хранилище, если они в сеть могут слиться еще на стадии ввода в БД?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #22

17. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:17 +8 +/–

Предлагаешь устанавливать его из файлопомоек с apk-шками?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #25

19. Сообщение от ryoken (ok), 02-Мрт-17, 10:27 +2 +/–

Вкратце: На ведроиде безопасности нет или нужен напильник. (Всякие там альтернативные прошивки + вдумчивое копание по специализированным ресурсам).

Ответить | Правка | Наверх | Cообщить модератору

20. Сообщение от Аноним (-), 02-Мрт-17, 10:31 +1 +/–

Да почти все дырявы: передают пароль через буфер обмена вместо использования accessibility api.

Ответить | Правка | Наверх | Cообщить модератору

21. Сообщение от Аномномномнимус (?), 02-Мрт-17, 10:39 –22 +/–

Какая-то длинная портянка на языке потенциального противника, в которой мылятся основы, не дочитал. А по сути есть что?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #23

22. Сообщение от Аноним (-), 02-Мрт-17, 10:44 –1 +/–

фаерволом им запретить лезть туда

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

23. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:47 +22 +/–

>на языке потенциального противника
Божежтыжмой... У-х-х-х...
>А по сути есть что?
Водка подешевела.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #28, #46

25. Сообщение от Проходямимо (?), 02-Мрт-17, 10:50 –1 +/–

F-Droid. А конкретно KeePassDroid или как там...
p.s. смотрю ты активизировался. весна приходит?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #27, #60

26. Сообщение от Аноним (-), 02-Мрт-17, 10:53 +11 +/–

https://play.google.com/store/apps/details?id=com.android.ke...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #69, #72, #73, #89

27. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:56 +8 +/–

>F-Droid.
А какая же божественная десница не пускает в F-Droid халтуру? М?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #55

28. Сообщение от Аномномномнимус (?), 02-Мрт-17, 10:57 +2 +/–

> Водка подешевела.
Хорошо тебе...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

29. Сообщение от Аноним (-), 02-Мрт-17, 10:58 +1 +/–

Пишут, что
> !! Update 2017-03-01: All reported vulnerabilities are fixed by the vendors !!
Через полгода после репортов пофиксили.
Я, честно, удивлен, что кто-то использует какие-то менеджеры паролей, кроме KeePassDroid . Официальный play - помойка, конечно. Не уважаю большинство разработчиков под андроид совершенно

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #30, #31

30. Сообщение от Аноним (-), 02-Мрт-17, 11:37 +/–

На фоне изученных в отчёте дополнений с миллионами активных установок, KeePassDroid имеет достаточно скромную аудиторию. По звёздочкам,  KeePassDroid имеет примерно тот же рейтинг.
Т.е. для пользователя нет никаких индикаторов, что KeePassDroid лучше. Описания и заявленные характеристики примерно одинаковы. Посмотрят у кого больше установок и поставят дырявые из списка :-(

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

31. Сообщение от mumu (??), 02-Мрт-17, 11:42 –5 +/–

Интерфейс и юзабилити у него на уровне первых андроидов. Он где-то там так и остался.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #70

35. Сообщение от Аноним (-), 02-Мрт-17, 11:53 –1 +/–

Видимо, расчет на шифрование всего устройства. Менеджерпаролей - прога чтоб пароли не вводить =)

Ответить | Правка | Наверх | Cообщить модератору

36. Сообщение от Аноним (-), 02-Мрт-17, 11:57 –1 +/–

SafeInCloud наше всё!

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #59

46. Сообщение от Аноним (-), 02-Мрт-17, 12:11 –4 +/–

>Водка подешевела.
Для тебя это основной смысл жизни?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #64

53. Сообщение от Аноним (-), 02-Мрт-17, 12:17 +1 +/–

Всё, что попадает в руки комерсантов превращается в тыкву.
главное красивая обёртка, а что там под капотом пофиг, хомячки купят и схавают, серотонин вырабатывается.

Ответить | Правка | Наверх | Cообщить модератору

54. Сообщение от Аноним (-), 02-Мрт-17, 12:22 +/–

Не читал, но название уже наводит на мысль, что не про то тут. Keepass отчищает буфер-обмена, если что.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

55. Сообщение от Аноним (-), 02-Мрт-17, 12:25 +/–

>>F-Droid.
> А какая же божественная десница не пускает в F-Droid халтуру? М?
Такая, что там сначала обсуждают на форуме, что туда пускать. Некоторый хороший софт из-за этих обсуждений там годами может не появляться. После длительной дискусии и пары сотен патчей софтину всё же добавят (может быть). Это вам не помойка гугла.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

56. Сообщение от vantoo (ok), 02-Мрт-17, 12:28 +/–

За LastPass особенно обидно. А я ему доверял. Хоть и не самые важные пароли, но всякие регистрации на сайтиках.

Ответить | Правка | Наверх | Cообщить модератору

57. Сообщение от Iaaa (ok), 02-Мрт-17, 13:12 +/–

Фигня.
Например, первый из паролей со скрина - DutyZad3 - легко брутфорсится по словарю.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #58, #76, #87, #99

58. Сообщение от A.Stahl (ok), 02-Мрт-17, 13:19 +3 +/–

Ну-у-у... Легко, значит, брутфорсится? Ну если ты так говоришь...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

59. Сообщение от Антон (??), 02-Мрт-17, 13:24 +/–

А он с открытым кодом?
Довольно интересный вариант, но как убедиться что ему можно доверять.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

60. Сообщение от diggya (?), 02-Мрт-17, 13:49 +/–

Баян. Приложение, тырящее буфер обмена забирает себе все пароли. Все приложения паролей, работающие через буфер обмена, убыточны. Как решение есть челы, имулирующие клавиатуру, с двумя кнопками - ввести логин, ввести пароль.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #79

63. Сообщение от Алексей (??), 02-Мрт-17, 14:18 +/–

password store (который работает с "pass: the standard unix password manager") синхронизируется через свой git сервер, и шифрует с запороленным PGP
хотя для обычного юзера это весьма "легко" ;-)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #65

64. Сообщение от Andrey Mitrofanov (?), 02-Мрт-17, 14:23 +/–

>>Водка подешевела.
Для вас и это длинн, я поясню.
> Для тебя это основной смысл жизни?
Нет, для вас, которым "слишком длинно и фчём смысл", и которые не могут в глум над ними, такими незатуманенными-незатуманенными.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #77

65. Сообщение от Антон (??), 02-Мрт-17, 14:27 +/–

> password store (который работает с "pass: the standard unix password manager") синхронизируется
> через свой git сервер, и шифрует с запороленным PGP
> хотя для обычного юзера это весьма "легко" ;-)
наверно очень удобно использовать его в андроид-телефоне.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #66

66. Сообщение от Алексей (??), 02-Мрт-17, 14:39 +/–

после тщательной настройки, все вполне юзабильно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

68. Сообщение от Аноним (-), 02-Мрт-17, 15:25 +/–

ccrypt на гугель драйв а пароль 25 знаков в бумажном блокноте тока, какой олень хранит пароли на компе

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #71

69. Сообщение от Аноним (-), 02-Мрт-17, 15:42 +5 +/–

Навались дружнее, чо так мало минусов?
Для недалёких поясню: open source, поддерживает базу Keepassx, пароли вычищаются из буфера через таймаут или сразу после использования. Найдите надёжнее, вперёд.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

70. Сообщение от Аноним (-), 02-Мрт-17, 15:45 +2 +/–

Я сам за юзабилити. Но то что вы и вам подобные называеют этим словом - я называю "вылизанные яйца", и занимаются этим коты-корпорации, абы что делать, лишь бы оправдать штат гуманитариев с обостренным чувством "прекрасного"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

71. Сообщение от Andrey Mitrofanov (?), 02-Мрт-17, 16:29 +/–

> ccrypt на гугель драйв а пароль 25 знаков в бумажном блокноте тока,
> какой олень хранит пароли на компе
Вы шифрование свопа и тмп забылЪ. И тмпфс-а. И ту опцию в глибц-е с очисткой памяти. И...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #75

72. Сообщение от BlackRaven86 (ok), 02-Мрт-17, 16:42 +1 +/–

Хороший, сам им пользуюсь. Совместимость с десктопным KeePassX очень помогает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

73. Сообщение от fi (ok), 02-Мрт-17, 16:50 +/–

тоже удивлен что его нет в анализе.
И кажись GPL-ый

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #74

74. Сообщение от Andrey Mitrofanov (?), 02-Мрт-17, 16:56 +/–

#>>play.google.com/store/apps/
> И кажись GPL-ый
Креститься https://f-droid.org/repository/browse/?fdid=com.android.keepass надо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

75. Сообщение от НяшМяш (ok), 02-Мрт-17, 18:07 +/–

В конце - киянкой по голове для амнезии, чтобы даже под пытками свой пароль никому не сообщил.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

76. Сообщение от Аномномномнимус (?), 02-Мрт-17, 18:18 +/–

Все столь короткие пароли прекрасно брутфорсятся. Нормальная длина - хотя бы 16 знаков, лучше 20.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

77. Сообщение от Аномномномнимус (?), 02-Мрт-17, 18:39 –3 +/–

В глум он может... Ржу. У тебя и остальных просто бомбануло от одной старой фразы. У вас таких "проДвинутых" всегда с неё бомбит. И вы всегда не даёте прямых ответов на заданные в начале ветви вопросы, только посылаете на левые ссылки, на давно протухшие документы с презентацией некоего мифического USecPassBoard, как панацеи от всех бед.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64 Ответы: #95

78. Сообщение от Аноним (-), 02-Мрт-17, 19:14 +/–

https://f-droid.org/repository/browse/?fdid=com.android.keepass

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

79. Сообщение от Аноним (-), 02-Мрт-17, 19:19 +/–

Расскажите как можно использовать без буфера обмена?
Запомнить пасс в 20 символов на каждый профиль?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60

86. Сообщение от Аноним (-), 02-Мрт-17, 20:43 +/–

Интересно по 1Password. Эти его уязвимости только андроид-версии касаются? Его вебкой вообще не пользуюсь. У меня есть только iOS приложение и Windows stand-alone(не веб-морда!) версия.

Ответить | Правка | Наверх | Cообщить модератору

87. Сообщение от я (?), 02-Мрт-17, 22:15 +/–

Это смотря что брутфорсить. Если сетевой сервис - здесь, пожалуй, опасны только словарные пароли + некоторые видоизменения оных, да и вряд ли кому в здравом уме захочется перебирать таким образом тысячи паролей. А с хэшами при современной производительности GPU и 15-символьный alphanumeric mixed-case может не спасти. Я бы сказал, что DutyZad3 всё-таки хороший пароль - далеко не словарный и легко запоминается/вводится.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

88. Сообщение от Аноним (-), 02-Мрт-17, 23:24 +1 +/–

Копирование паролей через буфер обмена действительно небезопасно by design. Я придумал альтернативный вариант: cделать KeePassDroid клавиатурным приложением: нужно ввести пароль - переключил тип клавиатуры, разлочил базу, выбрал запись - оно ввело пароль и переключило клавиатуру обратно на нормальну.
Feature request на гитхабе: https://github.com/bpellin/keepassdroid/issues/188. Если у кого-нибудь есть мысли по этому поводу - добро пожаловать в обсуждение.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #91

89. Сообщение от h31 (ok), 03-Мрт-17, 02:26 –1 +/–

Мне больше этот вариант нравится:
https://play.google.com/store/apps/details?id=keepass2androi...
У него общая кодовая база с десктопным приложением, внушает некоторое доверие.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #94, #97

90. Сообщение от romanegunkov (ok), 03-Мрт-17, 03:13 +/–

Надёжное это которое использует scrypt с параметрами не ниже рекомендуемых, полностью офлайн и когда ни пароли ни контрольное слово не из словаря. Никакой брутфорс не пробьет. Точно было такое приложение, то по-моему не в гуглплее.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

91. Сообщение от Аноним (-), 03-Мрт-17, 06:14 +1 +/–

В keepass2android уже есть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88

92. Сообщение от Аноним (-), 03-Мрт-17, 07:05 +1 +/–

По названию ждал howto.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #93

93. Сообщение от 123 (??), 03-Мрт-17, 07:36 +/–

Кулхацкеры в треде.
Ждут когда им сделают пошаговый мануал с картинками "Как украсть пароли в андроид"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

94. Сообщение от Andrey Mitrofanov (?), 03-Мрт-17, 09:08 +/–

>play.google
>?id=keepass2android.keepass2android
> У него общая кодовая база с десктопным приложением,
Keeoass2 на mono. Этот _тоже_?? ...Мигель-то -- молодецЬ.
>внушает некоторое доверие.
Та. Ты Чо!?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

95. Сообщение от Ordu (ok), 03-Мрт-17, 10:07 +1 +/–

> бомбануло от одной старой фразы.
Ах вот как ты видишь ситуацию... лол.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

96. Сообщение от Ordu (ok), 03-Мрт-17, 10:09 +/–

> Это должно восприниматься как Отче наш.
Приступ неудержимой рвоты.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

97. Сообщение от Аноним (-), 03-Мрт-17, 10:13 +/–

Это та кодовая база, которая без VCS пишется?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

98. Сообщение от DmA (??), 03-Мрт-17, 17:36 +/–

кто-то считает Андроиды хоть сколько нибудь безопасными? По моему  к 4/5 всех работающих в мире Андроид устройств не выходили никакие обновления! А уж про настройки и закрытости прошивок и напичканности в этих прошивках всяких недокументированных свойств я вообще молчу. На текуoий момент можно считать, что нет никакой безопасности в сотовой связи, рядом она там даже не стояла!

Ответить | Правка | Наверх | Cообщить модератору

99. Сообщение от Аноним (-), 03-Мрт-17, 19:40 +/–

> брутфорсится по словарю
Вот потому, Iaaa, что некторые даже не отличают брутфорс от перебора по словарю,
и имеем проблемы с безопасностью

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

100. Сообщение от Виталий (??), 03-Мрт-17, 20:53 +/–

KeePassDroid (KeePass-compatible password safe) - https://f-droid.org/app/com.android.keepass

Ответить | Правка | Наверх | Cообщить модератору

101. Сообщение от chinarulezzz (ok), 05-Мрт-17, 15:00 +/–

нужна для пиара.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

102. Сообщение от Аноним (-), 08-Мрт-17, 13:51 +/–

Что не делают люди лишь бы не использовать PasswdSafe...

Ответить | Правка | Наверх | Cообщить модератору

103. Сообщение от Pavel (??), 13-Мрт-17, 16:00 +/–

По LastPass почитал конкретику - не так всё и плохо. Да если поставил галочку сохранять мастер-пароль (суицид по определению) то его потом можно расшифровать, плюс проблемы с браузером встроенным в LastPass (для меня сюрприз что он там вообще есть!) В принципе не смертельно, но баг конечно довольно детский.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (-), 02-Мрт-17, 08:50	+7 +/–
Сапожники без сапог. Тоже самое с антивирусами. Из свежего: http://seclists.org/fulldisclosure/2017/Feb/68 "Remote Code Execution as Root via ESET Endpoint Antivirus 6"
Ответить \| Правка \| Наверх \| Cообщить модератору

2. Сообщение от Аноним (-), 02-Мрт-17, 08:55	+1 +/–
Шикарно: MyPasswords SIK-2016-043: Free Premium Features Unlock for My Passwords
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3

3. Сообщение от Аноним (-), 02-Мрт-17, 09:08	+/–
Это не то, что можно подумать: "The free application from the google play store can be upgraded to a premium version with additional features. An implementation flaw allows the user directly to upgrade the app without paying."
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

4. Сообщение от iv (?), 02-Мрт-17, 09:18	+8 +/–
По ссылке только проблемные приложения. А что нибудь нормально работающее они нашли?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #26, #90

5. Сообщение от Mohn (?), 02-Мрт-17, 09:21	+6 +/–
А как насчет KeepassDroid?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12, #78

6. Сообщение от Аноним (-), 02-Мрт-17, 09:28	+1 +/–
LastPass дыряв "by design", сколько там дыр не находи, они всё равно на одни грабли продолжают наступать - https://lastpass.com/support.php/support.php?cmd=showfaq&id=...
Ответить \| Правка \| Наверх \| Cообщить модератору

7. Сообщение от dimqua (ok), 02-Мрт-17, 09:32	+4 +/–
Нашли чего тестить. Да кому нужна эта проприетарщина?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #11, #101

8. Сообщение от Аноним (-), 02-Мрт-17, 09:37	+3 +/–
Мда, KeepSafe - 10 млн установок, у остальных от миллиона до пяти. И гады, как в описаниях ярко себя преподносят bank-level, military-grade.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

9. Сообщение от A.Stahl (ok), 02-Мрт-17, 09:38	+8 +/–
Хранение секретных данных это целая наука и сложно ожидать глубоких знаний от разработчиков андроид-приложений для домохозяек. Тут логичней воспользоваться чем-то таким (https://play.google.com/store/apps/details?id=tk.asciigames.... что в принципе пароли не хранит, а просто делает их более удобными для запоминания человеком.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #57

10. Сообщение от adminlocalhost (ok), 02-Мрт-17, 09:39	+3 +/–
А что они должны писать в описаниях себя? "мы дырявое сито"?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

11. Сообщение от сисястая_тян (?), 02-Мрт-17, 09:46	–2 +/–
ретрошаровцы, поди, телефонами вообще не пользуются. :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

12. Сообщение от Аноним (-), 02-Мрт-17, 09:50	+/–
http://fc13.ifca.ai/proc/4-2.pdf
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #21, #54

13. Сообщение от Аноним (-), 02-Мрт-17, 09:53	+/–
И зачем все эти софтины без совместимости с keepass bd нужны? Интересно, у них до весьма популярного Keepass2android руки не дошли или с ним всё в порядке?
Ответить \| Правка \| Наверх \| Cообщить модератору

14. Сообщение от Аноним (-), 02-Мрт-17, 10:08	–2 +/–
уж сколько раз твердили миру: не устанавливайте крап из google play
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17

15. Сообщение от Аноним (-), 02-Мрт-17, 10:14	+11 +/–
Приложения для обеспечения секретности должны быть с открытым кодом - необходимое условие. Это должно восприниматься как Отче наш.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #96

16. Сообщение от яя (?), 02-Мрт-17, 10:15	+/–
умные клавиатуры на смартфонах могут отправлять все, что было введену кому-то неизвестному в интернете. какой смысл хранить все пароли в закрытом хранилище, если они в сеть могут слиться еще на стадии ввода в БД?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #22

17. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:17	+8 +/–
Предлагаешь устанавливать его из файлопомоек с apk-шками?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #25

19. Сообщение от ryoken (ok), 02-Мрт-17, 10:27	+2 +/–
Вкратце: На ведроиде безопасности нет или нужен напильник. (Всякие там альтернативные прошивки + вдумчивое копание по специализированным ресурсам).
Ответить \| Правка \| Наверх \| Cообщить модератору

20. Сообщение от Аноним (-), 02-Мрт-17, 10:31	+1 +/–
Да почти все дырявы: передают пароль через буфер обмена вместо использования accessibility api.
Ответить \| Правка \| Наверх \| Cообщить модератору

21. Сообщение от Аномномномнимус (?), 02-Мрт-17, 10:39	–22 +/–
Какая-то длинная портянка на языке потенциального противника, в которой мылятся основы, не дочитал. А по сути есть что?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #23

22. Сообщение от Аноним (-), 02-Мрт-17, 10:44	–1 +/–
фаерволом им запретить лезть туда
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

23. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:47	+22 +/–
>на языке потенциального противника Божежтыжмой... У-х-х-х... >А по сути есть что? Водка подешевела.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #28, #46

25. Сообщение от Проходямимо (?), 02-Мрт-17, 10:50	–1 +/–
F-Droid. А конкретно KeePassDroid или как там... p.s. смотрю ты активизировался. весна приходит?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #27, #60

26. Сообщение от Аноним (-), 02-Мрт-17, 10:53	+11 +/–
https://play.google.com/store/apps/details?id=com.android.ke...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #69, #72, #73, #89

27. Сообщение от A.Stahl (ok), 02-Мрт-17, 10:56	+8 +/–
>F-Droid. А какая же божественная десница не пускает в F-Droid халтуру? М?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #55

28. Сообщение от Аномномномнимус (?), 02-Мрт-17, 10:57	+2 +/–
> Водка подешевела. Хорошо тебе...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23

29. Сообщение от Аноним (-), 02-Мрт-17, 10:58	+1 +/–
Пишут, что > !! Update 2017-03-01: All reported vulnerabilities are fixed by the vendors !! Через полгода после репортов пофиксили. Я, честно, удивлен, что кто-то использует какие-то менеджеры паролей, кроме KeePassDroid . Официальный play - помойка, конечно. Не уважаю большинство разработчиков под андроид совершенно
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #30, #31

30. Сообщение от Аноним (-), 02-Мрт-17, 11:37	+/–
На фоне изученных в отчёте дополнений с миллионами активных установок, KeePassDroid имеет достаточно скромную аудиторию. По звёздочкам, KeePassDroid имеет примерно тот же рейтинг. Т.е. для пользователя нет никаких индикаторов, что KeePassDroid лучше. Описания и заявленные характеристики примерно одинаковы. Посмотрят у кого больше установок и поставят дырявые из списка :-(
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29

31. Сообщение от mumu (??), 02-Мрт-17, 11:42	–5 +/–
Интерфейс и юзабилити у него на уровне первых андроидов. Он где-то там так и остался.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29 Ответы: #70

35. Сообщение от Аноним (-), 02-Мрт-17, 11:53	–1 +/–
Видимо, расчет на шифрование всего устройства. Менеджерпаролей - прога чтоб пароли не вводить =)
Ответить \| Правка \| Наверх \| Cообщить модератору