Ang katotohanan tungkol sa 1Password security na kapintasan

Sa mga araw na ito ay tiyak na nabasa mo ang mga artikulo tungkol sa isang seryosong kapintasan sa seguridad sa 1Password, isa sa mga pinakamahusay na application na umiiral para sa iOS at OS X at isa sa aming mga paborito para sa mabuting gawa na ginagawa sa mga tagabuo nito, na may patuloy na pag-update nang walang gastos sa mga gumagamit nito.mga gumagamit. Sa personal, nasa application na pinagkakatiwalaan ko ang pag-iimbak ng aking mga password, mga detalye sa bangko, mga credit card, atbp. sa loob ng maraming taon, at nag-aalala ako tungkol sa pag-alam tungkol sa depekto sa seguridad na ito sapagkat napaka-interesado ko rito. Tulad ng madalas na nangyayari sa mga kasong ito, binabaha ang scaremongering at sensationalism sa web (Huwag nating kalimutan na ito ang pinakamabenta) kaya susubukan kong linawin kung ano ang nangyari at kung ano ang maaaring magkaroon nito.

Ang problema

Ang lahat ay batay sa isang ulat na nai-publish ng isang inhinyero ng Microsoft, si Dale Myers, kung saan tinitiyak niya iyon Ang 1Password ay nakakatipid ng data na hindi naka-encrypt sa sistemang pag-encrypt ng AgileKeychain. Ang hindi naka-encrypt na data na ito ay partikular na mga web address ng mga pahinang iyon na nai-save namin sa serbisyong ito, at ang kanilang mga pamagat, ngunit hindi kailanman ang aming data sa pag-access mismo, na mananatiling perpektong naka-encrypt. Bakit panatilihing hindi naka-encrypt ang data na ito? Talaga dahil ang pag-encrypt ng mga ito sa oras na iyon (pinag-uusapan natin ang tungkol sa 2008) sanhi ng mga problema para sa ilang mga aparato kapag na-access ang data na iyon at sanhi ng mga problema sa pagganap at baterya.

Sa ngayon maiisip ng isa, "Ano ang problema?" Maraming mga gumagamit ang gumagamit ng 1PasswordAnywhere, isang pagpapaandar na ginagamit ng Dropbox upang maiimbak ang iyong mga key ng 1Password at pinapayagan kang ma-access ang mga ito mula sa anumang browser nang hindi na-install ang application sa aparato. Ito mismo ang kung saan nakasalalay ang pangunahing problema: Ini-index ng Google ang nilalamang ito kapag naimbak ito sa isang html file, at ang isang taong may kinakailangang kaalaman ay maaaring magkaroon ng pag-access sa file na ito at malaman ang data na walang naka-encrypt. Pinipilit kong muli, huwag kailanman ang iyong data sa pag-access, mga web address at pangalan lamang ng mga web na naimbak mo sa 1Password, hindi ang iyong mga kredensyal.

Ang solusyon

Ang mga tagabuo ng 1Password mismo ay nalutas na ang problemang ito pabalik noong 2012 sa isang bagong paraan ng pag-save ng iyong data na tinatawag na OPVault. Ang bagong system na ito ay naka-encrypt ang lahat ng data, kabilang ang mga hindi naka-encrypt sa AgileKeychain. Ano ang problema? Na kailangan nilang magpasya kung gagamitin ang OPVault bilang nag-iisang sistema ng pag-encrypt, o ipagpatuloy ang paggamit ng AgileKeychain bilang isang kahalili. At pinili nila ang pangalawang pagpipiliang ito.

Bakit panatilihin ang isang hindi gaanong ligtas na system? Ang OPVault ay hindi nagpose ng isang problema sa mga gumagamit ng iOS at Mac OS X, ngunit sa Windows, mga gumagamit ng Android, at sa mga nag-opt para sa Dropbox bilang kanilang data sync system. Ang mga mas lumang bersyon ng 1Password ng huli ay hindi tugma sa OPVault, kaya't kailangan nilang magpasya kung ano ang gagawin: iwanan ang mga dating bersyon o magpatuloy sa pagbibigay ng pagiging tugma sa lahat. At pinili nila ang pangalawang kahaliling ito, pinapanatili ang pagpipiliang gamitin ang AgileKeychain.

Ang laki talaga ng problema

Ang pinakamahalagang bagay ay upang igiit ang data na ang isang tao na maaaring maabot ang html file at basahin ang iyong data ay magkakaroon ng pag-access sa (na hindi madali): mga web address at pamagat sa web. Yun lang Oo, totoo na walang sinuman ang kailangang malaman ang data na ito, at ito ay isang kasalanan na dapat itama, ngunit Hindi kailangang matakot para sa iyong data ng pag-access sa mga website o mga numero ng iyong credit card, na isang kaluwagan.

Kapag naging malinaw ito, kinakailangan ding ituro kung sino ang may ganitong problema: ang mga gumagamit pa rin ng AgileKeychain. Ang mga gumagamit na gumagamit na ng OPVault ay wala ring kaunting problema. Sino ang mga gumagamit ng OPVault? Ang mga gumagamit ng 1Password para sa iOS at OS X na pinagana ang pagpipiliang pag-sync ng iCloud (tulad ng kaso ko). Kung ito rin ang iyong kaso, kung gayon walang problema sa iyo. Kung ikaw ay isang gumagamit ng 1Password sa Windows, Android o gumagamit ka ng Dropbox bilang isang sistema ng pagsasabay pagkatapos ay kailangan mong baguhin sa OPVault bilang isang imbakan na sistema, na perpektong ipinaliwanag mo sa Agilebits blog, 1Password developer (sa dulo ng artikulo).