Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key

far4

Это новинка, которая появилась в свежей сборке snapshot-версии. Но теперь кто угодно, случайно завладев устройством на 2 минуты, может создать бэкап ключа и быстренько его записать, сфотографировать, а затем удалить созданный файл.
Я предлагаю обезопасить сам процесс создания бэкапа ключа, защитив его предварительным запросом мастер-пароля.

kurai

@far4 Я бы подождал официального представления данной опции. Снапшот - это тестовая версия, опции в которой могут сильно измениться к релизу. К тому же ключ может быть привязан к устройству.

far4

@kurai надеюсь, что как-то изменятся. Но предложение, имхо, лишним не будет.
А что касается привязки, то вот такой я человек, что меня интересует техническая конкретика и подробности, т.е. что из себя представляет эта привязка, насколько её можно фальсифицировать.... собственно, в той цитате на английском упоминалось, что ключ может быть полезен даже при переустановке системы (перепрошивке устройства? - а это может подразумевать и маскировку устройства, например xiaomi mipad-1 можно маскировать под shield k-1, можно менять серийный номер устройства и т.д.). Я уж не говорю про логичное использование ключа на разных устройствах, если уж забыт мастер-пароль.
Короче, с точки зрения безопасности лучше было бы либо сохранять зашифрованный и защищенный отдельным паролем (ещё одним!) хеш... или вообще этой очень проблемной фишки не делать.
Потому что лично мне пока неясно, как будет обеспечиваться безопасность под девизом "вы забыли свой мастер-пароль? О, это не потому, что вы забудько и не сохранили пароль хотя бы в keepass или в зашифрованном rar/7z. Нет-нет, вот вам txt-файлик, который вас спасёт! Вы его можете создать просто так и в любой момент, снова и снова".

ps Кстати, вот пример отношения к безопасности у вивальдийцев: пароль, дающий доступ к учетке (не мастер-пароль, а обычный), пароль, позволяющий общаться на этом форуме и почтовый пароль - это всё один и тот же пароль. А по уму лучше было сделать три разных! И это не проблема технически, это говорит об отношении к безопасности.

sedative29rus

Вообще-то для начала надо будет негодяю разблокировать устройство. Там же пароли, пин-коды, графические ключи и т.д.
А чтобы воспользоваться забэкапленным ключём нужно сначала ввести логин и пароль от аккауната вивальди.

far4

@sedative29rus верно, но представим себе ситуацию, когда разблокированный смарт оказался в чьих-то руках на 5-10 минут, и браузер при работе как правило уже залогинен (ведь мало кто-то логиниться раз в неделю для синхронизации, а потом разлогинивается, так? синхронизация - процесс постоянный и фоновый). Ну и вот.
Я уж не говорю о людях, которые не используют локскрин.
А первый пароль... ну да, в этом случае, он становится единственной защитой. И если его вдруг можно сбросить сравнительно беспроблемно, то всё - учётка в чужих руках.

kurai

@far4 said in Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key:

А по уму лучше было сделать три разных!

Нет

kurai

@far4 said in Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key:

разблокированный смарт оказался в чьих-то руках на 5-10 минут

Вы часто даёте свой разблокированный телефон незнакомцам?
Всю человеческую глупость разработчики предусмотреть не могут.

far4

@kurai почему же нет, аргументируйте! Как по мне, то как раз - да, при этом, заметим, что вход в почту Вивальди не защищен 2FA, в отличие от gmail-а, например. Да 2FA - это сейчас вообще стандарт у почтовиков. А здесь почта защищена только одним паролем, общим для всей системы и всё.
Наоборот, по уму правильно иметь отдельный пароль для каждой функции, связанной с экосистемой Вивальди: для браузера, для форума, для почты... для блога свой, если человек ведёт. Уже 4!
Кроме того, раньше здесь поднимался вопрос: где можно посмотреть и прекратить свои устаревшие активные сессии? За то время, что я пользуюсь браузером, я, наверное, сто раз логинился без разлогина, и эти активные входы, конечно, где-то висят в системе (и будем надеяться, что они завершаются по таймауту).
И кроме того, тот же фейсбук, например позволяет присылать служебные уведомления (например, уведомление о запросе смены пароля на запасной мэйл), зашифрованные pgp, и это дополнительная ступень защиты. Вивальди-почта работает с pgp-ключами, но вот чтобы любые служебные уведомления опционально слались зашифрованными - такого я не нашёл. Хотя, казалось бы, элементарно делается, раз уж есть поддержка pgp в веб-почте.

far4

@kurai телефон можно даже потерять и его могут украсть. А уж "дай позвонить на 5 минут...". Здесь, в данном случае, проблема в незащищенности самого процесса бэкапа и незащищенности ключа.
Например, Титаниум Бэкап шифрует с паролем данные приложений при бэкапе. OpenKeyChain шифрует с паролем бэкапы ключей. Понимаете, нельзя всерьёз воспринимать безопасность/приватность браузера, который к тому же претендует на хранение/автозаполнение паролей, и при этом не защищает свои бэкапы.

sedative29rus

Если я сейчас выложу сюда свой ключ, чем я рискую?

far4

@sedative29rus не знаю. Я не знаю, как практически работает шифрование в Вивальди и логин.
Я даже не знаю, можно ли этот ключ раскопать во внутренней папке Вивальди, имея рут.
Но мне не нравится сама идея бесконтрольного бэкапа ключа.

Ваш вопрос из разряда: предположим, я выложу сюда свой мастер-пароль, что мне будет?
Скорее всего, ничего не будет, учётка защищена основным паролем. Хранится ли основной пароль на серверах Вивальди в оригинальном или восстановимом виде? Очень хочу верить, что нет. Хотя деталей, как именно Вивальди шифрует инфу, мы не знаем, это тайна фирмы.
Но если уж мы берём двухпарольную защиту за основу, то нет смысла её ослаблять.

sedative29rus

@far4 Мне вообще кажется, что это в какой-то мере реакция на подобные темы, которых на форуме миллиарды. Теперь можно не ставя мастер-пароль забэкапить ключ, и если потом браузер вдруг попросит этот мастер-пароль, который человек не назначал, то можно будет скормить ключ и не расстраиваться. А скормить его можно только после успешного входа с парой логин/обычный пароль.
А вот насчёт упомянутой двухэтапной аутентификации я тоже периодически задаюсь вопросом, почему в настройках её не могу найти. @Shpankov, может в двух словах прольёте свет на такую политику?

far4

@sedative29rus нет, я ещё не видел эту тему и не раскапывал в этом направлении, - спасибо, это любопытно.

Моя позиция в том, что если уж делать, то делать надёжно. Пароли хранить в keepass (online или offline) или в зашифрованных архивах, или в pgp, бэкапы данных от клиентов 2FA - тоже шифровать, сами клиенты 2FA - паролить на запуск. Если кто-то боится потерять файлы - можно копии хранить в облаке в криптоконтейнере.
В общем-то надёжнее достаточно длинного пароля пока никто ничего не придумал.

kurai

@far4 said in Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key:

почему же нет, аргументируйте!

Потому что это ОДНА учётная запись. У вас же нет отдельного паспорта для предъявления при покупке алкоголя? А отдельного паспорта, который вы предъявляете в банке? Или отдельного паспорта для покупки билетов на самолёт?
Вот с паролем от учётной записи такая же ситуация.

kurai

@far4 said in Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key:

@sedative29rus не знаю. Я не знаю, как практически работает шифрование в Вивальди и логин.
Я даже не знаю, можно ли этот ключ раскопать во внутренней папке Вивальди, имея рут.

Но ещё один пароль точно нужен, ага

far4

@kurai давайте так, ввод мастер-пароля при бэкапе таки нужен.

А вообще говоря, сделаю лирическое отступление: я бы на месте администраторов Вивальди чётко бы прописал правила. Вот человек скачал браузер, создал учётку, он стал пользоваться в том числе и почтой Вивальди, притом бесплатно, как бесплатно и браузером. Пользуется процессорным временем и местом на серверах.
А затем человек, допустим, перестал пользоваться браузером Вивальди, - вопрос, как долго он сможет продолжать пользоваться почтой, как долго будет существовать учётка? То есть когда почтовый сервис и учётка браузера связаны в одно целое, и одним паролем в том числе, этот вопрос и аналогичные вопросы возникают сами собой. Гугль, самсунг и мелкомягкие эти вещи тщательно прописывают в своих соглашениях с конечным пользователем, и не стесняются напоминать, если вдруг время существования ящика истекает по тем или иным причинам. У Вивальди есть такие правила, не подскажете?

То есть я как раз за четкое разделение, границы в предоставлении сервисов, и юридические и учетки с паролями, за полную ясность. Потому что, когда задумываешься, как это всё работает, почему даром, насколько это всё надёжно и кто за это платит в конечном итоге - возникает некоторая обеспокоенность и хочется полной ясности. Вивальди ведь не гигант IT как гугль.

В моём понимании, отдельные учетки/пароли - это ещё и формальный признак разделённости сервисов. Дескать, вот браузер, вот почта, вот блог, вот форум. Можно пользоваться всем вместе или любой частью на выбор.

Nikolay68

Поддержу @far4. Любые меры безопасности излишни пока внезапно в них не возникает необходимость. Телефон можно дать позвонить, можно бухим заснуть с телефоном в кармане в окружении злоумышленников, которые с помощью пальца на бесчувственном теле смогут разблокировать телефон. Наконец, телефон можно отдать в сервис. Та же проблема с ноутбуком. Если на настольном ПК можно самому что-то поменять, то с телефоном и ноутом в этом плане засада. Я, например, не возьмусь разбирать ни то, ни другое. И возможность передачи девайса в сервис висит дамокловым мечом над пользователями сверхкомпактных устройств.
Для включения разблокировки по отпечатку требуется предварительно создать, например, графический ключ. И любые действия с отпечатками требуют ввода этого ключа. То же происходит после перезагрузки. Это дополнительная мера безопасности. Поэтому прежде чем заснуть в небезопасном месте нужно отправить телефон на перезагрузку. Бесчувственным пальцем его уже нельзя будет разблокировать.
Так что, да, бекап ключа может делать только тот, кто знает мастер-пароль.

kurai

@far4 said in Предлагаю запрашивать подтверждение мастер-пароля при создании backup-encryption-key:

Потому что, когда задумываешься, как это всё работает, почему даром, насколько это всё надёжно и кто за это платит в конечном итоге - возникает некоторая обеспокоенность и хочется полной ясности.

Вот вам статья об источниках дохода Vivaldi.

Условия использования сервисов указаны в нижней части каждой страницы каждого сервиса Vivaldi

far4

@nikolay68 здесь есть нюанс: на некоторых (многих?) аппаратах с разблокированным загрузчиком и кастомным рекавери (aka twrp, и привет aosp-прошивки) сбросить блокировку локскрина, любую - как два байта переслать.
Вообще говоря, любая серьёзная защита андроида основывается на заблокированном загрузчике, не рутировании и шифровании разделов, но многие ли это делают?

far4

@kurai прочел, но тогда я точно нахлебник: пользуюсь в 99% гуглем и удаляю все партнёрские ссылки ~грустная улыбка~
Да и не серьёзно всё это выглядит в плане стабильного дохода.
Прочёл правила, спасибо, в переводе серверов Вивальди они особенно... доставляют. Алгоритмам переводов ещё расти и расти. Главное, что я понял, для сохранения учетки нужно любое проявление активности не реже, чем раз в 6 месяцев, например, хотя бы разовое за полгода обращение к почте с помощью любого почтового клиента, верно?