Názory k článku
Firefox bude mít nového správce hesel Lockbox

Skoda, ze to zatim vypada, ze to umi jen loginy na web. Mohli by pridat jeste kreditky a obecny sifrovany key-value storage.

Já bych spíš ocenil, kdyby umožnily integraci s externími správci hesel. Zatím se to řeší pluginy do prohlížečů, což není tak bezpečné a nefunguje to třeba pro HTTP autentizaci. Pak byste si vybral správce hesel, který ty kreditky a key-value úložiště umí.

HTTP Basic Auth je jediná věc, která mi chybí při používání bitwardenu :( Fakt by bylo super, kdyby do webextension API přidali i password management.

Bitwarden je moloch. Prezentuje sa ako open-source, ale bez platenia toho moc neponúka. A vyžaduje cloud, žiadne lokálne uloženie a prípadný sync cez iné služby. A správca hesiel v JavaScript je z princípu problém. IMHO hodne preceňovaná aplikácia.

Zajimave, mohl byste tenhle komentar nejak rozvest?

Na homepage bitwardenu ctu, ze je mozne provozovat self-hosted verzi. Nebo syncem pres jine sluzby myslite ulozeni souboru do dropboxu, nebo jak? A ten klient nema lokalni cache, ze ktere by cetl, kdyz je offline?

A ten javascript - vidim, ze nabizeji nativni klientske aplikace. Takze pouzivaji neco jako electron? A jake to ma bezpecnostni problemy? Chapu, ze z hledisky vykonu/sezrane RAM je to spatne, ale je tam podle vas i neco vylozene nebezpecneho?

> nefunguje to třeba pro HTTP autentizaci.

KeepassXC (spravca) + KeepassXC-Browser (plugin) HTTP auth vie.

Také 1password plugin v Chromu zvládá HTTP autentizaci.

Standardizace ukládání hesel znamená i standardizaci útoků.

Standardizacia zlepsuje interoperabilitu, vyvoj a celkovo pokrok, bez standardizacie by nebol ani internet ani PC a kopec inych dobrych veci. Napr. Rovnaky konektor na kazdom mobile ;-)

Takže Firefoxí storage na hesla bude schopen používat i Chrome?

Security through obscurity není dobrý způsob zabezpečení.

Útočit zároveň na 500 správců hesel je těžší než útočit pouze na 2.
Přidat ke standardním způsobům i "nestadardizaci" některých věcí tedy objektivně zvyšuje náklady na provedení útoku, který zasáhne stejné procento uživatelů..

Ano, popisujete výhody Security through obscurity. Zapomínáte ale na jeho nevýhody – ta nestandardnost objektivně zvyšuje také náklady na obranu. Takže ve výsledku skončíte s 500 děravými správci hesel místo s 2 bezpečnými. To, že bude útok na 500 správců hesel trvat 250× déle, než útok na 2 správce hesel, je k ničemu. Zvýšení obtížnosti 250× je v bezpečnosti k ničemu, tam musíte počítat v řádech.

Systematicky zaměňuješ security THROUGH obscurity za Security with ADDITIONAL obscurity. Pouhá bezpečnost je slabší než bezpečnost s obscurity.

250x se budou násobit útočníkovy náklady na vývoj malwaru. Musel by každého z těch 500 správců hesel stáhnout, nainstalovat a podívat se, kam a jak to ukládá hesla. To nikdo dělat nebude. (Byl tu někdy nějaký banker trojan, který by uměl třeba i jen 100 webů?) Útočník bude muset přejít na "obecnou" metodu útoku, jako například zavěsit se na programy, které hesla nejčastěji používají.

Skončím s 500 děravými správci hesel místo 2 bezpečných? Zhruba stejně jako jsem skončili s 500 děravými linuxovými distribucemi místo 2 bezpečných.

Doplnil bych:

* Spousta nedodělaných správců sníží náklady na cílený útok.
* Pokud není v prohlížeči vhodné API a je potřeba to tam nějak dodělat, zvyšuje se riziko chyby.

Snad to po nasazení na desktop nenahradí uplně aktualni spravce hesel ve smyslu promazání všech již uložených.