ลูกค้าจะสามารถส่งรหัสผ่านให้ฉันได้อย่างง่ายดายและปลอดภัย? [ปิด]

ฉันมักจะต้องได้รับรหัสผ่านจากไคลเอนต์สำหรับ FTP, SSH, MySQL, Authorize.net และอื่น ๆ

วิธีง่ายๆในการส่งรหัสผ่านให้ฉันอย่างปลอดภัยคืออะไร อาจจะไม่มีพวกเขาจำเป็นต้องเข้าสู่ระบบ / รหัสผ่าน?

เซสชัน IM ที่เข้ารหัสเป็นสิ่งที่สร้างความยุ่งยากให้กับการตั้งค่าที่ไม่ใช่เทคโนโลยี การโทรศัพท์จะทำให้ความสนใจของฉันกระจ่างและจำเป็นต้องมีการจัดการ (โทร VOIP ปลอดภัยหรือไม่?)

อุดมคติ:วิธีที่ง่ายสำหรับผู้ที่ไม่ใช้เทคโนโลยีเพื่อส่งอีเมลแบบเข้ารหัส PGP / GPG ไม่ได้ตัดเว้นแต่ว่า Outlook จะมีตัวช่วยในตัวที่ง่ายมาก (คุณไม่เคยรู้...?)

ดี:ระบบข้อความที่ปลอดภัยบนเว็บ (หวังว่าจะเป็น PHP) ที่ฉันสามารถโฮสต์และใช้งาน SSL ได้ ฉันไม่สามารถหาอะไรแบบนี้ได้

บางทีฉันอาจจะถามสิ่งที่ผิดหรือวิธีที่ผิด ข้อเสนอแนะใด ๆ ที่ได้รับการชื่นชม!

ความคิดของคุณเกี่ยวกับระบบการส่งข้อความทางเว็บนั้นสามารถนำไปใช้กับ HTML และ PHP (ส่วนใหญ่เป็น HTML) ในระบบใด ๆ ที่ติดตั้ง SSL เว็บเซิร์ฟเวอร์และ GPG จริงๆแล้วเป็นเพียงโปรแกรมประเภท formmail ที่เรียบง่าย แต่พิเศษ คุณสามารถแฮ็คสคริปต์ CGI ของ formmail ที่มีอยู่เพื่อแทรกการโทรไปยัง GPG (ถ้าไม่มีอยู่ให้ลองใช้ Googling สำหรับ formmail + GPG)

• หากคุณยังไม่ได้ติดตั้งให้ติดตั้ง gpg บนเวิร์กสเตชันของคุณและสร้างกุญแจสาธารณะและกุญแจส่วนตัวของคุณ
• สร้างหน้า php ที่แสดงแบบฟอร์มเพื่อรับข้อความ (ช่องข้อความ) เข้ารหัสด้วย gpg โดยใช้กุญแจสาธารณะของคุณและส่งอีเมลถึงคุณ เขียนโค้ดที่อยู่อีเมลของคุณในสคริปต์ (iE ไม่อนุญาตให้ผู้ส่งระบุว่าจะส่งใคร)
• ติดตั้งหน้า php บนเซิร์ฟเวอร์ ssl ที่มีอยู่หรือสร้างขึ้นใหม่สำหรับงาน ใบรับรองที่ลงนามเองดีพอสำหรับงานนี้
• แจ้งให้ลูกค้าของคุณทราบเมื่อคุณต้องการให้พวกเขาส่งการเข้าสู่ระบบและรหัสผ่านให้คุณ

Btw, Thunderbird มีปลั๊กอินEnigmailซึ่งทำให้การใช้การเข้ารหัส GPG ง่ายมาก แต่ก็ยังคงมีปัญหามากเกินไปสำหรับผู้ใช้ทั่วไป

PGPได้รับความนิยม

นอกจากนี้คุณยังสามารถลองวิธีการประชุมที่ลองและเป็นจริงได้ที่บ่อโดยเฉพาะอย่างยิ่งเมื่อคุณทั้งสองสวมเสื้อโค้ทกันฝน

นี่คือการรวมกันระหว่างไฟล์ข้อความและโทรศัพท์:

ให้ไคลเอ็นต์ของคุณใส่รหัสผ่านในไฟล์ข้อความธรรมดาแล้วปล่อยไฟล์ข้อความลงในไฟล์ซิปที่ป้องกันด้วยรหัสผ่าน (7zip ฟรีและโอเพ่นซอร์ส) ให้พวกเขาส่งอีเมลไฟล์. zip / .rar / .7z ที่เข้ารหัสไปให้คุณแล้วโทรด้วยชื่อผู้ใช้และรหัสผ่านสำหรับไฟล์ zip

การทำเช่นนี้จะป้องกันไม่ให้ใครก็ตามเปิดไฟล์ zip และแม้ว่าพวกเขาจะทำมันเป็นเพียงรหัสผ่านซึ่งจะไม่ให้ข้อมูลใด ๆ แก่คุณหากไม่มีข้อมูลอื่น ๆ เช่นชื่อผู้ใช้และตำแหน่งที่จะใช้

นอกจากนี้ยังเป็นวิธีส่งอีเมลประเภทไฟล์ "ที่ต้องห้าม" เช่น. exe ไปยังไคลเอนต์อีเมลที่สแกนไฟล์แนบและภายในรหัสไปรษณีย์ ในกรณีเหล่านั้นฉันมักจะใส่รหัสผ่านสำหรับไฟล์ซิปในอีเมลและโดยปกติจะเป็น "รหัสผ่าน" แต่เพียงพอที่จะหยุดซอฟต์แวร์อีเมลไม่ให้ตรวจสอบเนื้อหาได้

อย่าเน้นเรื่องนี้มากเกินไปและอย่าประเมินความสำคัญของสิ่งที่ลูกค้าของคุณส่งถึงคุณ

หากคอมพิวเตอร์เครื่องใดเครื่องหนึ่งมีตัวบันทึกคีย์ทำงานอยู่การเข้ารหัสจำนวนหนึ่งจะไม่ปกป้องรหัสผ่านที่มีค่าเหล่านั้น

ฉันจะไม่ส่งรหัสผ่านที่ละเอียดอ่อนจริงๆผ่านอินเทอร์เน็ต (เช่นรหัสผ่านของผู้ดูแลระบบ) แต่สำหรับแอปพลิเคชันที่คุณพูดถึง? มันไม่คุ้มค่ากับความพยายามที่จะรักษาความปลอดภัยให้กับพวกเขาในโอกาสที่มีคนอาจขัดขวางอีเมลของคุณ

หากลูกค้าของคุณเป็นกังวลพวกเขามีหลายตัวเลือก:

1. เรียนรู้วิธีส่งอีเมลที่เข้ารหัส
2. ส่งแฟกซ์หากเป็นไปได้
3. เมล์หอยทาก? (ฮ่า ๆ)
4. พูดให้ชัดเจนทางโทรศัพท์โดยใช้ตัวอักษรออกเสียง

ตั้งค่าไฟล์รหัสผ่านที่ปลอดภัยในDropbox ของชาร์ดดังนั้นลูกค้าสามารถเพิ่มรหัสผ่านได้ตามต้องการ

โจเอลอธิบายเทคนิคที่นี่

Cryptocatเกี่ยวกับอะไร? ปลอดภัยใช้งานง่ายและเบราว์เซอร์เป็นสิ่งที่คุณต้องการ สำหรับรายละเอียดโปรดดูที่หน้าเกี่ยวกับ

ตามที่ Ian Dunn ได้ชี้ให้เห็นแล้วระบบมีข้อบกพร่องที่ผู้โจมตีสามารถทำเป็นลูกค้าของคุณได้ การรักษาความปลอดภัยเฉพาะในกรณีนี้จะเป็นชื่อของห้องสนทนานั้นจะกลายเป็นที่รหัสผ่าน ปัญหาเปลี่ยนไป แต่ไม่ได้รับการแก้ไข

อย่างไรก็ตามบ่อยครั้งที่ฉันต้องส่งไคลเอนต์ 30+ ชาร์ลสลัด (เราเรียกพวกเขาว่ารหัสผ่าน) และฉันส่วนใหญ่ฉันใช้ crypto.cat เพื่อแลกเปลี่ยนข้อมูลประจำตัวขณะพูดคุยกับพวกเขาทางโทรศัพท์ CTRL+Cนี้ดูเหมือนว่าจะมีความปลอดภัยมากสำหรับผมและลูกค้าสามารถใช้

คุณอาจต้องการลอง NoteShred มันเป็นเครื่องมือที่ทำขึ้นมาเพื่อความต้องการของคุณ คุณสามารถสร้างบันทึกย่อที่ปลอดภัยส่งลิงค์และรหัสผ่านให้คนอื่นและให้มัน "ฉีก" มันเองหลังจากที่พวกเขาอ่าน โน้ตหายไปและคุณจะได้รับอีเมลแจ้งเตือนเพื่อแจ้งให้คุณทราบว่าข้อมูลของคุณถูกทำลาย

ฟรีและไม่ต้องลงทะเบียนใด ๆ

https://www.noteshred.com

ของ Skype Instant Messaging ที่ถูกเข้ารหัส

ตอนนี้คำเตือนที่จำเป็นมาที่นี่: Skype ไม่ใช่โอเพ่นซอร์สดังนั้นคุณไม่รู้เลยว่าพวกเขาทำงานได้แย่มากหรือติดตั้งลับๆของรัฐบาลหรือคัดลอกข้อความทั้งหมดไปยัง Bob ใน IT แต่หลักฐานที่ดีที่สุดแสดงให้เห็นว่ามันเป็น ปลอดภัย

วิธีการเกี่ยวกับในไฟล์ข้อความในคีย์ USB เข้ารหัสส่งผ่านจดหมายหอยทาก

กระบวนการนี้ใช้ไม่ได้ในทุกสถานการณ์ แต่ฉันคิดว่ามันดีสำหรับระบบที่มีผู้ใช้หลายคน (เช่น CMS หรือแผงควบคุมโฮสติ้ง):

1. ลูกค้าโทรหาคุณทางโทรศัพท์
2. ในขณะที่คุณใช้โทรศัพท์ลูกค้าจะเข้าสู่ระบบและสร้างบัญชีผู้ดูแลระบบใหม่โดยเฉพาะสำหรับคุณแทนที่จะให้สิทธิ์การเข้าถึงบัญชีที่มีอยู่
3. พวกเขาเลือกข้อความรหัสผ่านที่ค่อนข้างง่ายสุ่ม (แต่อักขระ 15+ ตัว) สำหรับรหัสผ่านเริ่มต้น (เช่นการขับรถไปที่พอร์ตแลนด์ในสุดสัปดาห์นี้หรือที่หูฟังของฉันอยู่ )
4. พวกเขาบอกคุณวลีรหัสผ่านทางโทรศัพท์
5. ทันทีที่คุณเข้าสู่ระบบและตั้งค่ารหัสผ่านไปยังสิ่งที่แข็งแกร่งอย่างแท้จริงเช่น#] t'x:} = o ^ _% Zs3T4 [&
6. คุณเก็บรหัสผ่านสุดท้ายในตัวจัดการรหัสผ่านของคุณ

ข้อดีของวิธีนี้คือ:

1. มันค่อนข้างง่ายสำหรับลูกค้า พวกเขาต้องรู้วิธีสร้างบัญชีในระบบเท่านั้น คุณสามารถนำพวกเขาผ่านสิ่งนั้นในขณะที่คุณใช้โทรศัพท์ได้หากพวกเขามีปัญหา
2. มันค่อนข้างง่ายสำหรับคุณด้วย คุณไม่ต้องจัดการกับการตั้งค่าและแบ่งปันไฟล์ที่เข้ารหัสการโฮสต์แอปพลิเคชันแบบฟอร์มที่กำหนดเอง ฯลฯ
3. มันใช้ข้อความรหัสผ่าน (ซึ่งตรงข้ามกับรหัสผ่าน) เพื่อให้รหัสผ่านชั่วคราวนั้นง่ายต่อการสื่อสารทางโทรศัพท์ แต่ก็ค่อนข้างปลอดภัย
4. รหัสผ่านสุดท้ายจะไม่ถูกส่ง (ยกเว้นสำหรับแบบฟอร์มการรีเซ็ตรหัสผ่าน แต่แน่นอนว่าควรได้รับการเข้ารหัสโดยระบบ)
5. ลูกค้าไม่ทราบรหัสผ่านสุดท้ายดังนั้นจึงไม่สามารถเปิดเผยรหัสผ่านกับผู้โจมตีได้โดยไม่ตั้งใจ แน่นอนว่าพวกเขายังสามารถเปิดเผยรหัสผ่านบัญชีของตนเองได้ แต่การสอบสวนหลังเหตุการณ์ถึงตายจะติดตามการบุกเข้าไปในบัญชีของพวกเขาไม่ใช่ของคุณ;)

วลีรหัสผ่านเริ่มต้นคือการเชื่อมโยงที่อ่อนแอที่สุดในห่วงโซ่เพราะเอนโทรปีของมันค่อนข้างต่ำและการส่งสัญญาณที่ไม่ปลอดภัยทางโทรศัพท์ มันยังคงมีเอนโทรปีประมาณ 100 บิตและมีชีวิตอยู่เพียง 15-90 วินาที ในความคิดของฉันนั้นดีพอเว้นแต่ว่าคุณกำลังทำบางสิ่งที่มีความอ่อนไหวสูงหรือคุณรู้ว่าคุณกำลังตกเป็นเป้าหมายของแฮ็คเกอร์ที่ดี

บางคนในกระทู้นี้แนะนำให้สร้างเว็บแอปพลิเคชันให้ทำ ในความเป็นจริงบางคนถึงกับสร้างขึ้นเอง พูดตรงไปตรงมาฉันไม่คิดว่ามันเป็นความคิดที่ดีที่จะพึ่งพาคนแปลกหน้าสำหรับบริการเช่นนั้น ฉันใช้เว็บแอพพลิเคชั่นพื้นฐานที่ช่วยให้ผู้ใช้สามารถแลกเปลี่ยนรหัสผ่านผ่านทางเว็บอินเตอร์เฟสที่เรียบง่ายและทำให้สามารถใช้งานได้อย่างอิสระภายใต้ลิขสิทธิ์ของ MIT

ลองใช้งานได้ที่นี่: https://github.com/MichaelThessel/pwx

ใช้เวลาไม่กี่นาทีในการตั้งค่าภายในโครงสร้างพื้นฐานของคุณและคุณสามารถตรวจสอบซอร์สโค้ดได้ ฉันใช้งานการติดตั้งของตัวเองกับลูกค้าเป็นเวลาหลายเดือนและแม้แต่คนที่ไม่มีความชำนาญก็หยิบมาใช้ได้ทันที

ในกรณีที่คุณต้องการทดสอบแอปพลิเคชันโดยไม่ต้องติดตั้งก่อนคุณสามารถดูได้ที่นี่:

https://pwx.michaelthessel.com

วิธีการเกี่ยวกับการส่งรหัสผ่านทางSMSเก่าดีหรือไม่? มันง่ายมากและตราบใดที่คุณไม่ได้ให้ข้อมูลอื่นในข้อความมันจะยากมากที่จะรู้ว่ามันไปที่ไหน

อันนี้เป็นความพยายามอีกเล็กน้อย แต่ช่วยประหยัดเวลาของลูกค้าด้วย:

ตั้งค่าด้วย Roboform แต่เก็บข้อมูลไว้บนเว็บเพื่อให้คุณสามารถเข้าถึงได้ เมื่อพวกเขาเข้าสู่ระบบที่ไหนสักแห่ง RF จะบันทึกรหัสผ่านและมันสามารถใช้ได้กับคุณ

ข้อเสีย:
* ไม่แน่ใจว่าที่เก็บข้อมูลออนไลน์ของ Roboform ปลอดภัยแค่ไหน * จากนั้นคุณสามารถเข้าถึงรหัสผ่านของลูกค้าทั้งหมดและพวกเขาอาจไม่ชอบแนวคิดดังกล่าว

การใช้ outlook หรือธันเดอร์เบิร์ดด้วย S / MIME นั้นง่าย แต่ดีกว่าคือให้พวกเขาโทรหาคุณและอ่านรหัสผ่านของคุณ - หากคุณต้องการให้สุดยอดมากให้พวกเขาอ่านส่วนหนึ่งของมันแล้วส่งข้อความถึงคุณและส่งอีเมลถึงคุณ อีกส่วนหนึ่งของมัน

หากการใช้งานชั่วคราวเช่นการแก้ไขปัญหาหรือโอนไฟล์ครั้งเดียวความปลอดภัยระดับนี้อาจไม่จำเป็น ให้ลูกค้าเปลี่ยนรหัสผ่านชั่วคราวเป็นสิ่งที่คุณรู้ทำผลงานแล้วให้ลูกค้าเปลี่ยนอีกครั้ง แม้ว่ารหัสผ่านชั่วคราวจะถูกค้นพบมันจะล้าสมัยก่อนที่จะสามารถใช้เพื่อจุดประสงค์สามานย์

เพื่อนของฉันสร้างเว็บไซต์นี้ขึ้นมาเพื่อเหตุผลนี้: https://pwshare.com

สำหรับฉันและเพื่อน ๆ ในโลกโฮสติ้งเป็นเครื่องมือที่ยอดเยี่ยมในการส่งรหัสผ่านไปยังลูกค้าได้อย่างรวดเร็ว

จากหน้าเกี่ยวกับ: https://pwshare.com/about PWShare ใช้ข้อกำหนดการเข้ารหัสคีย์สาธารณะ / ส่วนตัวที่รู้จักในชื่อ RSA เมื่อลูกค้าต้องการส่งรหัสผ่านจะมีการขอรหัสสาธารณะจากเซิร์ฟเวอร์

จากนั้นไคลเอ็นต์จะเข้ารหัสรหัสผ่านก่อนที่จะส่งรหัสผ่านไปยังเซิร์ฟเวอร์ ด้วยเหตุนี้เซิร์ฟเวอร์จึงไม่ทราบหรือเก็บรหัสผ่านที่ถอดรหัสไว้

ใช้การเชื่อมโยงซึ่งมีตัวระบุคีย์ส่วนตัวและรหัสผ่านเท่านั้นที่สามารถถอดรหัสรหัสผ่านได้

ฉันขอแนะนำให้ใช้ axcrypt มันใช้งานง่ายมากดังนั้นแม้แต่คนที่มีความสามารถทางเทคนิคก็สามารถทำงานได้

ดาวน์โหลด AxCrypt ที่นี่

เมื่อคุณใช้ AxCrypt คุณหรือใครก็ตามที่คุณติดต่อด้วยสามารถสร้างไฟล์ด้วยรหัสผ่าน / ข้อมูลที่ละเอียดอ่อนทั้งหมดแล้วเข้ารหัสด้วยวลีรหัสผ่าน ฉันมักจะแนะนำอย่างน้อยการแลกเปลี่ยนวลีรหัสผ่านทางโทรศัพท์หรือด้วยตนเอง (นี่คือตัวเลือกที่ดีที่สุด) AxCrypt ใช้การเข้ารหัสที่เหมาะสมบางอย่างดังนั้นคุณสามารถมั่นใจได้ว่ามันจะเก็บทุกอย่างยกเว้นคู่ต่อสู้ที่มุ่งมั่นที่สุด ส่วนที่ดีที่สุดกับ AxCrypt คือมันรวมเข้ากับ windows เป็นส่วนขยาย explorer ใน windows explorer สิ่งที่คุณต้องทำคือคลิกขวาที่ไฟล์เพื่อเข้ารหัส / ถอดรหัส /

การล่าสัตว์ที่มีความสุข!