qu'est-ce qu'un moyen sécurisé d'envoyer des mots de passe sur Internet?

12

Je recherche le meilleur moyen d'envoyer des mots de passe sur Internet en toute sécurité. Les options que j'ai examinées sont les fichiers PGP et RAR cryptés. Il n'y a pas de paramètres réels autres que de passer d'un point a à un point b sur les internets sans trop de risque.

security password Jim B
la source
4
Cela peut sembler étrange, mais pourquoi puisque quelqu'un a recommandé Skype et les appelle, pourquoi ne pas envoyer le mot de passe par SMS? (en supposant que l'autre côté a un téléphone portable, mais bon qui n'a pas de téléphone portable de nos jours?)
Darius

Réponses:

25

PGP ou une autre méthode de cryptage asymétrique semblerait être la voie à suivre.

  1. les deux parties doivent publier sa clé publique
  2. signez votre message avec votre propre clé privée
  3. chiffrer avec la clé publique de l'autre
  4. transmettre le fichier
  5. seule la clé privée de l'autre peut déchiffrer le message
  6. votre clé publique peut être utilisée pour valider le message

=> sécurisé et privé

lexu
la source
+1 bonne explication.
msanford
+1. J'aime encore mieux que ma propre réponse, car elle fournit les détails sur la façon de procéder.
Milan Babuškov
C'est probablement la meilleure façon de procéder - j'espérais quelque chose que le client n'aurait pas à installer mais c'est la meilleure réponse.
Jim B
+1 pour GPG / PGP. Le cryptage asymétrique est vraiment la meilleure option ici.
Bran le Bienheureux
9

Tout mécanisme qui utilise des clés asymétriques (comme SSL ou PGP) est bon. Fondamentalement, cela signifie que vous cryptez les données (mot de passe dans votre cas) avec la clé publique d'une autre personne, et la seule façon de les décrypter est d'avoir accès à la clé privée (ce que seul le récepteur fait).

La seule chose à se soucier de PGP est de savoir en qui vous avez confiance, car l'usurpation d'identité peut facilement se produire lorsque les gens signent leurs propres clés.

Lisez la section Web de confiance dans l'entrée wikipedia pour PGP pour plus d'informations à ce sujet.

Milan Babuškov
la source
2
Juste pour aider ceux qui ne savent pas ce que c'est et qui le recherchent sur Google, le terme est clé "asymétrique" (pas asynchrone), ce qui signifie que les deux moitiés de la clé ne se ressemblent pas. :)
msanford
+1 parce que le chiffrement par clé asymétrique est la meilleure solution, et fournit également un moyen de vérifier l'identité du destinataire (alors qu'un RAR chiffré ne le fait pas vraiment.)
msanford
1
+1 pour la mention de la clé asymétrique. J'ai également édité votre message pour corriger la faute de frappe.
KPWINC
8

Qu'en est-il d'appeler le destinataire avec Skype ?

ceejayoz
la source
2
+1 car ce n'est en fait pas une mauvaise idée et est sous-utilisé. Bien sûr, si vous avez beaucoup de clés à donner, cela ne fonctionnera pas très bien, mais pour une ou deux ...
msanford
1
Skype fonctionne bien tant que la recette est quelque part près du même fuseau horaire. J'appellerais normalement en utilisant POTS mais ces options ne sont tout simplement pas disponibles.
Jim B
Es-tu sérieux? Bien sûr "mieux" que du texte brut, mais personne ne devrait recommander une telle chose ...
lajarre
@lajarre Vous voulez expliquer? Pour la plupart des gens, Skype sera une méthode parfaitement acceptable.
ceejayoz
@ceejayoz si j'ai bien compris, cette réponse recommande au PO de dire à l'autre destinataire un mot de passe en utilisant sa voix via Skype. Je suppose que ma réaction (qui je crois est la bonne lorsque vous devez être paranoïaque avec vos mots de passe) découle du fait que Skype est propriétaire. Êtes-vous un bon pirate informatique pour savoir s'il est sûr? Ou comptez-vous croire les gars de Skype? Un logiciel basé sur ZRTP serait une réponse sûre. Je ne sais pas ce que "acceptable [pour la plupart des gens]" signifie ...
lajarre
2

Vous devez également vous assurer que le destinataire doit changer le mot de passe avant de pouvoir utiliser le service auquel il est destiné - authentifier la modification avec le mot de passe à usage unique envoyé. Cela fournira une protection supplémentaire contre le vol - et / ou des chances légèrement meilleures d'en découvrir un si le voleur a besoin de le changer, laissant au véritable utilisateur une invite d'accès refusé ^^

Oskar Duveborn
la source
1

Envoyez un lien à usage unique, qui renvoie à une page (à l'aide de SSL) où le mot de passe peut être créé. Si quelqu'un d'autre découvre le lien, il est probablement trop tard pour lui d'utiliser le lien. Vous aurez besoin d'une sorte de capacité de réinitialisation, juste au cas où le lien serait intercepté et utilisé avant le destinataire prévu.

Wayne Sheppard
la source
1

Si vous êtes sous Windows, vous voudrez peut-être écouter Security Now 201: SecureZip

AFAIK SecureZip implémente / automatise l'approche de chiffrement asymétrique que j'ai décrite ci - dessus .

lexu
la source
1

Vous voudrez peut-être essayer NoteShred. C'est un outil fait à peu près pour votre besoin exact. Vous pouvez créer une note sécurisée, envoyer à quelqu'un le lien et le mot de passe et le faire "déchiqueter" automatiquement après l'avoir lu. La note a disparu et vous recevez une notification par e-mail pour vous informer que vos informations sont détruites.

C'est gratuit et ne nécessite aucune inscription.

https://www.noteshred.com

Cheyne
la source
1

Si c'est une chose unique, vous pouvez utiliser mon outil: http://tanin.nanakorn.com/labs/secureMessage

Il utilise Javascript pour effectuer le cryptage RSA. Par conséquent, votre mot de passe ne quitte jamais votre ordinateur ou celui de votre ami. Veuillez consulter la FAQ dans la page ci-dessus pour plus d'informations.

Pour le faire régulièrement, vous feriez mieux d'utiliser des clés PGP ou SSH, afin de ne pas avoir à générer une nouvelle paire de clés à chaque fois.

Tanin
la source
0

J'ai tendance à utiliser des méthodes synchrones pour la transmission des mots de passe. Souvent, je fais simplement une messagerie instantanée avec quelqu'un et je lui dis que le mot de passe qu'il attend est xxxxxx. De cette façon, il n'y a aucune identification du serveur sur lequel le mot de passe fonctionne et je peux l'envoyer quand je sais que la personne est assise là pour changer le mot de passe immédiatement.

Catherine MacInnes
la source
De plus, en utilisant la messagerie instantanée, vous pouvez utiliser un client compatible avec le protocole OTR comme Pidgin ou Adium, ou utiliser Skype qui chiffre les messages instantanés (bien que je ne sois pas sûr du niveau).
msanford
0

Vous ne donnez pas beaucoup de détails sur ce qui est nécessaire, mais je garde mes mots de passe dans un fichier Keepass qui est stocké dans une Dropbox.

Greeblesnort
la source
0

Nous venons de mettre une application Web et mobile pour faire cela. Il crée des URL aléatoires pour les informations d'identification, un peu comme un raccourcisseur d'URL, en utilisant HTTPS et une méthode de cryptage hachée / AES pour le stockage. Il existe une API simple pour les développeurs, voici notre rédaction, peut-être que c'est la solution simple dont vous avez besoin. Http://blog.primestudiosllc.com/security/send-time-limited-secure-logins-with-timebomb-it


la source
-2

Un formulaire Web crypté HTTPS peut bien fonctionner. Je m'inquiéterais du fichier RAR, car si quelqu'un capturait le fichier entier, il pouvait forcer le mot de passe jusqu'à ce qu'il se brise. Capturer et assembler un flux HTTPS n'est pas trop facile, surtout avec une grande taille de clé. Ils pourraient ensuite être stockés dans une base de données cryptée ou quelque chose, éventuellement uniquement récupérés via un formulaire Web sécurisé.

PGP fonctionnerait également, si vous aviez un moyen d'échanger les clés privées en toute sécurité et que vous pouviez être sûr que celles-ci ne seraient pas compromises à l'autre bout.

Mat
la source
Avez-vous des réflexions sur la façon de savoir qui demande ce formulaire / cette page Web? Si l'utilisateur ne connaît pas encore le mot de passe, il ne peut pas non plus s'authentifier.
Arjan
3
Les schémas de chiffrement de clés asymétriques comme PGP / GPG sont conçus spécifiquement pour que vous n'ayez PAS à échanger vos clés privées. Vous échangez vos clés publiques, qui sont appelées publiques parce qu'elles devraient être exactement cela, publiques. Il n'est pas nécessaire de masquer vos clés publiques, uniquement vos clés privées.
Mikael Auno
1
Désolé, j'ai mal compris la question d'origine. J'ai supposé que c'était pour une chose interne et non pour de nouveaux utilisateurs ou quelque chose. Le cryptage à clé publique serait la voie à suivre pour ce que vous voulez, je pense.
Matt