In ordine approssimativo di complessità crescente ( non sicurezza e metodi possono essere combinati), ecco alcune idee che sarebbero facili per chiunque sia abituato a enigmi / scrivere codice / matematica. Un'idea più completa è di seguito. NB: quando dico "segreto" intendo non scritto nel libro. Sono tutti facili e molto utili per scoraggiare il ladro occasionale.

• Avere un elemento segreto memorizzato, comune a tutte le password. *
• Variante minore: un elemento segreto facilmente derivato dal nome / nome utente del sito web.
• Inserisci troppe informazioni nel libro, ad es. sappi che in realtà ometti i primi 4 caratteri di ciascuna password. *
• Compensa l'account e la password con un numero costante di voci. *
• Non scrivere mai il nome utente completo, quanto basta per essere un indizio per te.

* Questi elementi hanno la notevole vulnerabilità che una volta l'offuscamento è crackato per una voce, viene automaticamente crackato per tutte le voci senza ulteriori sforzi.

Se l'algoritmo esatto è pubblicato, chiaramente un taccuino -il ladro che potrebbe anche eseguire lo script dei tentativi di accesso (o un team ovviamente) potrebbe applicare l'algoritmo automaticamente o tutti gli algoritmi pubblicati. Il tipo di algoritmo potrebbe essere pubblicato, ad esempio:

• Dalla password come scritta, chiama la prima cifra x e la seconda y .
• Contare x caratteri dal primo segno di punteggiatura (o dal primo carattere o dalla prima cifra).
• Quindi scambia le maiuscole della y successiva lettere (o y ) lettere.
• Per un PIN di 4 cifre memorizzato, incrementa le prime quattro lettere dei numeri del pin (ad es. 1234 applicato a a! Bcd darebbe b!dfh).

Ovviamente potresti:

• Scambia i significati di x e y
• Incremento / decremento x e y .
• Conta dalla prima vocale.
• Scambia i casi di y consonanti .
• Sostituisci le cifre con le lettere corrispondenti in base alla posizione alfabetica e viceversa.
• Scambia le cifre per la punteggiatura sullo stesso tasto (devi essere sicuro del layout della tastiera che incontrerai o conoscere il tuo possiedono molto bene la tastiera.)

Tutte queste operazioni, per definizione, possono essere scritte. Ma il ladro di notebook dovrebbe procurarsi (o scrivere) uno script che li implementa (ed è in realtà uno spazio abbastanza variabile anche senza un elemento segreto. Quindi dovrebbero digitare le password (un processo soggetto a errori con -generated text), eseguire lo script sull'elenco e tentare di accedere con le ora potenzialmente migliaia di password per sito. E sperare che il sito non si blocchi dopo diversi tentativi falliti.

varrebbe la pena tenere un elenco di backup, anche se non una copia di backup del libro, come un elenco di siti per i quali le password dovrebbero essere cambiate / gli account contrassegnati se il libro è andato perso.

Come per molti di sicurezza l'obiettivo deve essere quello di fare uno sforzo eccessivo per entrare. Combinando lo sforzo manuale e quello programmato stai facendo molto per raggiungere questo obiettivo e aumentando le tue possibilità che si arrendano.

Ho creato una lingua per questo scopo. Nessuno dei simboli assomiglia all'inglese (non si sa se assomiglia a qualsiasi altra lingua), non ci sono spazi, mancano diverse lettere, i modelli comuni diventano simboli singoli (dis, ing, ecc.) Per impedire una facile decodifica, è scritto dall'alto in basso, da destra a sinistra, in una griglia senza linee, e ho usato il cestino per riempire ogni riga.

A seconda di come lo memorizzo, utilizzo anche una rotellina del codice mobile che si adatta al posizionamento dell'ultima lettera. Se l'ultima lettera utilizzata è qualcosa come h (sistema senza case), aggiungi 7 alla ruota del codice delle lettere successive. Puoi includere le ruote del codice nella pagina nel cestino per confondere ulteriormente un utente malintenzionato. Poiché puoi creare più ruote codificate per pagina e spostare i numeri come preferisci, previene un facile attacco. Un'altra opzione è sovrapporre le ruote del codice. Se sei pigro puoi usare un modello numerico come + 5, -2, + 3,6 come un PIN.

Un metodo di base per ridurre al minimo l'impatto di qualcuno in grado di scoprire le password guardando il notebook sarebbe quello di avere una password per pagina: se stai guardando quella, è tutto ciò che possono vedere.

Un'altra alternativa sarebbe avere un Diceware o un elenco simile e annotare i numeri. Aggiunge un passaggio alla "decrittografia", in quanto il legittimo proprietario deve fare un riferimento incrociato con un elenco Diceware, ma probabilmente rallenterebbe un utente malintenzionato con accesso al notebook per un breve periodo: probabilmente dovrebbe fotocopiare il intero elenco, così come qualsiasi numero specifico del sito per essere sicuri dell'accesso.

Essenzialmente, tuttavia, se il proprietario può "decrittografare" istantaneamente, un utente malintenzionato può decrittografare un determinato momento. Se hanno accesso per un po ', possono chiaramente prendere una copia del contenuto e lavorarci su senza che tu lo sappia (facendoti trovare il libro da qualche parte che considereresti sicuro, ad esempio, forse a casa tua dove normalmente tieni la borsa , dove potrebbe essere caduto naturalmente).

Potresti ricordare una password parziale fissa e notare solo le parti variabili. Tuttavia, in tal caso non ti affidi a nessuno dei siti che autentichi contro la violazione: non appena uno lo è, devi considerare la parte parziale compromessa e modificare tutte le password utilizzandola, proprio come se avessi usato la stessa password ovunque.

L'opzione più sicura potrebbe essere quella di avere una cassaforte fisica in cui è tenuto il notebook e che viene aperta solo quando non c'è nessun altro in giro. Sembra un po 'eccessivo per la maggior parte degli usi, ma è più o meno il metodo utilizzato per alcuni dati critici, come le chiavi di firma radice DNS.

Scrivi un diario e inserisci le password nelle voci. Non sembrerà un libro di password. Qualcuno dovrà leggerlo per notare le parole errate. Ho usato una rubrica in cui gli indirizzi, i numeri di telefono e i codici postali di amici intimi e familiari che erano PIN e password. Conosco gli indirizzi e i numeri di telefono dei miei familiari, quindi averli registrati in modo errato non importava.

Usa una maschera.

No, sul serio. Usa qualcosa come il cartone di medio spessore, ottenibile da forniture per ufficio o negozi di hobby, per creare una maschera a griglia rigida, forse di dimensioni di 30x6 caratteri, e ritaglia fori posizionati casualmente per forse 40-50 caratteri da quelli. (Puoi ovviamente scegliere dimensioni diverse, a seconda delle tue esigenze.)

Per annotare una password, posiziona la maschera sopra il tuo quaderno, scrivi la lunghezza della password attraverso i primi due fori (o scegli un carattere speciale che significa sempre "questa è la fine della password" e scrivi quello alla fine), quindi la password stessa attraverso i fori rimanenti (prima per colonna o per colonna, sempre a tua scelta), quanti ne servono. Quando hai finito, rimuovi la maschera e riempi tutti gli slot dei personaggi rimanenti con caratteri spazzatura; più è casuale, meglio è. Per rendere tutto più semplice, inizia disegnando una griglia nel taccuino prima di inserire la password.

Quando hai bisogno di leggere una password, posiziona semplicemente la maschera sopra il miscuglio di caratteri e ciò che rimane visibile sarà la password più qualsiasi immondizia casuale che hai usato per riempire gli slot dei caratteri che non fanno parte della password. (A quel punto ti basta sapere quanto è lunga la password, da cui il carattere di terminazione o la registrazione del numero di caratteri.)

Tieni la maschera al sicuro ma separata dal taccuino, magari nel tuo portafoglio. Considera la maschera come una sorta di "passphrase principale".

Questo non proteggerà davvero da un utente malintenzionato che prende di mira specificamente il tuo schema e forse anche te in modo specifico, ma dovrebbe fornire una ragionevole quantità di sicurezza contro qualcuno a cui capita di mettere le mani sul notebook pur avendo un sovraccarico basso quando lo sei legittimamente utilizzando le password. L'overhead qui è quando registri una nuova password nel notebook, che è spesso una situazione che sei in grado di controllare meglio (ad esempio, probabilmente non è necessario cambiare la password della tua banca mentre sei in un Internet café in modo casuale paese del terzo mondo).

Se desideri migliorare ulteriormente il fattore di offuscamento, puoi aggiungere un offset allo schema: registra quanti caratteri all'inizio saltare quando inserendo la password.

Se c'è una telecamera che registra il tuo notebook mentre stai inserendo la password, sembra altrettanto probabile, se non addirittura più probabile, che stia registrando anche la tastiera che stai utilizzando per inserire la password , a quel punto hai perso quasi indipendentemente dallo schema che usi per offuscare le password scritte.

Ci sono molti esempi migliori e più sicuri, ma ho pensato di menzionare una cosa che ho usato in passato, che è il mnemonico sotto forma di disegni / fumetti per rappresentare le passphrase. Tuttavia, ciò richiede che tu possa ricordare vagamente quale fosse la passphrase.

Un esempio potrebbe essere la frase "Il compleanno di Tommy è il 23 marzo!". Il fumetto potrebbe consistere in un personaggio che ricordi mentalmente come "Tommy", che festeggia il suo compleanno, con una battuta finale a una battuta di papà (o qualcosa con un riferimento al sito che stai utilizzando) e datato / firmato il 23 marzo. Puoi anche aggiungere molti altri fumetti che non rappresentano password per oscurarli ulteriormente.

Per qualcuno che passa, questo è semplicemente il tuo album da disegno. La maggior parte delle persone non è interessata a rubare scarabocchi a un cattivo fumettista e soprattutto non si aspetterebbe che sia un libro di password. Nel caso in cui qualcuno lo rubi e conosca il tuo sistema, dovrebbe comunque essere in grado di capire come elabori mentalmente i tuoi disegni, il che sarà in gran parte soggettivo. Ciò può anche essere ostacolato aggiungendo informazioni di riempimento all'interno di ogni disegno per aggiungere rumore alla password per chiunque stia cercando di decifrarla. Se ti piace la fantasia, potresti persino spingerti oltre con la creazione di "leggi" mentali su ciò che conta nel tuo mondo fantastico che rappresenti attraverso fumetti / disegni.

Come ho detto, ci sono modi molto migliori per memorizzare fisicamente le password, ma questo può funzionare per le persone che usano bene i mnemonici e può anche essere davvero divertente!

Una volta ho annotato i diversi PIN per le mie carte di credito e bancarie. Li ho convertiti in base 9 e poi ho aggiunto un 9 extra spurio da qualche parte in ogni numero. Penso che fosse abbastanza sicuro, ma ovviamente funziona solo per password interamente numeriche come i PIN.

Mi sono imbattuto in diversi tentativi di utilizzare una scheda di riferimento in formato tascabile come testo cifrato della password. Un esempio: http://www.passwordcard.org/en

non ne userei uno, ma se lo facessi, dedicherei più tempo al mio modello mentale di come ho derivato la mia password, che dovrebbe fornire un offuscamento sufficiente che probabilmente non saresti in grado di acquisire la carta e la password allo stesso tempo. Se eri preoccupato per questo, avresti bisogno di trovare un modo per cambiare il tuo codice. "Il numero di riga è la cifra del numero di telefono con il terzo carattere nel nome di dominio di questo sito, la colonna è il penultimo carattere convertito in posizione numerica nell'alfabeto." Quindi Google.com è O = 6 sul tastierino, quindi la sesta riga, la colonna è G = 7 quindi la settima colonna, quindi decidi un altro fattore per quanti caratteri e in che modo leggi o come sposti ogni carattere. Diagonale, su 1 & su 2, ecc.

Almeno con questa soluzione, puoi perdere il "taccuino" e sostituirlo in seguito, e non complicare eccessivamente le cose cercando di inventare un schema sicuro. Se ti ho consegnato la mia "carta" con i caratteri che ho effettivamente usato, le possibilità che tu inizi nel punto giusto con un dato sito web e scegli la giusta direzione, lunghezza e così via sono trascurabili.

Uso indizi mnemonici. Quindi invento una password che posso costruire dagli indizi, e poi memorizzo gli indizi solo su carta. Gli indizi potrebbero essere uno scarabocchio, o parte di un disegno, o qualcosa che mi ricorda qual è la mia password. O che mi ricorda la parte che non ho memorizzato. Quindi, senza sapere quali sono le mie associazioni, sembrerebbe piuttosto difficile per qualcuno capire le mie password dai miei indizi.

La sicurezza attraverso la memorizzazione conta come sicurezza attraverso l'oscurità? Mi sembra che nel contesto della domanda, questo sia quanto di più probabile, dato che si tratta di un sistema di password, ed è un modo per impedire di dedurre la password guardando il notebook, a meno che qualcuno non mi conosca così bene che possono in qualche modo dedurre dai miei indizi. Sono abbastanza sicuro di poter inventare alcune password che nemmeno le persone che mi conoscono meglio potrebbero dedurre, anche se ciò richiede più intenzione di creare una passphrase che è una strana combinazione di cose, per la quale il mio unico contesto è ricordare la frase che ho composto.

Esempio: uno scarabocchio astratto con molti simboli e password, e scelgo un punto per una parte di esso dove c'è una piccola curva, e in una direzione ci sono tre piccoli segni e poi uno lungo, ma non sono distinti dai tanti altri scarabocchi e punti e così via. Ma ricordo che sono la parte che stavo usando per ricordare a me stesso la mia password. La curva mi ricorda una parte del corpo e le prime due parole sono quella parte del corpo in due lingue diverse, quindi i tre segni sono una frase a tre toni che so che ricorderò, come "yo ho ho" e la barra è un'osservazione finale che ricorderò anche, come YOW !. Quindi questo posso sempre farmi ricordare "gomitoelbowyohohoYOW!" ... ma non credo che nessun altro saprà nemmeno dove cercare nel mio doodle, per non parlare di dedurre quella password.

Hai un modello di minaccia diverso per i documenti scritti rispetto a quelli elettronici, ma il modo per gestirli è abbastanza noto: limitare e controllare l'accesso fisico.

Non importa se si tratta di codici di lancio nucleare o della combinazione del lucchetto del diario della tua sorellina, tranne nel modo specifico in cui eseguirai quel controllo.

Questo significa anche che, se vuoi proteggere questi dati, non dovresti semplicemente offuscarli ma crittografarli. Un modo per farlo potrebbe essere crittografare i dati con una password, stampare il testo cifrato come QRCode e archiviarlo. Tuttavia, non ti offre molti vantaggi rispetto al controllo degli accessi appropriato: è sicuramente più sicuro ma è piuttosto scomodo da usare e probabilmente ti deluderà quando ne avrai effettivamente bisogno.

Scrivi le tue password con inchiostro invisibile.

Prendi un normale libro o un quaderno che servisse a uno scopo diverso (appunti scolastici) e scrivi le tue password ai margini usando un inchiostro che può essere visibile solo con un Luce UV. Chiunque guardi il taccuino / libro presumerà che sia ciò che sembra essere mentre hai ancora accesso alle password.

Nota: non so quale sia la durata dell'inchiostro invisibile quando viene utilizzato su carta .

In seconda media la nostra classe ci ha fatto scrivere un diario. Ho usato un codice semplice che utilizzava nuovi simboli per le lettere e l'ho notato sul retro. Ma presto l'ho memorizzato e l'ho scritto facilmente direttamente.

L'uso di nuovi simboli è meno confuso rispetto all'utilizzo di una cifratura di sostituzione delle lettere. In effetti è piuttosto facile.

Offusca ma può essere rotto con tecniche normali ... se hai un testo inglese normale (o qualsiasi altra cosa)! Per le password di lettere casuali, è abbastanza sicuro a meno che tu non abbia un modo per rompere alcune voci e utilizzare i risultati per leggerne altre. Ciò può essere migliorato avendo più voci e utilizzando un altro metodo nascosto per sapere qual è quello giusto.

Regola numero uno: NON SCRIVERE LA PASSWORD

Alla fine degli anni '60 le aziende hanno iniziato a utilizzare i computer mainframe. Questo era un nuovo concetto nel mondo degli affari. Il proprietario dell'azienda avrebbe trovato qualcuno che avesse qualche attitudine (vedi ha avuto una lezione al college in cui ha effettivamente visto un computer) e gli avrebbe chiesto (sotto minaccia di chiusura) di diventare l'amministratore di sistema. Al nuovo amministratore verranno forniti un login e una password. Questo era un nuovo concetto per molte persone. Quindi, hanno annotato la password, per ogni evenienza.

Più persone stavano usando il mainframe con lo stesso account. Il problema era che qualcuno avrebbe configurato tutto per un processo batch, sarebbe tornato più tardi per finirlo e avrebbe scoperto che qualcun altro era entrato e riconfigurato tutto per il loro processo batch. Non era molto efficiente. Gli account sono stati configurati e gli accessi e le password sono stati distribuiti. E, naturalmente, le password furono scritte.

Negli anni '80 era tempo di mettere i computer sulla scrivania delle persone. Erano tutti collegati tramite una rete al mainframe. In questo modo non era necessario allontanarsi dalla scrivania per ottenere i risultati del lavoro svolto dal mainframe. Ha anche dato alle persone una potenza sufficiente alle loro scrivanie per svolgere alcune delle attività che avevano il mainframe. Molti sistemi richiedevano password di otto caratteri per impedire che quelle semplici e popolari venissero indovinate. Poiché le password ora erano più complesse (oh, guarda, la password ha 8 caratteri e nessuno la indovinerebbe), le persone le annotavano.

Negli anni '90 c'era questa nuova moda di cui tutti erano entusiasti . Si chiamava interwebs, no, intertoobz, no, aspetta ... Internet. E i sistemi si stavano connettendo. Potremmo inviare un'e-mail istantaneamente invece di dover scriverne una e spedirla per posta. Quindi, abbiamo iniziato a utilizzare lettere, numeri e caratteri nelle nostre password di 8 caratteri ad alta sicurezza ... che stavamo ancora scrivendo.

Nel ... dovrei (?) abbiamo avviato operazioni bancarie, acquisti e scuola in linea. Abbiamo creato account e abbiamo utilizzato la stessa password per proteggerli tutti. E per assicurarci di non aver dimenticato questa password, l'abbiamo annotata.

Siamo nel 2015. La persona media ha 30 diversi login e password che devono ricordare. Dovrebbero essere lunghi 15 caratteri, parole non basate sulla lingua che includono simboli, numeri e caratteri maiuscoli e minuscoli. C'è anche un elenco di cose che non dovrebbero assolutamente essere.

Ora, ho capito che abbiamo trascorso 5 decenni ad addestrare le persone a violare la regola numero uno. Capisco anche che le persone odiano il cambiamento e la tecnologia.

Non mi interessa quale sia la scusa. Sì, il malware è una considerazione. Tuttavia, quando si esegue un'analisi dei rischi reali, il malware non è un rischio così grande come scrivere la password. Potresti pensare di essere incredibilmente difficile inventare un sistema per nascondere la tua password.

Tutto ciò di cui ho bisogno è scattare una foto di una pagina e ho tutto il tempo necessario per decifrare la tua password. Una volta che ho capito il tuo sistema, posso entrare in qualsiasi cosa nel libro. Ecco perché questa è una risposta inaccettabile. Un computer è una soluzione migliore di te. Se non fosse così, i governi non utilizzerebbero i computer per creare e controllare le password.

Solo per motivi di completezza, in base ai commenti alla domanda:

Utilizza un testo o un libro esistente e da lì ricavare le password

Stampa un articolo o porta con te un libro, preferibilmente uno che non desti sospetti nell'ambiente o negli ambienti in cui prevedi di utilizzare il "taccuino".

Decidi un algoritmo come derivare le password dal testo nel libro. Qualcosa come "dalle prime dieci parole di un paragrafo specifico, prendi la prima lettera e mettile insieme per formare la password" è probabilmente un po 'troppo semplice, ma troverai sicuramente un algoritmo personale un po' più difficile da indovinare.

Per mappare le password (cioè parti del testo) agli account, fondamentalmente hai due opzioni, ma possono anche essere combinate:

• Per un account, scegli un passaggio di testo che in qualche modo si riferisce al tema del racconto. Ciò richiede un po 'di creatività. Ad esempio, la parte di un racconto in cui il personaggio principale invia una lettera all'amica potrebbe indicare che la password del tuo account di posta elettronica è nascosta lì.
• Metti note adesive o simili nel libro. Segna parti del testo e scrivi note accanto ad esse. È perfettamente normale per chiunque stia studiando un testo cospargerlo con tutti i tipi di annotazioni. Soprattutto se porti questo libro sempre con te, questo è molto plausibile. Fai attenzione che le tue note non rendano troppo ovvio che un passaggio può contenere una password. Forse contrassegna anche alcune parti del testo che non contengono password, per attirare l'attenzione.

Potrebbe sembrare un po 'strano se hai intenzione di correre con lo stesso libro per i prossimi dieci anni. Tuttavia, le password devono essere modificate di volta in volta comunque. Quindi, dopo un po 'di tempo, prendi un nuovo libro, preparalo come suggerito sopra e cambia le tue password.

Come bonus, potresti scegliere un libro che contenga elenchi di codici sorgente o parti tecniche. L'idea alla base di questo è che sono costituiti naturalmente da molti caratteri speciali (non alfanumerici). In questo modo, puoi derivare più facilmente una password con caratteri speciali dal testo.

Scrivi / stampa un pezzo di carta completo di caratteri o usa un libro già scritto o un vecchio saggio della scuola, memorizza una posizione e uno schema e fai.

5000 caratteri si adattano a una pagina, ci sono 5000 ^ n diversi schemi che potresti potenzialmente prendere, quindi con 0 informazioni, la carta è più difficile da decifrare rispetto a un semplice attacco di forza bruta sulla password stessa.

Se il numero di tentativi di password non è limitato, sarà necessario stampare anche caratteri speciali e maiuscole minuscole sulla carta o, in alternativa, avere una password lunga.

Puoi anche fare alcuni segni falsi / indovinelli falsi / parole false sulla carta per indurre un aggressore a tentare di accedere e allarmarti / informarti potenzialmente.