Forse la lezione per i bambini dovrebbe essere meno su come utilizzare gli strumenti per gestire una password e più su come capire perché la gestione delle password è importante?

Lascia che scrivano le loro password su un taccuino. Divertiti a ideare un metodo per l'offuscamento in caso di smarrimento del notebook. Insegna loro i backup: tenere una copia in un posto sicuro. Nella mia esperienza, bambini e anziani sono molto simili quando si tratta di gestione (errata) delle password

Fino a quando non sono stati abbastanza esperti da gestire il proprio database di password, ho anche mantenuto gli accessi dei bambini in una "famiglia KeePass ". Questo è lo stesso in cui le cose dei membri della famiglia anziani sono - perché le persone muoiono e talvolta è necessario recuperare le cose per persone altrimenti incapaci. Il calcolo della fiducia / rischio è diverso in un gruppo familiare che in un ambiente lavorativo o sociale. C'è anche una differenza tra la condivisione dell'accesso a una password e la condivisione di una password.

È fantastico che tu ci stia pensando presto. Buona fortuna!

Memorizzare una password principale molto efficace è probabilmente un po 'troppo da chiedere

Non sono d'accordo! Ho una figlia che, intorno ai 7 anni, è stata in grado di memorizzare rapidamente una password molto complessa utilizzando il metodo Diceware da utilizzare in un gestore di password. Questo metodo seleziona diverse parole casuali da un dizionario (in genere) composto da 7.776 parole. Solo 9 parole sono log ₂ (7776 ⁹ ) ≈ 116 bit.

Se utilizzi un gestore di password che supporta il rafforzamento della password con un algoritmo come PBKDF2, puoi ridurre ulteriormente la lunghezza della password. Utilizzando 262.144 (2 ¹⁸ ) iterazioni hash, puoi aumentare la sicurezza di una password di 6 caratteri per registrare ₂ (7776 ⁶ ) + 18 ≈ 96 bit. Una password di esempio:

  corrimano di polpo che insegue l'ambizione timida dello scafo  

Non è difficile da ricordare! Ci vuole un po 'di pratica e non è così facile come memorizzare una password debole con solo una o due parole o il nome di un animale domestico, ma è qualcosa che un bambino, anche un bambino piccolo, è in grado di fare. Alcuni gestori di password supportano più password principali equivalenti, permettendoti di conservare una password di backup finché non sei sicuro che tua figlia non dimenticherà la sua. Quindi puoi revocare la tua password in modo da non dover disporre di un accesso non necessario alle sue password.

ed è probabile che smarrisca qualsiasi memoria fisica.

Se non si desidera sincronizzare il database delle password, è possibile utilizzare un gestore di password senza stato. Si tratta di un gestore di password che utilizza una combinazione di un identificatore per il servizio a cui si desidera accedere, nonché una singola password principale complessa. Un gestore di password senza stato funziona mediante l'hashing di una concatenazione della password principale e dell'identificatore del servizio. Tuttavia, presenta alcuni aspetti negativi:

1. Non è possibile modificare la password di un sito senza modificare l'identificatore o la password principale.

2. Se la tua password principale viene compromessa, lo saranno anche tutte le password del tuo sito.

3. La password principale deve essere abbastanza forte da resistere da sola agli attacchi.

Se affidarsi a un dispositivo di archiviazione per contenere il database delle password è semplicemente inaccettabile, allora i gestori di password senza stato sono assolutamente la strada da percorrere. Possono essere molto sicuri se usati correttamente.

"Accesso da più dispositivi" se non li possiedi, è un'abitudine che dovrebbe essere interrotta per sicurezza generale.

Una volta che possiedi tutti i dispositivi nello scenario, un metodo che ho visto per i giovani che è stato utile è evitare del tutto di gestire le password: usa la procedura "password dimenticata" .

Se il dispositivo è di proprietà e l'accesso alla posta elettronica è sul dispositivo, è sufficiente richiedere un collegamento per la reimpostazione della password e utilizzarlo. Niente da ricordare.

Un altro metodo consiste nell'utilizzare un gestore di password familiari online (LastPass ha questa funzione, ad esempio). Questa funzione è progettata specificamente per questo problema, ma ha un costo e potrebbe non piacerti l'archiviazione cloud e la sincronizzazione multi-dispositivo. Ma potrebbe valerne la pena avere questo e gestirlo per tuo figlio.

Potresti anche insegnare uno schema di password efficace . Sì, i modelli hanno una vulnerabilità intrinseca ed evidente, ma è un metodo che può essere preso in considerazione per la valutazione del rischio personale.

Io stesso sono un fan del processo di "reimpostazione della password".

Ora non sono sicuro di avere ragione, ma penso che insegnare tecniche mnemoniche di base ai bambini mi sembri un'idea meravigliosa. È un'abilità che la aiuterà per tutta la vita e aiuterà anche a evitare di scrivere password e password a bassa entropia. Considera una password incomprensibile di 10 cifre come 1kej @! Lej2 . Questo potrebbe essere facilmente ricordato se hai appena inventato una storia utilizzando i caratteri della password. Anche il consiglio di Schroeder sembra buono a essere onesto. Potresti anche insegnarle in tempo "come generare password con sufficiente entropia" e utilizzare un gestore di password. Fino ad allora la mnemonica dovrebbe andare bene per i bambini. Hanno una fervida immaginazione.

EDIT: La risposta che ho scritto è sbagliata. La parte mnemonica è corretta ma la password che ho scelto non è sufficientemente lunga o facile da memorizzare. Questa domanda entra nei dettagli di matematica e usabilità. Un metodo molto migliore è quello scritto da forest nella sua risposta.

Ottima domanda / argomento, e se la definizione di password " gestione " qui include anche " generazione password ", fornirei un programma Python o simile che genera crittograficamente- proteggere password di varie lunghezze con poche righe di codice e mostrare al bambino come eseguire facilmente il programma ogni volta che ha bisogno di una password complessa. (poiché questa sarebbe un'abitudine migliore secondo me che pensare ogni volta a una password complessa).

Ecco un esempio rudimentale che ho creato che è crittograficamente sicuro utilizzando il modulo secrets in Python e una libreria di 64 caratteri: https://github.com/hatgit/hatnotation/blob/master/ Hatnotation-Password-Generator.py

Tali password "sicure", tuttavia, non possono essere facilmente ricordate in quanto sembrano una stringa di codice leggibile dalla macchina , a meno che il binario sottostante viene convertito in parole mnemoniche in modo che possa essere facilmente scritto.

Ho anche creato un codificatore / decodificatore (sistema di notazione chiamato Hatnotation) e con il generatore di password compatibile sopra per scopi educativi, il binario sottostante potrebbe essere incollato in un codice mnemonico convertitore, come segue:

Una password casuale di 22 caratteri generata dall'intervallo di 64 caratteri dove 64 ^ 22 == 2 ^ 132 in termini di bit di sicurezza / entropia, utilizzando il generatore di password Hatnotation: } FT}: + 3'Z;: BB, LY ^ >EOPF

Sottostante binario a 132 bit che rappresenta quei 22 caratteri (non ascii, questi sono codificati con Hatnotation caratteri :) 010111000100111100011011111011011001000010110100010100010011111001011111111100010101110000010111101011100110101100011100100001011101

Converti 132 bit in un mnemonico basato sull'alternativa BIP39 Opzioni Diceware fornite da @Forest), utilizzando un convertitore mnemonico che può funzionare offline in modalità standalon e base:

errore albero affitto occhio di uccello molto saggezza restituire kit cultura migliorare rituale

Un'alternativa è insegnare loro a generare entropia in formato binario o esadecimale riga di comando o compilatore di codice (che è più veloce di lanciare monete) e come incollare tale binario nel convertitore mnemonico di loro scelta a seconda dell'elenco di parole utilizzato (anche se è il loro elenco di parole personalizzato). In Python, ci sono alcuni modi sicuri per farlo utilizzando i secrets , uuid4 () e os.urandom incorporati moduli.

P.S. In termini di recupero dell'archiviazione / custodia della password, se le password vengono salvate nel gestore nativo del browser e vi è un problema di accesso alla sessione del browser (ad es. Google Chrome) da posizioni pubbliche o potenzialmente non sicure per accedere alle password per accedendo a servizi come il sito Web Scratch.Mit.edu, penso aggiungendo app 2FA come Google Authenticator (supponendo che il ragazzo abbia un telefono cellulare o un dispositivo compatibile, anche se offline) potrebbe ridurre i rischi di accesso a quelle password da parte di un avversario, se le informazioni di accesso fossero state altrimenti compromesse.