パスワードセキュリティプランを他の人と共有しても安全ですか？
最近の流行状況により、私のパスワードセキュリティを真剣に再検討するのに十分な時間が与えられました。パスワードマネージャー、2FA、U2Fキーなどの要素を相互に組み合わせて使用して、個人的な使用に最適なセキュリティアーキテクチャを作成する方法の詳細な計画を考案しました（情報セキュリティに関する私の限られた知識に従って） 。
計画が大きくなり、それをドキュメントとして書き留めるようにしたので、計画の特定の部分がどのように機能するか、それらが特定の方法で設計されている理由、弱点などを思い出します。この計画を示すことは安全ですか？彼らのセキュリティを強化することに興味がある友人？それをオンラインで共有するために、架空の極端なバージョンはどうですか？
ケルホフの原理 によれば、システムのセキュリティはその秘密性に依存すべきではありません。それは私が私の計画を設計するときに心に留めていたものです。私のシステムを壊そうとする十分な能力がある人も、設計の知識の欠如によって妨げられることはないと思います。その強さは秘密鍵（およびMFAの情報に基づく使用）に依存しており、これも原則と一致しています。ただし、このサイトで、ユーザーがセキュリティを質問にどのように整理するかについて多くのことを明らかにすると、ユーザーが叱られることもあります。
AESまたは公開キー暗号化がすぐにどのように機能するかを簡単に見つけることができます。それはそれらが広く使用され、安全であると考えられることを妨げません。私の個人的な計画にも同じ理由が当てはまりますか？
メソッドにはいくつかの欠陥がある可能性があるため、常にいくつかのリスクが伴います。攻撃者が実装のすべての詳細を簡単に知ることができれば、もちろん、それらには利点があります。リスクを軽減するために、何かがうまくいかない場合の保護の追加レイヤーとして、また抑止力として、いくつかのあいまいさが使用されることがあります。リスクを評価するために考慮できるいくつかのポイントを次に示します。
- あなたの計画を誰に見せますか？友達ですか？同僚？セキュリティ監査人？ Haxxor forumz？ソーシャルメディアを介したインターネット全体？
- 誰かにあなたの計画を示した場合、どのような利点がありますか？あなたは貴重な意見を得ようとしていますか？あなたは本当にもっと意見が必要ですか？メソッドを公開するときの目標は何ですか？広く認識されている標準または一般的なベストプラクティスになりませんか？
- あなたの計画はすでに十分であるという自信はありますか？現在のベストプラクティスを知っていますか？それらをフォローしようとしましたか？
- システムの柔軟性は？すでに使用されていますか？それはまだ設計段階にあり、比較的簡単に変更できますか？または、プロセスで何かを変更するのは難しいですか？
- あなたの敵はあなたが保護している資産は何ですか？潜在的なダメージが深刻で、高度な攻撃の可能性が高い場合、もちろん、より注意深くする必要があります。
これらの質問に答えることは、他の人と情報を共有する価値があるかどうか、およびリスクを増加させているか減らしているかを理解するのに役立ちます。したがって、たとえば、自分の実践について不明な点がある場合は、信頼できる専門家からの意見を聞くために、メソッドを使用する前にメソッドを共有することをお勧めします（たとえば、このコミュニティでのメソッドについて尋ねる）。しかし、あなたが政府のために働くセキュリティ専門家のチームの一部であるなら、多分あなたはあなたの機関が使用しているすべてのセキュリティ制御のすべての詳細について公に改ざんする代わりに黙ったほうがいいでしょう。
OPSECのベストプラクティスは、「本当に話をする必要がない限り、黙って」と要約できます。あなたのケースでは、あなたのメソッドをあなたの友人と共有して、彼らが彼らのセキュリティを改善するのを助けることはおそらく大丈夫です。しかし、その方法が実際にどれほど安全であるかに関係なく、その情報をFacebookに公開することはOPSECとしては好ましくありません。
あなたの推論はしっかりしています。優れた暗号化アルゴリズムに少し似ており、（コードに含まれる）プロセスを理解するだけではそれを解読することはできません。
プロセスが安全であり、キーイングの側面を安全に管理できる状態に維持できる場合、プロセスを安全でないと共有することはできません。
平行した議論として、無力化または死の場合（残念ながら世界では現実）、サードパーティからの回復プロセスを持つ余地があります。このため、あなたが参照したようなドキュメントは重要です。次に、信頼できるサードパーティにキー情報を配布する安全な方法を見つける必要があります。
安全である必要があります。それ以外の場合は、すでに設計上の欠陥があります。 「あいまいさによるセキュリティ」に依存しないことについてはすでに述べたので、あなたの計画は安全だと思います。
あなたの計画も非常にシンプルである必要があります。なぜそれを書き留める必要があるのでしょうか。
例えば。私の "計画"は、同じパスワードを使用しないで、長いパスワードを使用してから、パスワードマネージャーを使用することです。一部のサイトでは、さらにTOFA-Protocolで2FAを使用しています。他の要件があるサイトを除いて、それは基本的にそれです...