[iron-man75]

Also wenn ich das richtig verstehe am besten Firefox benützen?

Brauch man bei Keepass unbedingt die Schlüsseldatei es nervt immer den USB Stick anzuschließen wenn ich Keepass nutzen möchte denn darauf befindet sich die Schlüsseldatei.

[iron-man75]

Also sollte man auch nicht Google als Suchmaschiene verweden?
Was würdet ihr dann als Alternative empfehlen?

[der dom]

Eine Schlüsseldatei würde ich gerade bei Cloudnutzung empfehlen. Dann hast du eine Sicherheit von sagen wir mal 96,5% dass das ganze auch bei dir bleibt.

Kreditkarten / Kontodaten etc. würde ich, persönlich betrachtet, nicht in einem PWD-Manager Speichern. Das wäre mir zu heikel.

[der dom]

Wenn die Schlüsseldatei NICHT in der Cloud liegt, kann die DB auch in der Cloud liegen - es ist nicht Ratsam - da stimme ich dir zu, aber grundsätzlich ist das ok

[der dom]

Also ganz ehrlich - wenn die Schlüsseldatei, wie z.B. bei Keypass mittels "klick doof auf das Bild wie wild bis wir die 256 Byte voll haben" gemacht wird, dann ist eine Bruteforce mit Standard-PCs, ja selbst mit großen Clustern nahe zu unmöglich.

Wenn es nur ein Masterpasswort ist, dann wäre ich da vorsichtig. Nur die DB wird mit einem Masterpassword versehen. Die Schlüsseldatei ist nochmal ein zweiter Schritt.

Bei nem Bruteforce ohne Rainbow-Table und ohne irgendeine Kenntnis davon wo man eigentlich Anfängt....puhhh neee, das wird nicht funktionieren. MD5 hatte damals den Vorteil, dass die Rechenleistung so schwach war, dass man damit keine Hashes "berechnen" konnte - das ginge, so die Theorie, heute aber auch nur mit massivem Rechenaufwand. Bei AES, SHA256 oder Rinjdal mit Salt + Pepper sehe ich da keine "Schwierigkeiten" - jedenfalls dann nicht, wenn das PWD / die Key-Datei ordentlich bestückt wurde.

Klar, wenn ich einen Cluster über ein Botnetz aufbaue der mir die Rechenleistung liefert, dann ist es noch was anderes - aber da gehört auch grundsätzlich ordentlich optimierter Programmierskill zu - oder genug Geld damit die Script-Kiddies irgendeinen Scheiß ausführen können den sie nicht verstehen.

[RalphS]

Eh, man kann bei KP nochmal extra nachhelfen, indem man die Anzahl der Verschlüsselungsiterationen erhöht.

Kann man sogar irgendwo automatisch berechnen lassen: "So viele Iterationen, daß mit diesem PC X Sekunden benötigt werden".

Das hat zur Folge, daß jeder einzelne Versuch, die Datenbank zu öffnen, diese Anzahl von Sekunden benötigen würde, wenn man sie auf DIESER Hardware öffnen möchte. Das gilt insbesondere auch für die Eingabe des RICHTIGEN Schlüssels.

Dann dauert das Öffnen und Speichern der Datenbank zwar länger, aber ein paar Sekunden Öffnen und Speichern sind nichts im Vergleich zum zusätzlichen Zeitaufwand für den potentiellen Panzerknacker. Der hat nämlich exakt diese Zeit nicht und dann wird die Frage am Ende darauf reduziert, wie wichtig sind dem Kollegen exakt MEINE Daten? An andere kommt er vielleicht schneller.

KP kann Multifaktorauthentifizierung - die ist sogar per Plugin erweiterbar -- das erhöht die Sicherheit weiter. Da es MFA gibt, sollte man das auch möglichst nutzen (gilt natürlich nicht nur für KP).

Das geht sogar soweit, daß man sich einen USB-Stick als eine Art Dongle einrichten kann. Ohne den Stick geht dann gar nichts. Mit dem Stick wäre zu überlegen, ob außerdem noch ein Paßwort oder anderweitige Authentifikationsoptionen festgelegt werden sollen. Der Stick wäre dann immer am Mann zu haben, zB am Schlüsselbund.

[der dom]

Dann wäre es doch gleich der Option Schlüsseldatei auf USB Stick und von da aus öffnen....

Wenn der Stick nicht steckenbleibt ist es doch dann schon Wumpe. Meines Erachtens nach für Privatpersonen zu viel. Wenn man das Masterpasswort + Schlüsseldatei + USB-Stick nehmen würde wäre das doch zu viel für den Privatmenschen.

Dann doch die Schlüsseldatei auf USB-Stick packen und gut. Wenn man die andere Variante wählen würde und der USB-Stick ginge in die Dutten, dann wäre das, jedenfalls für 99% aller, im schlimmsten Fall der Totalverlust aller Passwörter.

So wäre es der Worst-Case.

Mal einen Spaß eingeworfen - wenn man es ganz sicher haben will, dann nimmt man einen USB Stick der per Veracrypt verschlüsselt wurde - und nur mit dem entschlüsseltem USB-Stick kann man die Authentifizierung am KP o.ä. durchführen.

[RalphS]

Du mißverstehst. Exakt der Umstand, die Schlüsseldatei auf dem Stick zu haben, macht ihn bereits zu einer Art Dongle.

Die Implementierung, WIE das genau passiert, ist egal. Am Ende ist jeder Dongle nicht mehr als ein Stück Hardware, auf dem ein Schlüssel gespeichert ist: USB-Teil wo das fest einprogrammiert ist, oder eine Smartcard, oder ein simpler USB-Stick, wo ein (Teil des) Schlüssels als simple Datei gespeichert wurde.

[der dom]

Naaa so wird ein Schuh draus - ich dachte du würdest meinen Master + Schlüssel + Stick - das wäre dann Overload.

War auch ein wenig missverständlich wenn ich das so offen sagen darf.

[RalphS]

Zitat (der dom: 15. Mai 2019 - 18:47)

War auch ein wenig missverständlich wenn ich das so offen sagen darf.

nein darfst Du nicht *axt* *fuß* *kleiderbügel*

Nein im Ernst, am Ende des Tages sind's nur Begrifflichkeiten. Leider sind die teilweise festgefahren, manchmal aus Gewohnheit, manchmal dank Wirtschaft (wofür stand nochmal das Acronym "NAS"?).

Worauf ich rauswollte, war, daß, da KP Multifaktor-Authentifizierung unterstützt, man MFA möglichst nach Zweck nutzen sollte und MultiFAKTOR eben auch als "mehrere (unabhängige) Faktoren", hier Schlüsselteile, verwenden sollte.

ZB so:
- PW-Datenbank bei Onedrive
- Schlüsseldatei in die Hosentasche (auf dem Stick)
- Paßwort für die PW-Datenbank in den Kopf, optional gerne auch als Zettel irgenwo sicher, wenn man sich nicht sicher ist, daß PW tatsächlich *nicht* zu vergessen

und dann müssen auch wirklich alle drei Teile zusammenkommen, bevor man die Paßwörter aus der Datenbank kriegt.

Hingegen wäre Schlüsseldatei, Datenbank und vielleicht noch eine Textdatei mit dem Paßwort für die PW-Datenbank alles auf demselben Stick *keine* Multifaktorauthentifizierung. Stick ergaunern und schon hat man die Info: es fehlt also der "Faktor" aus Multifaktor und man hat bestenfalls "Multisummand".