Dropbox + Boxcryptor -> Keypass Datenbank in Dropbox -> Sicherheit

[Andy8891]

Hallo,

ich habe folgende Frage:

Ich kann ja in der Dropbox Dateien hochladen und mit Boxcryptor verschlüsseln.

Ich nutze Keypass und speichere dort alle meine Passwörter.
Die Keypass Datenbank ist in der Dropbox
Die Masterdatei momentan auf der SSD (und Sicherungsdatei auf einem USB Stick)

Die Keypass Datenbank ist in der Dropbox verschlüsselt, das ist ja schön und gut, aber wenn jemand das Dropbox Konto knackt, könnte er alle Daten ja einfach löschen oder?

Wie könnte ich das nun am BESTEN absichern.

Da ich die Passwörter in Keypass speichere könnte ich ein beliebig langes und "unknackbares" Passwort für:

Dropbox und meinen Email Account wählen. Dadurch sollte ein Zugriff auf die Dropbox von außen "unmöglich" sein oder?

Wie kann ich nun noch meinen Rechner absichern, bzw welche Möglichkeiten gäbe es noch?

Ich nutze aktuell die Makro Funktion von meiner Logitech G15 um das Keypass Passwort eingeben zu lassen.
-> Ist das ein großes Sicherheitsrisiko?


Mit freundlichen Grüßen,
Andy

 

[smuper]

Ich nutze aktuell die Makro Funktion von meiner Logitech G15 um das Keypass Passwort eingeben zu lassen.
-> Ist das ein großes Sicherheitsrisiko?

Damit ist dein gesamtes Vorgehen sowieso sinnlos. Der Masterschlüssel steht also frei zugänglich in der Logitech Software?

 

[Andy8891]

Wieso? Ist es möglich Zugriff auf meinen PC zu erhalten ohne mein Einwirken?

€: bzw was macht es bei einem kompromitieren PC für einen Unterschied ob das Passwort per hand oder makro eingegeben wird

 

[Helmpflicht]

Damit ist dein gesamtes Vorgehen sowieso sinnlos. Der Masterschlüssel steht also frei zugänglich in der Logitech Software?

Nicht die beste Lösung in der Tat. Aber wenn der Rechner kompromittiert wird, dann ist eh jede Software-Sicherheitslösung obsolet...

 

[Bagbag]

Jedes x-beliebe Programm könnte das machen, z.B. ein Trojaner o.Ä..

Aber wenn du das Passwort für die Passwörter auf dem PC speicherst, sogar noch als key-binding, dann brauchste das erst gar nicht machen.

 

[smuper]

Wo soll ich anfangen? Malware? Physischer Zugriff?

Wenn es dir rein um ein Passwort Management geht ohne wirklichen Sicherheitsgewinn, dann kannst du auch das Keyfile weglassen.

 

[Andy8891]

@Vorposter geht es etwas ausführlicher?

Also wo ist der Unterschied zwischen Handeingabe und Makro

€: Also der PC steht bei mir daheim, wenn nicht gerade eingebrochen wird, kann ein direkter Zugriff ausgeschlossen werden.

€: Also könnte jetzt jemand ohne das ich irgendwas mache auf meinen PC von außen zugreifen/Trojaner einschleusen?

 

[smuper]

Wie wäre es mit einer Sicherungskopie deiner Datenbank auf deinem lokalen Rechner? Solltest du eh haben. Dann kann dir auch egal sein, ob jemand irgendwie Zugriff auf deinen Dropbox Content bekommt. Wo natürlich auch wieder X Szenarien möglich sind und eine etwaige Verschlüsselung und "sicherer" Passwörter nur bedingt helfen.

Also wo ist der Unterschied zwischen Handeingabe und Makro

Ein Makro ist sofort auslesbar, wobei du bei manueller Eingabe wenigstens einen Keylogger brauchst.

Dein Sicherheitssystem ist nur so stark wie der schwächste Punkt und das ist nun mal das Makro oder die manuelle Passwort Eingabe.

Das Keyfile ist ebenso obsolet, so lange es nicht ausschließlich extern gelagert wird.

 

[Andy8891]

@Smuper und wenn irgendwas mit den Festplatten ist?

 

[pcblizzard]

Man sagt doch nicht umsonst dass man sensibel / wichtige Daten doppelt und dreifach sichern soll! CD/DVD / USB-Stick / Diskette (falls es die Größe zulässt) oder oder oder!

 

[smuper]

@Smuper und wenn irgendwas mit den Festplatten ist?

Dann hast du es doch auf Dropbox?

 

[Andy8891]

Ja aber da es dort nicht "sicher" ist, soll bzw. kann es ja dort weg

Bitte diese Frage beantworten:

Könnte jemand ohne das ich irgendwas mache auf meinen PC von außen zugreifen/Trojaner einschleusen?

 

[smuper]

Wie definierst du in diesem Fall sicher? Datenverlust oder Datenklau?

Als ein Backup, oder als Cloud Speicher damit man die Datenbank auch am Handy hat ist es doch durchaus okay.

Datenklau kann dir bei Keyfile und Passwort doch relativ egal sein.

Ergänzung (4. März 2014)

Könnte jemand ohne das ich irgendwas mache auf meinen PC von außen zugreifen/Trojaner einschleusen?

Definitiv JA! Ich gehe mal nicht davon aus, dass du mit "ohne irgendwas zu machen" einen ausgeschalteten PC meinst, oder ohne Internetanschluss.

 

[Andy8891]

@smuper

hmm und wie?

Ich gehe mal nicht davon aus, dass du mit "ohne irgendwas zu machen" einen ausgeschalteten PC meinst, oder ohne Internetanschluss.

Also ich besuche beispielsweise CB

 

[smuper]

http://de.wikipedia.org/wiki/Drive-by-Download (Hier musst du immerhin surfen)

Wobei auch deine laufende und installierte Software Exploits beinhalten kann, dann ist gar kein zutun nötig.

http://de.wikipedia.org/wiki/Exploit


Daher ist das aktuell halten seiner Software der wichtigste Teil des Sicherheitskonzepts.

Ergänzung (4. März 2014)

http://www.spiegel.de/netzwelt/web/viren-werbung-auf-internetseiten-a-892841.html

Ergänzung (4. März 2014)

http://www.heise.de/security/meldun...ls-Malware-Schleuder-missbraucht-1540251.html

 

[Andy8891]

@smuper und gegen solche Angriffe bringt Antivirensoftware nichts?

 

[smuper]

Wenn du Glück hast ja, in aller Regel aber nicht.

Heutzutage hat jeder Anfänger einen Virenscanner/Suite, warum nehmen die Infektionen trotzdem weiterhin zu? Die Entwickler hinken halt immer ~ einen Tag hinterher, und der ist leider entscheidend.

Der Virenscanner ist das letzte Glied einer langen Kette von Sicherheitsmaßnahmen (die bestimmt auch hier im Forum in Stickys stehen). Wenn der Virenscanner anschlägt, dann hat der User bereits weit vorher versagt.

Sicherheitsmaßnahmen (ohne Kommentar): jeglicher Adblocker, Noscript/Flashblock/oder Gleichwertiges, Microsoft EMET, Windows und Software Updates. Scanner für alte Software (Secunia PSI oder SuMo)

Aber da hat Helmpflicht auch Recht

Aber wenn der Rechner kompromittiert wird, dann ist eh jede Software-Sicherheitslösung obsolet...

Ob manuelle Eingabe deines Passwortes oder per Makro ist bei einem befallenen System egal, das Makro erhöht dein Risiko nur bei Angriffen durch Personen die direkten Zugriff auf deinen Rechner haben.