Keepass - Fragen (Adminrechte; was ist gesichert...

[ace-drink]

Hi

Würde gerne umsteigen vom "Ein Passwort für alles" Verhalten hinzu komplett verschiedenen und langen, komplexen Passwörtern aufgrund einer schlechten Erfahrung.

Keepass hab ich gefunden ebenso wie Password Safe. Sollten beide in der Lage sein einem zu helfen Passwörter zu verwalten.

Also ein paar Fragen insbesondere zu Keepass.

- Brauche ich für Keepass unter XP oder Vista Adminrechte? Also könnte ich es auch einfach in der Uni über nen USB Stick nutzen als eingeschränkter Nutzer?

- Sind die Passwörter auch im RAM verschlüsselt bzw. ist die Eingabe des Masterpasswords geschützt? (Keylogger Gefahr)

- Wie sicher ist das Ganze eigentlich? Wenn ich z.B den USB stick mal verliere? Plane ein 27 stelliges Masterpassword zu nutzen (völlig gemixt z.B $//jndfhsk()&6567AGKLHhc68(§"5). Langt das? Weil noch länger und es wird schwer für mich. Eure ehrliche Einschätzung. Sind die verschlüsselten Datenbanken sicher?

- Was speichert ihr damit? Würde es gerne auch für wirklich sensibles nutzen also z.B Ebay, PayPal oder eben Webshops, Serverlogins etc. Kann man das dafür nehmen ?

ODER

meint ihr sowas wie Keepass ist Schmarn und ich sollte mich nach käuflichem Schutz umsehen, wobei ich sagen muss, dass ich dem Open Source Gedanken sehr zugetan bin
Falls ja, was wäre da was Gutes?

Hoffe auf Antworten

 

[HaveFun]

> Also könnte ich es auch einfach in der Uni über nen USB Stick nutzen als eingeschränkter Nutzer?

Ja, klappt wunderbar. Es gibt auch ein "keepass portable", nutze ich auch in der Uni.

> Sind die Passwörter auch im RAM verschlüsselt bzw. ist die Eingabe des Masterpasswords geschützt? (Keylogger Gefahr)

Afair war das grad ne neue Funktion. Außerdem kann seine Keepass-DB zusätzlich mit ner Pass-Datei schützen, um Keelogger zu wirkungslos zu machen.

> Wie sicher ist das Ganze eigentlich? Wenn ich z.B den USB stick mal verliere? Plane ein 27 stelliges Masterpassword zu nutzen (völlig gemixt z.B $//jndfhsk()&6567AGKLHhc68(§"5). Langt das? Weil noch länger und es wird schwer für mich. Eure ehrliche Einschätzung. Sind die verschlüsselten Datenbanken sicher?

Joar, auch schon mit kürzeren Masterpasswörter ist das sicher ... solange das Masterpasswort keine existierenden Wortbestandteile beinhaltet. Dann reicht auch ein 10-stelliges Passwort. Nimm halt nur zufällige Buchstaben, gross und klein, mit Sonderzeichen und Ziffer.
Beispiel: Viele Stellen, trotzdem sehr unsicher: HeuteIstSehrGutesWetter
nur 9 Zeichen, trotzdem sehr sicher: G7=u($3,h

> Was speichert ihr damit? Würde es gerne auch für wirklich sensibles nutzen also z.B Ebay, PayPal oder eben Webshops, Serverlogins etc. Kann man das dafür nehmen ?

Solche Passwortprogramme sind halt echt sicher, wenn man ein gescheites Masterpasswort hat. Was ich, trotz extra-vorhandener Funktion von Keepass nicht machen werde, ist, auch noch die Bank-TANs dort einzupflegen. Dafür sehe ich nciht die Notwendigkeit, und halte es beim Onlinebanking auch für sinnvoll, dort die getrennte Verwahrung von PIN und TAN einzuhalten.

> meint ihr sowas wie Keepass ist Schmarn und ich sollte mich nach käuflichem Schutz umsehen,

Ne, ganz im Gegenteil. Bei Closed-Software weiß niemand, was drin steckt. Da kann man nur auf Herstellerangaben vertrauen. Einem Closed-Code-Programm würde ich meine Daten nur ungern anvertrauen.

 

[ace-drink]

Ja das ist doch mal ne Antwort.

Danke.

Klingt ja alles recht gut. Dann werde ich es wohl mal nutzen

 

[BeeHaa]

- Brauche ich für Keepass unter XP oder Vista Adminrechte? Also könnte ich es auch einfach in der Uni über nen USB Stick nutzen als eingeschränkter Nutzer?

Du kannst die portable Version auf deinem "eigentlichen" System genauso nutzen wie irgendwo vom Stick. KeePass kann, muß aber nicht installiert werden.

- Sind die Passwörter auch im RAM verschlüsselt bzw. ist die Eingabe des Masterpasswords geschützt? (Keylogger Gefahr)

Wenig bis garnicht. Ein System welches kompromitiert ist (Keylogger oder Ablagespion) ist kompromitiert. Da kann man nichts mehr schützen.
Egal welche Tricks die Programme anwenden, sie laufen unter Windows. Ein Programm welcher auch noch so ausgefuchste Techniken zum Zwischenspeichern benutzt, solange es keinen Systemtreiber benutzt, kann ausspioniert werden. Schon mit 20KB .net2 Kode. Die anderen mit 30KB .net2 Kode.

Ob eigenes oder fremdes System: Verseucht ist verseucht. Merkt euch das mal für immer und ewig Sicherheit ist eine Kette und KeePass nur ein Glied davon. Wenn eins der Glieder aufgeht sind auch alle anderen in Gefahr bzw. die Kette gibt halt nach. Egal an welcher Stelle. Gerissen ist gerissen. Dann sind auch die Passwörter nicht mehr sicher.

- Wie sicher ist das Ganze eigentlich? Wenn ich z.B den USB stick mal verliere?

Imho so sicher, wie wenn du einen Stick mit einem TrueCrypt Container verlieren würdest Kann man sowieso alles nur glauben. Ich halte davon aber sehr viel.

Dominik ist schon lange kein Greenhorn mehr und er schaut auch über den Tellerrand bei anderen open source Projekten vorbei. Man quatscht miteinander und lernt voneinander. Die Datenbank selbst ist nach dem heutigen Wissensstand 100% sicher verschlüsselt.

Ich speicher damit Passwörter. Verstehe die Frage nicht Von all den freewares würde ich nur auf KeePass 1.x setzen. Weil der Typ seit Urzeiten weiß was er da tut. Was geht, was nicht geht und mit welchem snake oil er den User nicht zu blenden braucht. Mehr als KeePass tut läßt sich nicht sicher bewerkstelligen. Und dabei sieht das Teil noch unverschämt gut aus und ist auch sehr übersichtlich und komfortabel.

Die imho einzige Alternative ist Password-Depot für 29€. Keinen Deut sicherer, aber bisschen komfortabler was die Verwaltung im Firmennetzwerk angeht. Mit einer SEHR mutigen Aussage http://www.password-depot.de/

"Sicherheit vor Key-Loggern und Spyware: Password Depot schützt Ihre Kennwörter, auch wenn Ihr Computer mit Spyware und Key-Loggern infiziert ist."
Sowas gibt es nicht und wird es NIE geben.

 

[HaveFun]

- Sind die Passwörter auch im RAM verschlüsseltt?

In-Memory Passwords Protection: Your passwords are encrypted while KeePass is running, so even when the operating system caches the KeePass process to disk, this wouldn't reveal your passwords anyway.

http://keepass.info/features.html

 

[BeeHaa]

@HaveFun

"when the operating system caches the KeePass process to disk"

Das ja. Die "Transfers" von der Datenbank in den Speicher sind aber angreifbar (seine Frage nach Sicherheit im RAM). Das sind sie aber prinzipbedingt. Hat mit irgendwelchen Designschwächen von KeePass nichts zu tun.

 

[HaveFun]

Ah, ok. Da könnte die neue Funktion seit Version 2.x dann ja auch was mit zu tun haben ... könnte ich mir vorstellen. Obwohl ich mir noch nicht genau vorstellen kann, was technisch beim "In-Memory-Streming" geschieht, scheint es sich ja um irgend eine Form von Übertragung zu handen.

[2.x] Protected In-Memory Streams: When loading the inner XML format, passwords are encrypted using a session key.

 

[BeeHaa]

Mit der 2.x werd ich aber nicht so warm. Fett, .NET (hmm) und nicht mehr portable.

So wie ich das verstehe (!) hat diese Funktion aber nichts mit dem eigentlichen "Bewegen" des Passwortes von der Datenbank in das Stringfield zu tun.

 

[HaveFun]

nicht mehr portable.

Ich selbst nutz auch (noch) die 1.x-Version ... von daher müsste ich mit "Light-weigh" mal schaun, ob das Teil wirklich träge ist, wie du sagst.

Nicht portable stimmt nicht ...
http://keepass.info/download.html
KeePass 1.14, Portable KeePass 1.14, KeePass 2.06, Portable KeePass 2.06

 

[Fatal!ty Str!ke]

Ein tipp für ein einfaches und sehr sicheres Master Passwort.

Einen Satz ausdenken und immer zwischen den Wörtern Sonderzeichen einbauen. Und am Anfang und am Ende des Passworts andere sonderzeichen.

Beispiel:

[/-:=ieses:=asswort:=:ist:=:sehr:=:sicher:=:-/]

Hat viele Zeichen, Sonderzeichen und groß/klein Schreiung und ist einfach zu merken.

Edit: UPS, was hat sich denn da eingeschlichen

 

[BeeHaa]

So ungefähr. Sichere Passwörter die man sich noch gut merken kann
http://de.wikipedia.org/wiki/Passwort#Wahl_von_sicheren_Kennw.C3.B6rtern

Und dann eben noch mit Sonderzeichen "umschliessen". () )( >< <> "" %% :: usw. oder auch eine Kombination davon.

Das alles aber nur für die Datenbank von KeePass. Dann kann man sich ruhig für den Rest ohne Reue etwas zwischen 25 und 35 Zeichen gönnen

Wie gesagt aber, wenn man den "falschen" Schädling im System hat, dann nutzt das alles kaum etwas.

@HaveFun
Jou stimmt. .NET portable gibts aber nicht bzw. wäre das schon dann leicht krank. .net muß also installiert sein.

 

[HaveFun]

[/-:=:Dieses:=:Passwort:=:ist:=:sehr:=:sicher:=:-/]

Würde ich nicht empfehlen ... sobald im Passwort Begriffe vorkommen, die man im Wörterbuch findet, macht man es Crack-Programmen unnötig leichter.
Du kannst aber bspw. auch mit Anfangsbuchstaben von Wörtern innerhalb eines Satzes arbeiten.

 

[Fatal!ty Str!ke]

Das mit Satz und Sonderzeichen hat aber einfach den Vorteil, dass man das nicht so leicht vergisst. Man könnte dan Satz natürlich auch im dialekt schreiben oder z.B. in Französisch.

Ich hab schon öfter ein Passwort vergessen, dass aus zufälligen Kombinationen war. Wenn man es regelmäßig braucht, vergisst man es nicht. Aber braucht man das passwort zufällig mal ein oder zwei Wochen nicht, ist es weg.

Mein Keepass Passwort das aus einem Satz besteht (mit ein paar zusätzlichen Fantasiewörtern) und Sonderzeichen hab ich seit fast einem Jahr im Kopf.

Wenn ich es Mit Keepass überprüfen lasse hat es 192 Bits. Wenn das nicht sicher ist...

Das Passwort im ersten Post " $//jndfhsk()&6567AGKLHhc68(§"5) " hat nur 168 bits und ist sehr schwer zu merken.

 

[HaveFun]

das aus einem Satz besteht ... hat es 192 Bits.

$//jndfhsk()&6567AGKLHhc68(§"5) hat nur 168

"bits" sagt grundsätzlich nichts über die Sicherheit aus, sondern über die Länge. Die Länge (Bits) sind ein Kriterium für die Sicherheit, aber ein Passwort mit "111111111111111111111111111111" hat viele Bits, aber kaum Sicherheit.

Ich glaub aber, wir entfernen uns hier mittlerweile doch recht weit vom Topic, und würd vorschlagen, die Passwort-Diskussion an dieser Stelle ruhen zu lassen.

Edit:
Ok, dann halt "Passwort_geheim_sicher_Haus_Garten_Computer" ... lang, viele Bits, aber unsicher.

PS: Von meiner Seite war es das mit der Passwort-Diskussion, weil der TE eigentlich gar nicht danach fragte.

 

[Fatal!ty Str!ke]

Na ja der ganze Thread geht doch auch über Passwörter und eben KeePass. Ich finde nicht wirklich, dass das Off Topic ist.

Eins muss ich aber noch loß werden. Das mit den Bits. Damit ist die Passwortsicherheit gemeint.

Gib mal in KeePass 3mal das ABC ein oder 100 Nullen. Es wird schwerig über 30 oder 40 Bits zu kommen. Je länger das Passwort aus nullen wird desto länger dauert es, bis man ein Bit mehr sicherheit hat. Du kannst also auch 1000 Nullen als Passwot haben und du hast weniger Bits als mit einem kurzen Satz und Sonderzeichen. Die Bits beziehen sich auf die sicherheit bzw. Komplexität des Passwortes.

Je mehr verschiedene Zeichen kombiniert werden, desto mehr Bits zeigt KeePass an und desto sicherer ist es.

111111111111111111111111111111 hat 7 Bits (also sehr wenig). Ich kann jetzt noch 20 einsen hinzufügen und komme vieleicht auf 8 Bits.

€"!0Gl?&@ hingegen hat laut KeePass 66 Bits. Also je Komplexer desto mehr Bits zeigt KeePass an.

Bits sagen demnach nichts über die Länge aus. Ich gebe nur das wieder, was KeePass mir zeigt...

 

[Kamikatze]

Naja, nur kann KeePass nicht unterscheiden, ob es sich beim eingegebenen Passwort z.B. um eine wahllose Buchstabenkombination (nur durch Bruteforce zu knacken) oder ein existierendes Wort handelt (welches aufgrund der Möglichkeit von Wörterbuchattacken einfach prinzipiell unsicherer ist), da KeePass kein Wörterbuch zur Überprüfung verwendet.

So kann es nur in simplen Fällen (wie z.B. Hintereinanderverwendung des selben Zeichens) Abzüge bei der Sicherheit erkennen und die Beurteilung dahingehend anpassen.

 

[Fatal!ty Str!ke]

Da hst du natürlich recht. Aber es gibt ja die möglichkeit es einfach im Dialekt zu schreiben. Bayerisch, Fränkisch usw.

 

[BeeHaa]

Wenn man schon KeePass verwendet, dann kann man ja zur Not auch KeePass die Passwörter erstellen lassen Über 20 Zeichen einstellen und Ruhe ist.
Oder 32? Oder 43? Kostet ja nichts

Was das Passwort der Datenbank selbst angeht finde ich den Artikel bei Wikipedia schon recht ordentlich.