Programm zum Passwörter speichern

[pravum]

Da hier auch LastPass genannt wurde, im folgenden zur Sicherheit von LastPass:

LastPass nutzt exklusiv SSL Verschlüsselung für jegliche Datenübertragung, obwohl die überwiegende Mehrheit der Daten die Sie übermitteln bereits verschlüsselt ist mittels 256-bit AES Verschlüsselung und somit eine Abhörung des Datenverkehrs sowohl für LastPass als auch jeden weiteren unmöglich ist - - der Umfang der Daten ist geringfügig aufgrund dessen ist die Extra-Verschlüsselung keine schlimme Sache. Unsere Praxis dass wir niemals private Daten empfangen die Sie nicht bereits mit ihrem LastPass Master-Passwort gesichert haben (das wir niemals übermittelt bekommen und auch nie danach fragen werden)reduziert Angriffsmethoden radikal. Wir nutzen Firewalls und größte Praktiken um die Server und denr Service zu schützen, aber unsere beste Verteidigungslinie ist schlichtweg keinen Zugang zu Daten zu haben, selbst wenn sich jemand theoretisch darauf Zugriff verschaffen könnte. Wenn noch nicht einmal LastPass daruf zugreifen kann dann können Hacker dies auch nicht. Es werden eine große Anzahl von PBKDF2-SHA256 Runden eingesetzt, um Ihren Schlüssel zu erstellen, mit der Fähigkeit, die Anzahl der Runden im Laufe der Zeit zu erhöhen, um Brute-Force-Angriffe auf Ihr Master-Passwort unmöglich zu machen.

https://lastpass.com/whylastpass_technology.php

Die LastPass Daten werden erst auf dem System verschlüsselt, und dann auf den LP Server geladen.
Ich bin ja eher für Acebit Passwort Depot http://www.password-depot.de/uebersicht.htm, aber LastPass ist eine sichere Alternative zum speichern im Browser.
Übrigens, ihr könnt für KeePass auch die Twofish Chiffre nutzen:

http://gogogadgetscott.info/keepass/twofishcipher/

 

[Bogeyman]

Wenn die Daten erst auf dem Server verschlüsselt werden halte ich das für ein großes Sicherheitsrisiko.

Ich persönlich würde daher eher Speicherung und Verschlüsselung auf 2 unterschiedliche Anbieter bauen anstatt auf einen.

 

[Affenbuttler]

LastPass kann erzählen, was es will. Es ist ein Unternehmen aus den USA. Wenn die Laune haben, zwingen die Dienstanbieter wie LastPass mit irgend einem neuen Act, hintertüren einzubauen. Dann ist das alles wieder für die Katz. Und dieses Szenario ist gar nicht mal unwahrscheinlich. Und wo hintertüren sind, wird es auch Missbrauch geben.
Ich würde keinen Onlinedienst nutzen, um wichtige Passwörter zu sichern.

 

[Yuuri]

Ja und Microsoft hat auch haufenweise Backdoors im OS. So lange es nicht ist, ist es nicht, da muss man nicht wieder Verschwörungstheorien und Horrorszenarien heraufbeschwören...

 

[pravum]

Wenn die Daten erst auf dem Server verschlüsselt werden halte ich das für ein großes Sicherheitsrisiko.

Ich persönlich würde daher eher Speicherung und Verschlüsselung auf 2 unterschiedliche Anbieter bauen anstatt auf einen.

Die Passwortdatei (Container) wird verschlüsselt vom User System zum LastPass Server geladen.

Ja und Microsoft hat auch haufenweise Backdoors im OS. So lange es nicht ist, ist es nicht, da muss man nicht wieder Verschwörungstheorien und Horrorszenarien heraufbeschwören...

Stimmt, solange keine Fakten geliefert werden ist dieses Backdoor Gerede eher was für die Märchenstunde.
Und nebenbei, Dienste wie LastPass oder Acebit verdienen Geld mit der Dienstleistung, Aktionen wie "Backdoor" wären Unternehmerischer Suizid. Das Risiko der Aufdeckung wäre trotz Closed Source viel zu hoch.

 

[Affenbuttler]

Ja und Microsoft hat auch haufenweise Backdoors im OS. So lange es nicht ist, ist es nicht, da muss man nicht wieder Verschwörungstheorien und Horrorszenarien heraufbeschwören...

Der kleine Unterschied ist nur, dass Windows noch nicht in der Cloud liegt, und du auf deinem Rechner noch Herr deiner Daten bist.
Ist aber auch nur noch ne Frage der Zeit, bis sich das ändert. Und wenn schon, was soll passieren. Sind ja eh alles Verschwörungstherorien und Horrorszenarien...

 

[Bogeyman]

Stimmt, solange keine Fakten geliefert werden ist dieses Backdoor Gerede eher was für die Märchenstunde.
Und nebenbei, Dienste wie LastPass oder Acebit verdienen Geld mit der Dienstleistung, Aktionen wie "Backdoor" wären Unternehmerischer Suizid. Das Risiko der Aufdeckung wäre trotz Closed Source viel zu hoch.

Ansichtssache, ich sehe es anders. Es wurde lediglich gesagt dass Closed Source Backdoors enthalten KANN.

Bei Closed Source vertraust du dem Anbieter, es gibt Leute die wollen/können einem Unternehmen nicht vertrauen und greifen daher zu anderen Lösungen.

Hat nichts mit Verschwörungstheorien zu tun, zumal der Begriff sowieso negativ besetzt ist und erstmal nichts an einer Verschwörungstheorie negativ ist, die meisten Menschen verbinden damit aber fälschlicherweise etwas Negativ indem von Vornerein die Leute die daran glauben als Idioten abgestempelt werden.

Will man Daten sicher verschlüsseln so darf einzig und allein der Schlüssel geheim bleiben. Ansonsten kann man nicht ausschließen dass es Backdoors (gewollt) oder Bugs (ungewollt) gibt und die Daten eben nicht sicher nicht.

Wird obendrein auch an jeder anständigen UNI/FH gelehrt falls man Vorlesungen zu dem Thema hört.

 

[Yuuri]

Es hat ja niemand behauptet, dass Verschwörungstheorien negativ behaftet sind oder gar Leute als dumm hingestellt. Nur hat Windows eben "seit Jahrzehnten" "mehrere Backdoors für die <hier mindestens 3 beliebige Buchstaben eingeben>". So lange dort nichts bewiesen ist, sind es eben nur Märchen und seither sinnloses Gerede, was noch niemand belegt hat und ich bezweifel, dass es je jemand belegen kann.

Insofern sind manche Hirngespinste schon sehr an den Haaren herbeigezogen und da es immer mal wieder aufflammt bei Diskussion x, kann man/ich es halt nicht anders einordnen.

Eine Verschwörungstheorie wird aber zumal immer mit irgend einem Faktum dargelegt (wie die Begründung ist, sei erstmal dahingestellt). Wenn aber Behauptung x auf keine Begründung trifft, außer dass der Code nicht einsehbar ist oder das Produkt von einer großen Firma stammt oder oder oder, ist es nun mal für mich nur ein Hirngespinst von jemanden, der sich mit irgendwas für irgendwas rechtfertigen will.

 

[Bogeyman]

Was hat es mit Hirngespinnsten zu tun wenn ich Closed Source nicht verwenden möchte weil ich Angst vor möglichen Backdoors und Bugs habe?

 

[Yuuri]

Hirngespinste in der Verbindung mit Closed Source, Backdoors und der Meinung "da ist sicherlich bzw. muss einfach was drin sein". Paranoia tut Niemandem gut. Selbst bei OSS kann es Backdoors geben, ganz aktuell bspw. Piwik. Hat zwar weniger mit dem Code zu tun, aber dass das Archiv trotzdem befallen war ist nun mal so gewesen. OSS hat genauso Sicherheitslücken, welche evtl. sogar öfter ausgenutzt werden kann, da der Code einsehbar ist.

Bin kein Gegner von OSS, ganz im Gegenteil nutze ich es sogar lieber als Closed Source Anwendungen insofern sie eine gute und brauchbare Alternative darstellen. Aber diese Closed Source Geschichte, ist doch irgendwo immer ein wenig zweifelhaft.

In die Pläne von einem Golf oder einem Wohnhaus kannst du doch (evtl.) auch nicht Einsicht nehmen, ist doch hier die gleiche Ausgangssituation.

PS: Die Angst vor Bugs musst du mir aber mal zeigen.

 

[Bogeyman]

Ich hab nie gesagt da muss es Backdoors geben, aber es ist nunmal deutlich einfacher zu verstecken als bei Open Source denkst du nicht?

Die Sache bei Closed ist doch die, dass du es nie eindeutig sagen kannst. Du kannst nicht eindeutig sagen es gibt keine, du kannst aber auch nicht sagen es gibt welche (solange keine gefunden wurde zumindest)

Bei OpenSource würde man im Quelltext sehen wenn sich da irgendwer ein Hintertürchen einbaut. Bei allen anderen kannst du das nicht.

Grade bei Unternehmen in den USA finde ich es nicht soooo weit hergeholt wenn man anmerkt dass es da Vereinbarungen mit dem Staat geben kann gewisse "optionen" sich offen zu halten.

Hier den Leuten blind zu vertrauen finde ICH naiv.