Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
? dein rechner wird einfach mit einem live-linux rebootet und wenn der keine full disk-encryption hat, kann die configdatei oder auch einfach die keepass.exe geändert werden. generell kann man so jegliche malware installieren. deswegen wird ja auch bitlocker & co. benutzt.
Ehrlich gesagt, weiss ich gar nicht 100% wie mein Rechner in der Firma gesichert ist. Aber ich hab schon genug Vertrauen in unsere IT (bin selber ja kein ITler und muss halt auf andere setzen). Aber eine Schlussfolgerung hab ich gezogen aus der Unterhaltung. Meine Konfig-Datei, also die gesamte Programm-Installation, darf nicht auf dem Rechner sein. Bedeutet dann Einsatz von portabler Software. Wo Datenbanken und Schlüsseldateien liegen, ist dann nochmal ein anderes Thema.
selbst wenn du keepass als portable app benutzt und programm, config und verschlüsselte datenbank auf einem usb-stick sind, den du IMMER bei dir hast: sobald du das programm auf einem rechner benutzt, dem du nicht zu 100% trauen kannst, ist im grunde dein keepass nicht mehr sicher.
wenn du also private daten in deinem keepass hast, musst du deiner it, deinen kollegen, dem hausmeister und der reinigungsfirma vertrauen, dass sie deinen rechner nicht manipuliert haben oder überwachen. deswegen haben private daten nichts auf arbeitsgeräten zu suchen.
Ja, das hab ich schon verstanden. Ich nutze für die Arbeit eigens erstellte Datenbanken, welche nur Logins für den Berufsalltag beinhalten. Aber selbst dort gibt es Logins, die nur für mich sind. Gerade aus dem Grund nutz ich gern Keepass an der Arbeit. Man wird zugeschüttet mit Logins für verschiedene Dienste. Es gibt Logins für jedermann und es gibt Logins, wo du z.B. deinen Gehaltszettel abrufen kannst.
gut, für den rest ist die it dann zuständig. den rechner muss du beim verlassen des arbeitsplatzes natürlich immer sperren. praktisch ist übrigens auch dynamic lock in verbindung mit deinem phone. solltest du das sperren vergessen, sperrt windows sich selbst, wenn du aus der bluetooth-reichweite gehst. unter linux geht das mit blueproximity, da kann man noch die "reichweite" einstellen bzw. ab welcher signalstärke das ganze passieren soll.
Ich minimiere auf jeden Fall dieses theoretische Risiko sehr stark (also dass mein Keepass kompromittiert wird), indem ich Keepass portabel nutze an der Arbeit; das ist meine Schlussfolgerung. Dann ist die Konfig-Datei nicht auf dem Rechner, wenn z.B. der USB-Stick nicht drink steckt. Natürlich ist mir auch klar, dass Datenbanken und Schlüsseldateien nix auf demselben Medium zu suchen haben, wo auch die Keepass-Installation liegt. Wobei, wenn man Keepass auf einen USB-Stick kopiert um diesen an der Arbeit zu nutzen, dann liegt es nahe wenigstens auch die Schlüsseldateien auf denselben Stick zu kopieren? Alleine damit kann ein Angreifer nix anfangen, wenn z.B. mein USB-Stick gestohlen würde? Und wenn das passieren würde, dann würd ich als erstes neue Schlüsseldateien erstellen für meine Datenbanken.
Ich nutze schon seit vielen Jahren KeePass und genauso lange speichere ich meine Datenbank nicht einfach irgendwo...
Ich kann jedem nur empfehlen, sich niemals auf nur eine Sicherheitslösung zu verlassen.
Man muss immer damit rechnen, dass irgendeine Schwachstelle ausgenutzt werden könnte.
Meine Lösung für deinen Fall ist simpel:
1. VeraCrypt verwenden
2. KeePass verwenden
Diese Kombination erlaubt es dir, die KeePass Datenbank in einem verschlüsselten Container via VeraCrypt zu speichern. Selbst wenn man ein Windows Home nutzt, bei dem jeder Anfänger mit einem Linux Bootstick sämtliche Daten einfach herauskopieren kann, ohne das Windows Passwort zu kennen, hat man seine KeePass Datenbank "sicher" abgelegt.
Die Lösung dazu wäre VeraCrypt auch für die gesamte Festplattenverschlüsselung zu nutzen.
Und wenn man ganz paranoid und extra sicher sein möchte:
1. Festplatte mit VeraCrypt verschlüsseln
2. Verschlüsselten Container auf der verschlüsselten Festplatte erstellen
3. Versteckten verschlüsselten Container im verschlüsselten Container auf der verschlüsselten Festplatte erstellen
4. KeePass Datenbank mit einem starken Schlüssel in ... ablegen
5. KeePass Schlüsseldateien erzeugen
Dabei darf man nicht vergessen, dass man irgendwo eine Kopie der Datenbank haben muss.
Beispielsweise auf einem USB-Stick, welcher ebenfalls verschlüsselt ist!
ABER:
Völlig egal welche Lösung und wie viele "Sicherheitsschichten" du nutzt.
Wenn du völlig naiv durch die Welt läufst, jeden E-Mail-Link anklickst, jede App aus jeder Quelle installiert (z.B. Foren) und überall sämtliche Berechtigungen zulässt, die eine App verlangt, bringt dir das alles nichts.
Das ist wie eine FFP2-Maske in einem strahlen verseuchtem Gebiet zu tragen.
ABER:
Völlig egal welche Lösung und wie viele "Sicherheitsschichten" du nutzt.
Wenn du völlig naiv durch die Welt läufst, jeden E-Mail-Link anklickst, jede App aus jeder Quelle installiert (z.B. Foren) und überall sämtliche Berechtigungen zulässt, die eine App verlangt, bringt dir das alles nichts.
Das ist wie eine FFP2-Maske in einem strahlen verseuchtem Gebiet zu tragen.
So bin ich nicht Aber jeder kann mal nen Fehler machen. Ist mir noch nicht passiert, aber beim lesen des Heise-Artikels hab ich mir tatsächlich die Frage gestellt, ob es sicher ist Keepass an der Arbeit zu nutzen. Aber die Schlussfolgerung ist ja (wie ich mir das erhofft hatte), dass die Schwachstelle eigentlich der User an sich ist. Kurzum, passiert was, biste wahrscheinlich selber schuld. Software wie Keepass schützt ja nicht vor Dummheit
Auf sowas hab ich keinen Einfluss, also ob mein Bürorechner verschlüsselt ist. Ich muss auf jeden Fall kein Passwort eingeben, wenn ich den Rechner hochfahre. Okay, natürlich das Windows-Passwort später. Ich frag das mal an einen IT-Kollegen meines Vertrauens. Weil die haben in letzer Zeit versucht, uns für das Thema Sicherheit bei der PC-Nutzung zu sensibilisieren und wir mussten da so Online-Schulungen machen. Da ging es sich dann u.a. um sichere Passwörter und wie man Phishing-Emails erkennt... etc...
Problem bei mir ist halt, ich hab absolut nicht viel Zeit, um mich mit solcher Thematik an der Arbeit zu beschäftigen. Dafür sind andere da (und dafür bezahlt). Ich bin für andere Tätigkeiten bezahlt. Die Kiste muss sicher sein, das ist die Verantortung der IT-Abteilung. Also Sicherheit, die ich selber mit meinem eingeschränkten Benutzer-Konto gar nicht beeinflussen kann. Ich kann noch nicht mal eine blöde Verknüpfung vom Desktop löschen, wenn das dazugehörige Programm mit Admin-Passwort installiert wurde (welches ich als Nicht-Admin natürlich nicht kenne).
Das abwiegeln der Entwickler ist normal, siehe z.B. Signal Schwachstellen vor zwei Wochen. Wie das von der Community aufgenommen wird hängt u.a. davon ab, was Multiplikatoren wie Fefe darüber schreiben und wie beliegt das Projekt ist.
Von daher machst du das genau richtig, das du über konkrete Szenarien nachdenkst, wo das ein Problem sein könnte. Und es ist ja definitiv ein Problem, wenn z.B. zweimaliger Zugriff reicht, um die gesamte Passwortdatenbank zu extrahieren und dazu nichts und insbesondere kein Virus installiert werden muss. Das ist ein kompletter Layer security, der einfach mal wegfällt. Es ist ja nun auch nicht so, das 0days vom Himmel fallen oder jeder unbeschränkt Zugriff hat auf Malware, die von aktuellen Virenschutzprogrammen nicht erkannt werden. Mit KeePass braucht man das alles offenbar gar nicht.
Ich nutze auch KeePass und bin nicht sehr begeistert. Haben alle KeePass Varianten diese Schwachstelle? Interessant auch, dass das beim Audit nicht aufgefallen ist.
Oli_P schrieb:
Wobei, wenn man Keepass auf einen USB-Stick kopiert um diesen an der Arbeit zu nutzen, dann liegt es nahe wenigstens auch die Schlüsseldateien auf denselben Stick zu kopieren? Alleine damit kann ein Angreifer nix anfangen, wenn z.B. mein USB-Stick gestohlen würde? Und wenn das passieren würde, dann würd ich als erstes neue Schlüsseldateien erstellen für meine Datenbanken.
Ich nutze auch KeePass und bin nicht sehr begeistert. Haben alle KeePass Varianten diese Schwachstelle? Interessant auch, dass das beim Audit nicht aufgefallen ist.
Sowas ist in der Regel in keinem Audit ein Finding und steht allemal in den Zusatzbemerkungen, die ein Auftraggeber ebenfalls bekommt. Es findet ja keine Eskalation der Rechte statt. Wobei bei Audits sowieso IMMER angegeben werden sollte, was der eigentliche Rahmen bzw. Scope war, ohne diese Angabe sind Audits meist recht wertlos. Wenn so ein Audit nur abklopfen soll, ob die Kryptografie gescheit implementiert wurde, bleiben alle Lücken aus "merkwürdigen" sonstigen Designentscheidungen ja unbehelligt. Genauso wie bei Audits sehr oft die Betrachtung des operativen Betriebs ausblendet. Sowas wie "Config führt zu Dump" würde ja wirklich erst bei einer solchen Betrachtung auffallen.
Naja und weil Audits ja meist "professionell" sein müssen, erscheint der Satz "Crypto in Ordnung, Konzept ist absurde Scheiße, bitte wechselt die Branche!" viel seltener, als es angebracht wäre :/
0x8100 schrieb:
wenn jemand zugriff auf deinen rechner hat, kann er auch einfach keepass.exe gegen eine manipulierte version austauschen, [...]
Das wäre dann der Moment, wo man mal wieder darauf hinweisen muss, dass der normale Nutzer seine Rechte nicht zum Admin eskalieren können sollte, um mal eben Binaries zu manipulieren.
Wobei das bei Windows (und anderen OS) so ein Ding ist, die normalen Nutzerrechte reichen ja aus um z.B. den Pfad im Autostart des Nutzers auf eine neue, modifizierte Binary zeigen zu lassen..
Imho wäre es sinnvoll, wenn Passwortmanager tiefer ins Betriebssystem integriert und Bestandteil des (signierten) Kernels wären und nicht im Kontext des Nutzers liefen.
Ich würde mir auch wünschen, dass diese Sicherheitslücke behoben wird. Selbst wenn diese nur unter gewissen Bedingungen ausnutzbar ist und man eigentlich (wie so meist) bei Keepass für die Sicherheit selber verantwortlich ist.
Nur zur Sicherheit, damit ich es richtig verstanden habe: Wenn ich zu Hause alleine an dem Rechner arbeite und niemand sonst da dran kommt, ist das Risiko als Privatperson überschaubar?
So hab ich das auch verstanden. Die Gefahr allerdings könnte auch bestehen, wenn du dir Schadsoftware einfängst auf deinem Privatrechner und die Schadsoftware ist ausgerichtet auf solche Sicherheits-Lücken. Deswegen wäre ich dann froh, wenn das Problem behoben würde.
Wenn schon erfolgreich Schadsoftware installiert wurde, dann ist sowieso alles verloren, sobald du den Safe öffnest. Es geht dabei vor allem darum, dass bei der Schwachstelle nur die Konfig Datei verändert werden muss, was keine Installation von Schadsoftware erfordert.
Aber jeder kann mal nen Fehler machen. Ist mir noch nicht passiert, aber beim lesen des Heise-Artikels hab ich mir tatsächlich die Frage gestellt, ob es sicher ist Keepass an der Arbeit zu nutzen. Aber die Schlussfolgerung ist ja (wie ich mir das erhofft hatte), dass die Schwachstelle eigentlich der User an sich ist. Kurzum, passiert was, biste wahrscheinlich selber schuld. Software wie Keepass schützt ja nicht vor Dummheit 
