Wie sieht euer Passwort-Management aus?

[fgordon]

Hehe ich habe auch eine Kombination aus Browser, "offline" und einem selbst gehäkelten Passwortserver auf ESP32 Basis.

Gerade bei unseren Servern will ich ja nicht immer erst connecten und händisch ein Passwort eingeben müssen, da diese AutoOff bei längerer Nichtbenutzung haben und somit ganz oft aus sind, wenn man die nutzen will.

AutoType kann man z.B. auch mit neuen ESP32S2 sicher realisieren. Es gibt ja eine Hand voll Microkontroller die eine nahezu perfekte HID Emulation bieten (auch der Raspberry 4) so dass man sogar dann preboot crypt automatisieren kann - etwas das mit Software nicht wirklich realisierbar ist.

Aber z.B. für das Notebook wenn das mit VeraCrypt komplett verschlüsselt ist dann sobald es daheim an der Docking hängt die Passworteingabe automatisch macht - und man das nur unterwegs von Hand eingeben muss.

Ich habe mal sowas mit NFC Karten und einem AVR gemacht das hat gut funktioniert - also Karte oder Tag auflegen daheim und das tippt dann das entspechende PWD remote - (Back)kommuikation kann man einfach lokal per USB2Serial machen oder WiFi oder remote Internet etc. bei einem PreBoot Crypt System in der Ferne das kein KVM hat eine prinzipiell Supersache. Aber dann kam PiKVM mit perfekter Videoübertragung und meine Bastellösung flog auf den grossen Berg von Dingen die man nicht mehr braucht aber Spass gemacht haben

Den ESP32 Passwort-Server habe ich aber weiter im Einsatz, weil der halt automatisiert.

Keepass aber will ich mir auch mal unbedingt anschauen.

 

[KJQm8v]

Auf einen Zettel schreiben und ich habe fertig. Wenn jemand in meine Wohnung einbricht, dann ist es eh vorbei.

 

[fgordon]

Wieso vorbei? Gerade auch für den Fall hat man doch Crypt? Dass eben im Fall eines Einbruchs Diebstahls etc möglichst wenig Daten lesbar sind.

Klar die Hardware ist weg - aber verschlüsselt - das wirklich wichtige ist doch die Sicherheit der Daten, dass die nicht in fremde Hände gelangen und durchgeschaut werden können - oder nicht?

Natürlich wäre ein Einbruch nervig, weil man alles neu kaufen müsste, aber Sorgen um meine Daten würde ich mir dann nicht machen.

 

[Chuck Norris123]

Hallo,

Ich hätte zu dem Thema mal eine Frage, die ich jetzt so nicht beantwortet finde:
Ich habe vor ca. 2 Wochen meine persönlichen Passwörter mal alle in KeePassXC gebracht.
In dem Zuge habe ich auch die gängigen Dienste (Mail, Games, ...) auf zufällig generierte Passwörter mit jeweils >25 Zeichen umgestellt.
Soweit so gut denke ich mir.

Nun ist aber ein Problem, das ich oft von anderswo (meist Arbeitslaptop unterwegs) z.B. auf meine Mails zugreifen möchte, was bei online Mailanbietern ja kein Problem ist, jedoch mit dem komplizierten Passwort dann schon ein Problem wird, wenn man das nun nicht mehr im Kopf hat.

Dafür habe ich mir dann KeePass DX installiert.
Damit aber all das auch miteinander kommuniziert habe ich mein neues Synology NAS genommen und über SynologyDrive (über HTTPS) einen Ordner eingerichtet, in dem die ganze Datenbank gespeichert ist und ein separater Ordner das entsprechende Key-File zur Verfügung stellt. Darauf kann ich auch vom Handy aus zugreifen und mir ggf. das Mail-Passwort holen, wenn ich es brauche.

Nun aber zu meiner eigentlichen Frage - Ist das prinzipiell eine sichere Lösung, oder biete ich hier ggf. eine grobe Schwachstelle? Mir wäre jetzt zwar nichts "grob fahrlässiges" aufgefallen, aber nicht das ich hier eine prinzipielle Lücke implementiert habe, welche meine ganze Mühe zunichtemacht.

Danke für eure Einschätzung dazu.

Fg

 

[BalthasarBux]

@Chuck Norris123 Ich mach das ähnlich. KeePass XC oder Strongbox Pro auf den Geräten, die entweder via SynologyDrive oder per WebDAV syncen. Ich hatte meinen Sync zur Synology anfangs per Portfreigabe von überall erreichbar, aber bin einen Schritt zurück. Keine Portfreigabe mehr, Sync erfolgt dann nur noch, wenn die Geräte bei mir zu Hause sind. Da sich meine Passwörter nicht ständig ändern, passt das. In der allergrößten Not kann ich per VPN nach Hause und trotzdem syncen.

Aber was ich (langfristig) ändern würde: Mach aus deinen kryptischen Passwörtern Passphrasen. Also statt "9M}\8$:IJ\mwLnszt|Mg}*RXV" lieber "Parking-Countable-Operation-Supply-Serpent-Concave". Das ist lang und sicher. Im Optimalfall noch ein paar andere Trenner einbauen, ne Zahl hier und da und ggf. noch ein anderssprachiges Wort. Das ist sehr lang, sehr angriffssicher und zuletzt wesentlich besser eintippbar, wenn dir mal die Möglichkeit von copy/paste fehlt.
Solche Passphrasen kann KeePassXC auch automatisch für dich erstellen.

 

[wrglsgrft]

@Chuck Norris123
Kenne mich mit dieser Ordner-Geschichte nicht aus, aber was passiert wenn jemand physisch Zugriff auf dein NAS bekommt?

 

[Chantal Shepard]

Hallo,

ich nutze KeePass2 zur Verwaltung und Speicherung der Passwörter..

Die Datenbank speichere ich in meinen Cloud Drive der Wahl. Dabei setze ich auf die Verschlüsselungssoftware "Boxcryptor", welche die Keepass-Datenbankdatei - und alle anderen Sachen in der Cloud - verschlüsselt. Boxcryptor hatte auch einen Security Audit.
Zusätzlich nutze ich bei der Keepass Datenbank auch den Sicherheitsschlüssel (zusätzlich zum Kennwort), sodass man zum Öffnen das Kennwort und die Schlüsseldatei benötigt. Die Schlüsseldatei wird selbstredend nicht auf dem Cloud Drive gespeichert - diese importiere ich manuell auf meine Computer und iPhones. Das heißt, wenn irgendein unseriöser Cloud-Mitarbeiter die Boxcryptor-Verschlüsselung UND das Passwort für die Datenbank knacken sollte, kommt er trotzdem nicht an die Passwörter heran, weil ihm die Schlüsseldatei fehlt - 2 Faktor Authentifizierung eben.

Auf dem iPhone nutze ich "KeePassium". Geht auch in Zusammenhang mit FaceID, wenn man das nutzen möchte. Man muss sich halt das Cloud Drive und Boxcryptor App auf den Endgeräten installieren. Funktioniert aber wunderbar.

Natürlich kann man streiten, ob man seine Kennwort Datenbank in eine fremde Cloud legen will, aber für mich reichen die Sicherheitsmaßnahmen mit Boxcryptor und dem 2FA für die Datenbank aus. Der große Vorteil gegenüber die lokale Cloud vom NAS ist eben, dass die Daten nicht verloren gehen, wenn meine Wohnung abrennen sollte.

https://keepass.info/download.html
https://www.boxcryptor.com/de/blog/post/security-audit/
https://apps.apple.com/de/app/keepassium-keepass/id1435127111

Ich bin zufrieden damit.

 

[Chuck Norris123]

@wrglsgrft
Also Synology verlangt für den Login für jeden Benutzer Zugangsdaten um Zugriff zu gewähren, auch übers interne Netzwerk.

Wenn jemand Zugriff darauf bekommen würde, könnte er das sicherlich irgendwie aushebeln, jedoch befindet sich das Gerät selber in einem Raum, welcher nur über eine Wohnungstür im 1. Stock eines 2-Partein Gebäudes zugänglich ist.
Das Erdgeschoss ist vollständig in Widerstandsklasse RC3 ausgeführt und wird ebenso wie beide Nachbargebäude von der Familie bewohnt.
Einen Wachhund gibt es nebst Videoüberwachung auch also wird da nicht so schnell was passieren.

Daraus schließe ich aber, das das Konstrukt so schon generell als relativ sicher gelten kann/darf?
Vorausgesetzt man nutzt immer seinen eigenen Hotspot und keine fremden WLANs usw. als Zugangsmöglichkeit?

Fg

 

[Legolas]

Und man kann die KeepassDB auch abgesehen vom Passwort auch noch mit einem Keyfile absichern das man auf diversen USB Sticks ablegt von denen einer z. B. bei mir am Autoschlüssel hängen

 

[wrglsgrft]

Das Erdgeschoss ist vollständig in Widerstandsklasse RC3 ausgeführt und wird ebenso wie beide Nachbargebäude von der Familie bewohnt.
Einen Wachhund gibt es nebst Videoüberwachung auch also wird da nicht so schnell was passieren

Nette Aufzählung. Wenn es jemand drauf anlegt steht er trotzdem in 5 Minuten vor deinem NAS.

Worauf ich raus wollte:
Ich mache es ähnlich wie @Chantal Shepard . Datenbank und Keyfile auf physisch getrennten Medien und zusätzlich ein Passwort. Datenbank und Keyfile am gleichen Ort ist ein bisschen wie den Code für den Tresor mit Post-It an die Tür desselben zu hängen.

 

[Chuck Norris123]

Naja, den ersten Punkt sehe ich etwas anders, der müsste schon wirklich Interesse an meinen Zugangsdaten haben.
Wobei der 2. Punkt natürlich schon ein passender Vergleich ist. Wenn jemand die Synology knackt hätte er auf einmal alle Daten...
Andererseits ist das mit dem Keyfile nicht ganz so sympathisch, wenn ich nicht immer darauf zugreifen kann (Vom Handy aus z.B. wenn es auf einem USB gespeichert wäre)
Was haltet ihr von z.B. Yubikey 5 mit USB-C für diesen Zweck der zusätzlichen Absicherung anstelle des Files? - Mit Keepass XC/DX kompatibel bzw. hat hier jemand schon Erfahrung damit? - Vor allem was die Benutzerfreundlichkeit angeht?
Da könnte man ja auch mehrere zugleich einrichten, oder liege ich da falsch?

Mir ist klar, dass Sicherheit und Benutzerfreundlichkeit nicht immer so einfach zusammen passen, aber es soll eben auch von anderswo halbwegs bequem sein mit dem Passwort-Management.


Fg

 

[Chantal Shepard]

Andererseits ist das mit dem Keyfile nicht ganz so sympathisch, wenn ich nicht immer darauf zugreifen kann (Vom Handy aus z.B. wenn es auf einem USB gespeichert wäre)

Also ich hab das Keyfile einfach per SD Karte im iPhone lokal abgelegt. Zusätzlich ist das bei mir in allen Backups drin. Hab auch noch zusätzlich ein Backup auf DVD. Also klar, passieren kann immer was. Aber dann muss man schon extrem pech haben.

 

[wrglsgrft]

Andererseits ist das mit dem Keyfile nicht ganz so sympathisch, wenn ich nicht immer darauf zugreifen kann (Vom Handy aus z.B. wenn es auf einem USB gespeichert wäre)

Ich hab das Keyfile auch einfach aufs Smartphone und alle PCs an denen ich die Datenbank nutze kopiert. Die Datenbank selbst liegt in der Cloud.

 

[chris12]

papier und kugelschreiber.

 

[brianmolko]

@chris12

Nicht Zeitgemäß und absolut unsicher.

 

[wrglsgrft]

papier und kugelschreiber.

Hatte ich früher auch. Und obwohl ich eine GANZE Schublade voll damit hatte habe ich oft mal was nicht wieder gefunden.
Bei einer handvoll Accounts mag das klar gehen. Aber irgendwann wird es unübersichtlich. Außerdem ist das in einem PW-Manager einfach um Welten komfortabler zu handhaben.

 

[Chuck Norris123]

Ich hab das Keyfile auch einfach aufs Smartphone und alle PCs an denen ich die Datenbank nutze kopiert. Die Datenbank selbst liegt in der Cloud.

Ja so ginge es eigentlich auch einfach. ^^
Hin und wieder denke ich anscheinend zu kompliziert.
Wie sieht es mit diesen yubikeys generell aus, sind die empfehlenswert oder ist hier die Unterstützung auch für andere 2FA-Login noch einfach nicht so umfassend wie z.B. Google Authenticator?

Fg

 

[calippo]

Nun aber zu meiner eigentlichen Frage - Ist das prinzipiell eine sichere Lösung, oder biete ich hier ggf. eine grobe Schwachstelle?

Dein NAS ist also übers Netz ständig erreichbar? Da gab es in jüngster Vergangenheit immer wieder Vorfälle, in denen es Hackern gelang, Zugriffs aufs NAS zu bekommen. Ziel war vor allem die Verschlüsselung aller Daten mit anschließender Erpressung.

Wenn Du die Datenbank und das Keyfile lokal vorhalten willst auf dem NAS, dann würde ich das eher über VPN lösen.

 

[BassCatBall]

Wie sieht es mit diesen yubikeys generell aus, sind die empfehlenswert oder ist hier die Unterstützung auch für andere 2FA-Login noch einfach nicht so umfassend wie z.B. Google Authenticator?

Was OTPs angeht, funktioniert im Grunde alles mit den Yubikeys.
Dazu einfach den jeweiligen QR-Code im Yubico Authenticator einlesen (damit werden dann zukünftig die OTPs generiert) oder das Secret-Passwort manuell eingeben, falls der QR-Code aus irgendeinem Grund nicht erkannt wird.
Ich habe alles per Yubikey-OTP abgesichert. Bei MSN und / oder Google (weiß ich gerade nicht genau) konnte ich sogar alle vier Yubikeys als Sicherheitsschlüssel abspeichern.

Steam hätte ich noch gerne so abgesichert, aber die wollen das natürlich wieder mit ihrer eigenen App.