|
|
|
|
|
|
|
|
Ich wüsste nicht inwiefern gesunder Menschenverstand gegen Bezahldaten in einer Keepass-Datenbank in der Cloud sprechen. Solange die Keepass-Datenbank ein vernünftiges Passwort hat, sollte das doch kein Problem darstellen?
|
|
|
|
|
|
|
|
|
|
|
Die Keepass-Datenbank würde ich nur sehr ungern öffentlich zugänglich machen - starkes Passwort hin oder her.
Rechenpower wird immer billiger und einfacher mietbar, so dass Brute-Force eher leichter wird.
Und WENN die Datenbank geknackt ist, ist das der Super-GAU bei mir, da dort wirklich alles gesichert ist.
Ursprünglich habe ich die Datenbank nur auf meinem USB-Stick gehabt. Aus Bequemlichkeit dann aber doch in meiner Owncloud verfügbar gemacht. Der Server steht bei mir im Keller und nutzt laut SSL-labs Verschlüsselung mit Note A+.
|
|
|
|
|
|
|
|
|
|
|
|
Naja wirklich öffentlich zugänglich ist meine Datenbank nicht. Liegt in der OwnCloud bei Uberspace.
|
|
|
|
|
|
|
|
|
|
|
Also auf einer Festplatte, auf die nicht nur du Zugang hast. 
|
|
|
|
|
|
|
|
|
|
|
|
Wenn die Verschlüsselung einer Keepass-Datenbank knackbar wird, hat die Welt erst mal größere Probleme, glaube ich
|
|
|
|
|
|
|
|
|
|
|
Wenn man an die Keepass-Datenbank will, geht das auch mit viel weniger Aufwand. Ich habe schon Viren gesehen, welche gezielt auf den Aufruf der Software warten und dann einfach alle Passwörter auslesen sobald die Datenbank geöffnet wurde. Die sind zum Glück selten verbreitet weil die Nutzer solcher Passwort-Tools doch noch sehr überschaubar und damit für Angreifer uninteressant sind. Würden aber weitaus mehr Nutzer Keepass und Co. einsetzen, würde das natürlich die Anzahl an Angriffen durch Trojaner erhöhen. Brute-Force ist genauso wie bei Banking Passwörtern kein realistisches Szenario derzeit, es sei denn man ist das Ziel von Geheimdiensten. 
Aber ich würde trotzdem solche DBs niemals in einer Cloud ablegen.
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Stryker
Beim Lesen einfach immer "Cloud" durch "anderer Leute Computer" ersetzen.
| |
Weniger verschlüsselungsrelevant aber mehr lustig:
https://chrome.google.com/webstore/detail/cloud-to-butt-plus/apmlngnhgbnjpajelfkmabhkfapgnoai
--
Ich müsste mal wieder einen großen Thread-Groß-Post zusammenfrickeln, glaube ich; da manche Sachen auf Prismbreak/privacytools.io seltsam sind u./o. fehlen, WebRTC-Leaks mittlerweile auch bei Chrome behebbar sind, ich mittlerweile ganz viel Erfahrung mit verschiedensten möglichst verschlüsselnden und möglichst deduplizierenden Backup- und Synclösungen der fremdgehosteten, selbstgehosteten oder P2P-Art gesammelt hab, sich im Truecrypt- und Luks-Land so manches tut oder nicht tut, GnuPG mittlerweile ein bisschen ECC kann, Kurven hie und da und dort häufig potentiell unsafe sind, es zig mehr oder weniger verschlüsselnde Messenger, Telefonielösungen und Krims und Krams gibt, EncFS auch so seine Probleme hat, und was noch alles, Fingerprinting seit panopticlick auch populär ist und HSTS-Supercookies irgendwie noch unbekannt ist, und ich obendrein mittlerweile auch ein bisschen die hostende Seite bearbeitet habe was SSL & Co. angeht hat sich da einiges gesammelt.[edit]Ach ja, Protonmail, Mailpile, Lavaboom & Co sind auch ganz interessant
/fakeedit
Mehr getippt als ich dachte, der verkleinerte Text sei nun also einmal Stichpunktsammlung für mich selbst.
/edit
Das mit Lastpass ist so 'ne Sache: Von allem was ich dazu gelesen habe ist es eigentlich keine große Sache, da die Implementierung dererseits wohl tatsächlich was zu taugen scheint.
Problem ist natürlich die Grundsatzfrage, ob man oder nicht Sachen von Fremden und insbesondere Krypto-im-Browser trauen kann. Mit Mega, Lavaboom und Sonstigen wird das ja immer mehr.
Böse Erinnerungen hat man dann wiederum durch Hushmail.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von FuSL am 16.06.2015 22:12]
|
|
|
|
|
|
|
|
|
Moin p0T,
wie kann ich mein Server von außen testen, ob die Rules die ich gerade mit Iptabels erstellt habe auch richtig dicht sind?
habe mit nmap jetzt einfach gescannt und das hier bekommen:
Host is up (0.035s latency).
Not shown: 993 closed ports
PORT STATE SERVICE
22/tcp open ssh
80/tcp open http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
179/tcp filtered bgp
445/tcp filtered microsoft-ds
6112/tcp filtered dtspc
heißt filtered das die jetzt dicht sind, oder wie darf ich das verstehen?
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Wenn man weiter ruhig schlafen will sollte man sich den Source von KeePass auch besser nicht angucken. Und schon gar nicht die Qualität der Verschlüsselung.
/e: Das sollte eigentlich ein Link auf folgende Diskussion werden: https://news.ycombinator.com/item?id=9727297
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von theromi am 17.06.2015 10:16]
|
|
|
|
|
|
|
|
|
wtf?  
|
|
|
|
|
|
|
|
|
|
|
Kann das jemand mal für einen Laien runterbrechen wo das Problem ist?
Ansonsten ist es doch bei OpenSource das schöne das jeder solche Probleme finden und anmahnen kann?
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Raster
Kann das jemand mal für einen Laien runterbrechen wo das Problem ist?
Ansonsten ist es doch bei OpenSource das schöne das jeder solche Probleme finden und anmahnen kann?
| |
Eine konkrete Sicherheitslücke ist da nicht. Allerdings hat sich das auch keiner so genau angeguckt, dass man sowas finden hätte können. Was man aber sieht ist, dass die gesamte Qualität des Codes nicht gut ist und vor allem, dass gänge "Best-Practices" bei der Verschlüsselung nicht eingehalten wurden.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von theromi am 17.06.2015 10:32]
|
|
|
|
|
|
|
|
|
| | Zitat von theromi
Wenn man weiter ruhig schlafen will sollte man sich den Source von KeePass auch besser nicht angucken. Und schon gar nicht die Qualität der Verschlüsselung.
/e: Das sollte eigentlich ein Link auf folgende Diskussion werden: https://news.ycombinator.com/item?id=9727297
| |
Was ist denn an der ArrayEquals() so unfassbar schlecht? (außer dass es für sowas doch bestimmt nen builtin der Sprache gibt, oder wollen sie genau darauf hinaus?)
/ah ok, sowas wie constant time comparison sollte man einhalten
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von Renga am 17.06.2015 13:52]
|
|
|
|
|
|
|
|
|
| | Zitat von Renga
/ah ok, sowas wie constant time comparison sollte man einhalten
| |
Hä?
Also, erstens ist die Equals-Funktion da ganz sicher nicht Zeitkonstant. Und zweitens sind Timing Attacken auf eine rein lokale Transaktion reichlich unwahrscheinlich, oder nicht?
|
|
|
|
|
|
|
|
|
|
|
|
Ich hab keine Ahnung von Crypto Code. Was ist denn jetzt das Problem?
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von theromi
| | Zitat von Renga
/ah ok, sowas wie constant time comparison sollte man einhalten
| |
Hä?
Also, erstens ist die Equals-Funktion da ganz sicher nicht Zeitkonstant.
| |
Das war ja meine Aussage.
| | Zitat von theromi
| | Zitat von Renga
/ah ok, sowas wie constant time comparison sollte man einhalten
| |
Und zweitens sind Timing Attacken auf eine rein lokale Transaktion reichlich unwahrscheinlich, oder nicht?
| |
Ich klau den Tresor von jemand anderem und probier Passwörter auf meinem Rechner durch und schau mir die Timings an. Das sollte doch realistisch sein oder?
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Renga
| | Zitat von theromi
| | Zitat von Renga
/ah ok, sowas wie constant time comparison sollte man einhalten
| |
Hä?
Also, erstens ist die Equals-Funktion da ganz sicher nicht Zeitkonstant.
| |
Das war ja meine Aussage.
| | Zitat von theromi
| | Zitat von Renga
/ah ok, sowas wie constant time comparison sollte man einhalten
| |
Und zweitens sind Timing Attacken auf eine rein lokale Transaktion reichlich unwahrscheinlich, oder nicht?
| |
Ich klau den Tresor von jemand anderem und probier Passwörter auf meinem Rechner durch und schau mir die Timings an. Das sollte doch realistisch sein oder?
| |
Dann musst du aber auch die Timings von dem Besitzer des Tresors haben. Und wenn da dran kommst, dann kannst du auch einfach einen Keylogger installieren
|
|
|
|
|
|
|
|
|
|
|
|
Ja ... ok.
|
|
|
|
|
|
|
|
|
|
|
|
Ja ne, moment, die brauch ich doch gar nicht oder mach ich da gerade nen Denkfehler?! So wie die Equals Methode aktuell implementiert ist erlaubt sie mir durch Analyse der Timings mitzuteilen, bei welchem bit bzw. byte mein Input nicht matcht. Das benutz ich praktisch als Feedback um meine Eingabe immer weiter zu modifiziere bis ich beim richtigen Passwort ankomme. Je länger die Methode ausführt, desto weiter stimmt die Eingabe mit dem tatsächlichen Passwort überein.
|
|
|
|
|
|
|
|
|
|
|
|
Was genau meint ihr da jetzt mit Timings?
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Merci, und ja, dann wäre es wohl egal die Timings vorher zu erkennen.
|
|
|
|
|
|
|
|
|
|
|
| | Zitat von Renga
Ja ne, moment, die brauch ich doch gar nicht oder mach ich da gerade nen Denkfehler?! So wie die Equals Methode aktuell implementiert ist erlaubt sie mir durch Analyse der Timings mitzuteilen, bei welchem bit bzw. byte mein Input nicht matcht. Das benutz ich praktisch als Feedback um meine Eingabe immer weiter zu modifiziere bis ich beim richtigen Passwort ankomme. Je länger die Methode ausführt, desto weiter stimmt die Eingabe mit dem tatsächlichen Passwort überein.
| |
Okay, aber dann kannst du eine zeitkonstante Implementierung auch einfach bei dir lokal durch eine nicht zeitkonstante Implementierung ersetzten, die ergebnisgleich arbeitet.
|
|
|
|
|
|
|
|
|
|
|
|
Hm, das stimmt natürlich.
|
|
|
|
|
|
|
|
|
|
|
Hallo, ich zerr' den Thread mal vor:
Was nutzt der unbedarfte User derzeit, wenn er vorher TrueCrypt benutzt hat? Gibt es überhaupt eine Software mit der gleichen vorhandenen Audit-Credibility + Interoperabilität mit vielen Systemen?
Ich bräuchte das persönlich für Windows8.1/Ubuntu.
//Stimmt es, dass SSDs mittlerweile teilweise sogenannte Hardware-Verschlüsselung ('Crypto-Chips') eingebaut haben? Falls ja: Kann man diesen trauen?
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von sprachdelle am 17.08.2015 9:45]
|
|
|
|
|
|
|
|
|
Weiterhin TC? Alternativ soll Veracrypt taugen, aber warum etwas ersetzen das funktioniert.
/e
Weniger als TC/VC weil so garnix an Sourcen dazu raus ist. Würde ich lassen.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von [2XS]Nighthawk am 17.08.2015 9:48]
|
|
|
|
|
|
|
|
|
| | Zitat von [2XS]Nighthawk
Weiterhin TC? Alternativ soll Veracrypt taugen, aber warum etwas ersetzen das funktioniert.
/e
Weniger als TC/VC weil so garnix an Sourcen dazu raus ist. Würde ich lassen.
| |
Tote Software, vor allem wenn sicherheitsrelevant, sollte man meiden.
Veracrypt: https://veracrypt.codeplex.com/
Ich setzte VC seit der ersten non-Beta ein und habe keine Probleme damit.
|
|
[Dieser Beitrag wurde 1 mal editiert; zum letzten Mal von [Caveman] am 17.08.2015 9:54]
|
|
|
|
|
|
|
|
|
Jo, VeraCrypt hatte ich auch gefunden.
TrueCrypt deswegen nicht mehr, weil der Support eingestellt wurde. Ich habe das so verstanden, als wäre 'jetzt-noch-True-Crypt-nutzen' vergleichbar mit 'einen Windows-2003-Server-aufsetzen-dessen-Support-in-absehbarer-Zeit-aufgekündigt-wird'?
Da gibt es ja überhaupt keine Updates und auch keine Audits(!) mehr, wenn ich das richtig verstanden habe.
|
|
|
|
|
|
|
|
|
|
|
|
So ist es. TC ist tot, laut den Entwicklern. Keine Updates, keine Fixes, kein nichts.
|
|
|
|
|
|
|
|
| Thema: Verschlüsselung und Anonymität III ( Privatsphäre jetzt ) |
![AUP [2XS]Nighthawk 04.05.2015](./avatare/upload/U37801--schlafmutze.png)
