aWallet Password Manager (Dansk)

Bemærk: Dette indlæg svarer faktisk på spørgsmålene i spørgsmålet og kommenterer ikke (meget) sikkerheden på aWallet. Jeg foreslår, at du besøger Crypto.SE-version af dette spørgsmål til gennemgang af de kryptografiske detaljer.

Er der et værktøj / en teknik, som jeg kunne bruge at forsøge at dekryptere data.crypt-filen, der bruges af aWallet-appen for at teste dens sikkerhed?

En hurtig søgning viste intet, så jeg Antag at denne adgangskodeadministrator ikke er stor nok / ikke har set nok forskning til at have fået en anden til at skrive et værktøj til at angribe denne adgangskodeadministrator.

aWallet tilbyder ikke noget eget cloud-lager og giver os mulighed for (valgfrit) at sikkerhedskopiere data.crypt-filen på Google Drive eller Dropbox. Hvor sikkert ville det blive givet, at jeg bruger 2-faktor-godkendelse til min Google-konto?

Dette afhænger meget.
Antages det, at aWallet “s sikkerhedsforanstaltninger er faktisk gode og du bruger en stærk adgangskode og / eller en lokal nøglefil, så uploader den krypterede adgangskodedatabase til en skytjeneste skader ikke sikkerheden, da din adgangskode og / eller nøglefil stadig beskyt adgangskoder. Selvfølgelig betyder den tilføjede godkendelse og adgangskontrol af disse cloudtjenester, at chancerne kun er, at du og udbyderen har adgang, og det er normalt i udbyderens interesse at ikke lækker brugerfiler.

Er det generelt sikkert at gemme loginoplysninger eller bankoplysninger eller begge dele i en adgangskodeadministrator?

Ja, meget, hvis adgangskodeadministratoren er anstændig.
Brug af en adgangskodeadministrator giver dig mulighed for let at have unik, stærke adgangskoder pr. websted, hvilket betyder, at der kræves et kompromis mellem din adgangskodedatabase eller din lokale klient. Som vi allerede har etableret, forhindres et kompromis af sikkerhedskopien af den stærke adgangskode, så dette efterlader klienten kompromis som vektor for at lære adgangskoden. Men så snart din klient er kompromitteret, er alle væddemål slået fra alligevel, fordi angriberen bare kunne snuse dit tastatur eller overvåge / opfange dine netværksdata! Så alt i alt er du lidt at tabe og meget at vinde ved at bruge (gode) passowrd-ledere.

Om aWallet er en god adgangskodeadministrator er dog et andet spørgsmål (og besvares på Crypto.SE).

aWallet specifikt: brug det ikke. Skaberen ved selvfølgelig ikke, hvad de laver. Jeg vælger bare en bekymring (der er flere, der sandsynligvis vil være mere åbenlyse for folk, der er smartere end mig): det kunne kryptere din database i ECB-tilstand (nogle gange, men ikke altid).

ECB-tilstand er især ikke sikker, fordi den samme almindelige tekst altid krypteres til den samme cypher-tekst. Derfor skjuler ECB-tilstand “ikke datamønstre godt … det giver ikke seriøs besked fortrolighed , og det anbefales slet ikke til brug i kryptografiske protokoller “.

Adgangskodeadministratorer generelt: brug en. Men vælg en velkendt med godt omdømme som 1Password, LastPass, KeePass, Dashlane osv. Eller brug i det mindste en oprettet eller anbefalet af et velkendt sikkerhedsfirma eller sikkerhedsforsker, hvis du ikke ved, hvor du ellers skal se. En god adgangskodeadministrator med kompetent kryptering ( ikke aWallet tilsyneladende) er helt sikker at gemme i skyopbevaring, forudsat at din hovedadgangskode er stærk.

Rediger: OK, jeg kan ikke modstå at vælge et par andre punkter, der springer ud på mig for at skrige” hold dig væk “:

• Med hensyn til omdannelse af hovedadgangskoden til en krypteringsnøgle: “Resultatet hashes 1000 gange af SHA-256.” Dette er latterligt utilstrækkeligt. Udført ordentligt ville de i det mindste bruge PBKDF med 10.000 runder eller mere i stedet for en skræddersyet hash-løkke på kun 1000. Selv det ville næppe være tilstrækkeligt og ville sammenligne dårligt med korrekt implementerede adgangskodeadministratorer. Hundredtusinder eller flere runder ville være mere som det. Eller opgive SHA-baseret adgangskode hashing og bruge noget som bcrypt eller argon2. Denne software kan ikke sammenlignes med moderne værktøjer.
• “Understøtter automatisk destruktion af datafilen, efter at et foruddefineret antal mislykkede låseopgaver er blevet prøvet.” Dette påvirker overhovedet ikke en hacker. Den eneste person, som dette kan skade, er den legitime bruger. En hacker laver en kopi af databasen eller bruger modificeret software til at fjerne gættegrænsen. Du på anden hånd kan ved et uheld miste alle dine adgangskoder for aldrig at blive set igen ved ved et uheld at have slået capslock til eller en død nøgle eller noget lignende.

Specifikt besvare dit spørgsmål:

Er der et værktøj / en teknik, som jeg kunne bruge til at forsøge at dekryptere data.crypt-filen, der bruges af aWallet-appen for at teste den? S sikkerhed?

Her er et lille script i python, der dekrypterer data.crypt filer og udskriver indholdet til stdout. Bemærk, det er ikke sikkert, da alt er synligt i almindelig tekst, så gør kun dette på en sikker maskine eller med en dummy-datafil.

Scriptet blev bygget ved hjælp af teknisk dokumentation på awallet.org.