Ich bin ein Lastpass-Benutzer und habe oft darüber nachgedacht, zum Credential Manager zu wechseln, um eine automatische Synchronisierung und einen gewissen Komfort mit der Windows-Umgebung zu erreichen. Das Einzige dass ich mir Sorgen mache, ist seine Sicherheit. Ich habe gehört, dass es für jemanden ziemlich einfach ist, auf diese Anmeldeinformationen zuzugreifen, sobald er Zugriff auf Ihren Computer erhalten hat.
Soll ich bei Lastpass bleiben und möglicherweise in Zukunft nach Verbesserungen suchen?
Kommentare
- Ich kann Ihnen sagen, dass es welche gibt Ein erhöhter Prozess kann einfach Ihre Anmeldeinformationen im Geschäft abrufen und sie im Klartext zurückerhalten. Das ' ist ungefähr alles, was ich sicher beitragen kann.
- @TechnikEmpire wow gut .. bleib lieber weit weg davon als
- In der Tat . Selbst mit der offiziellen universellen App-Dokumentation für Windows 10 wird der Store als sicherer Ort beworben. ' ist nur " sicher ", wenn Sie dem Computer des Benutzers und jedem einzelnen Prozess vertrauen das wird jemals drauf laufen. Tatsächlich gibt es ' sogar eine C # -Bibliothek, mit der Sie die Klartextwerte in maximal 10 Codezeilen abrufen können. Die einzige Möglichkeit, ' dies zu verwenden, besteht darin, eine vorab gehashte Version des Kennworts anstelle des tatsächlichen Kennworts zu speichern und den Hash nur lokal zu überprüfen.
- Ich habe es in eine Antwort gesetzt, weil es sonst niemand getan hat. 🙂
Antwort
Der Windows Credential Manager ist alles andere als sicher. Es ist auf Benutzerkontoebene „sicher“, was bedeutet, dass jedem Prozess, den der Benutzer jemals ausführt, und dem Benutzer selbst unbedingt vertraut werden muss, um dieses System mit einem geraden Gesicht „sicher“ zu nennen.
Die einzige halb sichere Methode zur Verwendung des Windows-Anmeldeinformations-Managers besteht darin, vorab gehashte Werte zu speichern und diese Hashes zu überprüfen. Da jedoch jeder erhöhte Prozess, den der Benutzer ausführt, im Anmeldeinformationsspeicher dieses Benutzers über vollständige Lese- / Schreibfunktionen verfügt, ist dies einfach kann „überhaupt nicht vertrauenswürdig sein.
Denken wir über“ sicher „im Sinne des lokalen Sperrens einer Anwendung nach. Nehmen wir das Beispiel eines Inhaltsfilters, der die Einstellungsseite sperrt, um die Kinder davon abzuhalten Aktivieren von Inhalten für Erwachsene mithilfe des Anmeldeinformations-Managers zum Speichern benutzerdefinierter Anmeldeinformationen. Der gleiche Benutzer, der versucht, dies zu umgehen, kann dies problemlos tun. Ein Benutzer kann den Anmeldeinformations-Manager in der Systemsteuerung aufrufen. Obwohl die Werte in Sternchen (*****) angezeigt werden, kann er den Wert einfach löschen und ersetzen. Löschen Sie Ihren Hash, geben Sie ihre eigenen ein, in denen sie sich befinden.
Noch dümmer ist, dass in der Systemsteuerung Sternchen angezeigt werden. Wenn Sie jedoch Code verwenden, der auf die entsprechenden APIs zugreift, können Sie die Werte eingeben Klartext. Passwörter sind also nicht sicher, Hashes und solche, die Sie überprüfen, um etwas zu sperren, sind nicht sicher. Es ist nicht sicher, es ist ein Stück Müll, und ich habe lange darum gekämpft, seine Nützlichkeit zu verstehen, außer dass Microsoft anscheinend Klartextkopien aller Ihrer Passwörter hat, die sie an die NSA verkaufen können.
Hinweis
Mir ist klar, dass Sie Maßnahmen ergreifen können, um Inhalte zu verschlüsseln vor dem Speichern, korrektem Hashing usw., aber meine Kritik gilt immer noch, weil das Ausführen dieser zusätzlichen Dinge Sicherheit schafft, nicht das Windows Anmeldeinformations-Manager. Mein Problem mit dem Windows-Anmeldeinformations-Manager besteht darin, dass er ankündigt, dass die Verwendung über die bereitgestellte GUI und / oder API sicher ist.
Kommentare
- Sie müssen ' keinen eigenen Schutz verwenden, wenn Sie den Credential Manager verwenden. Anwendungen sollten DPAPI ' s zusätzliche Entropie " par Ameter beim Speichern sicherer Daten wie Passwörter. Diese zusätzliche Entropie ist im Grunde eine Zeichenfolge oder ein Hauptkennwort, das nirgendwo gespeichert werden sollte. Der Benutzer muss dieses Kennwort in die Anwendung eingeben, damit die Anwendung die entschlüsselten Daten abrufen kann. Solche Daten im Credential Manager sind vor unerwünschten Prozessen geschützt, mit Ausnahme von Schlüsselprotokollierern oder Kompromissen auf niedriger Ebene. ' ist schockierend, dass Internet Explorer ' kein Hauptkennwort / keine zusätzliche Entropie verwendet.
- Was ' Noch schlimmer ist, dass Outlook weiterhin den Anmeldeinformations-Manager unter „Allgemeine Anmeldeinformationen“ verwendet, wenn der Benutzer sich an seine Anmeldung erinnert.
- Ihre Antwort ist nicht mit Fakten belegt subjektiv geschrieben (mit ernstem Gesicht usw.). Benutzer A kann auf Anmeldeinformationen für Benutzer A zugreifen, jedoch nicht für Benutzer B. Der Inhalt des Tresors ist verschlüsselt, aber die Hauptschlüssel können angeblich extrahiert werden, wenn eine bessere Antwort auf eine ähnliche Frage gesucht wird: security.stackexchange.com/a/177686
- de.wikipedia.org / wiki / Data_Protection_API Alles ist verschlüsselt. Die Sicherheit ist so gut wie Ihr Kontopasswort.
- Ich stimme Yepeekai zu. Wenn Sie eine App mit erhöhten Berechtigungen ausführen, kann sie auch einen Key Logger, Malware, Ihren gesamten PC löschen, Ihre Daten für Lösegeld verschlüsseln usw. Führen Sie keine App aus, die Sie nicht ' verwenden t 100% Vertrauen als Administrator. JE. Wenn Sie zufällige Apps als Administrator ausführen müssen, tun Sie dies sicher in einer VM oder einem Container, in dem die App dann aus der VM springen müsste, um Ihre Kennwörter zu stehlen.
Antwort
Ich habe gehört, dass es für jemanden recht einfach ist, auf diese Anmeldeinformationen zuzugreifen, sobald er Zugriff auf Ihre hat Computer, ist es so?
Es ist nicht so.
In Ihrem Tresor für Anmeldeinformationen gespeicherte Kennwörter werden (letztendlich) mit Ihrem Windows-Kennwort verschlüsselt. Um auf die verschlüsselten Anmeldeinformationen zugreifen zu können, müssen sie Ihr Passwort kennen.
- Wenn jemand Ihr LastPass-Passwort kennt, kann er Zugriff auf Ihre gespeicherten verschlüsselten Kennwörter
- Wenn jemand Ihr Windows-Kennwort kennt, kann er Zugriff auf Ihre gespeicherten verschlüsselten Passwörter
Wenn jedoch jemand Zugriff auf Ihren Computer erhalten hat:
- kann nicht auf Ihre LastPass-Passwörter zugreifen (weil sie „verschlüsselt“ sind)
- sie können nicht Zugriff auf Ihre Tresorkennwörter (da diese „verschlüsselt“ sind)