MEGJEGYZÉS: Ez a kérdés az aWallet Jelszókezelő eredeti kérdésének része a Cryptography.StackExchange oldalon. Ahogy javasolta @SEJPM , ide teszem közzé, mivel a kérdés témája jobban megfelel az InformationSecurity.StackExchange szolgáltatásnak.
Miután sok cikket elolvastam a webfiókok biztonságának növeléséről, elkezdtem használni az aWallet Password Manager alkalmazást az Android számára a biztonsági mentéshez jelszavaim. A következő okokból szeretem:
- képes vagyok meglehetősen jó entrópia jelszavakra : Be tudom dobni a kisbetűk & betűket, számjegyeket, speciális karaktereket (beleértve a szóközöket is) és ésszerűen hosszú jelszavakat (10+ karaktert) )
- Jelszavaim biztonságos mentése lehetővé teszi, hogy külön jelszavak legyenek minden webfiókhoz , amelyek egyébként lehetetlen. Ez megakadályozná a lépcsőzetes hatást (az összes fiók hitelesítő adatainak átadását), amely ted, ha az egyik fiókom, amelynek bejelentkezési adatait több fiókkal megosztom, veszélybe kerül.
Mondanom sem kell, hogy ez a 2. pont vitatható , mert minden hitelesítő adattal rendelkezik egyetlen helyen tárolva egy meghibásodási pontot vezet be és egyenlő kockázatot jelent a láncreakció Korábban említettem.
Tekintettel a kriptográfia korlátozott ismereteire és az adatvédelem körüli kétségeimre (az online lopások legutóbbi eseményei miatt), szeretnék tanúskodni az aWallet Password Manager biztonságáról, mielőtt tárolnám az Banki / Kártyaadatok benne. A következőket állítják a Google PlayStore oldalukon :
BIZTONSÁGI JELLEMZŐK
• Minden adat titkosítva van, beleértve a bejegyzések nevét, a kategória definíciókat és magát az adatot is.
• Titkosítja az adatokat AES és Blowfish algoritmusok használatával 256, 192 és 128 bites kulcsmérettel.
• Az adatfájl visszafejtése esetén az algoritmus, a kulcsméret és a titkosítási üzemmód (CBC, CFB, OFB és ECB) összes kombinációjához a fő jelszóval próbálkoznak az adatfájl feloldásához. a nyers erőszakos támadásokat hosszabb ideig teszi. Az alkalmazás maga nem tárol semmilyen utalást a tényleges rejtjelre, a kulcs méretére vagy a rejtjelezési módra.
• Véletlenszerűen generált “sót” használ a fő jelszóval kombinálva. A só segít hogy megvédje az off-line szótár támadásoktól.
• Az adatfájl megnyitásának kulcsát a fő jelszó és az 512 bites “só” kombinálásával hozzák létre. Az eredményt az SHA-256 1000-szer hasítja. Az ismételt hash durva erőt eredményez bonyolultabb.
Bár ezeknek a pontoknak egyikének sincs sok értelme számomra, az a kevés, amit a kriptográfiáról ismerek, azt mondja nekem, hogy [kérem, javítsa ki ha “tévedek” egy titkosítási technika többszöri megismétlése, nem matematikailag javul a biztonság ; csak hamis benyomást kelthet a hozzáadott biztonságról.
És e következetlenség miatt kétkedni kezdtem más állításaik érvényességében. A kérdéseim a következők: –
- Van-e olyan eszköz / technika, amellyel megkísérelném visszafejteni az aWallet alkalmazás által használt
data.cryptfájlt, hogy tesztelje a biztonságát? - az aWallet nem kínál saját felhőalapú tárhelyet, és lehetővé teszi számunkra, hogy (opcionálisan) biztonsági másolatot készítsünk a
data.cryptfájlról a Google Drive-ra, vagy Dropbox. Mennyire lenne biztonságos, ha a 2-faktoros hitelesítést használom a Google-fiókomhoz? - Általában biztonságos-e a bejelentkezési adatok vagy banki adatok vagy mindkettő tárolása jelszókezelőben?
megjegyzések
Válasz
Kérjük, vegye figyelembe: Ez a bejegyzés valóban megválaszolja a kérdés (ek) et és nem kommentálja (sokat) az aWallet biztonságát. Javaslom, látogassa meg a A kérdés Crypto.SE verziója a kriptográfiai részletek áttekintéséhez.
Van olyan eszköz / technika, amelyet tudnék használni megkísérelni visszafejteni az aWallet alkalmazás által használt data.crypt fájlt annak biztonságának tesztelésére?
A gyors keresés nem eredményezett semmit, ezért tegyük fel, hogy ez a jelszókezelő nem “elég nagy / még nem látott elég kutatást ahhoz, hogy valaki más eszközt írjon a jelszókezelő megtámadásához.
az aWallet nem kínál saját felhőtárhelyet, és lehetővé teszi számunkra, hogy (opcionálisan) biztonsági másolatot készítsünk a data.crypt fájlról a Google Drive-ra vagy a Dropbox-ra. Mennyire lenne biztonságos, hogy a 2-faktoros hitelesítést használom a Google-fiókomhoz?
Ez nagyon függ.
Feltételezve, hogy aWallet “s a biztonsági intézkedések valójában jók és erős jelszót és / vagy helyi kulcsfájlt használ, akkor a titkosított jelszó adatbázis feltöltése egy felhőszolgáltatásba nem sérti a biztonságot, mivel a jelszó és / vagy a kulcsfájl továbbra is védje meg a jelszavakat. Természetesen ezen felhőszolgáltatások hozzáadott hitelesítése és hozzáférés-ellenőrzése azt jelenti, hogy nagy valószínűséggel csak Ön és a szolgáltató rendelkezik hozzáféréssel, és általában a szolgáltató érdeke, hogy ne szivárogtasson felhasználói fájlokat.
Általában biztonságos-e a bejelentkezési adatok vagy banki adatok vagy mindkettő tárolása egy jelszókezelőben?
Igen, nagyon, ha a jelszókezelő megfelelő.
A jelszókezelő használatával könnyen egyedivé válhat, Webhelyenként erős jelszavak, vagyis a jelszó adatbázis vagy a helyi kliens kompromisszuma szükséges. Mint már megállapítottuk, a biztonsági másolat kompromisszumát megakadályozza az erős jelszó, így ez az ügyfél kompromisszumát hagyja a jelszó megtanulásának vektoraként. De amint az ügyfelét veszélyeztetik, minden fogadás mindenképpen megszakad, mert a támadó csak szimatolhatja a billentyűzetet, vagy figyelheti / lehallgathatja a hálózati adatait! Összességében tehát keveset veszíthet és sokat nyerhet a (jó) passowrd menedzserek használatával.
Az, hogy az aWallet jó jelszókezelő-e, egy másik kérdés (és a Crypto.SE oldalon válaszolt rá).
Válasz
aTárca konkrétan: ne használja. Az alkotó nyilván nem tudja, hogy mit csinál. Csak egy problémát fogok kiválasztani (több is van, ami valószínűleg nyilvánvalóbb lesz az okosabb embereknél, mint én): ez titkosíthatja az adatbázisát EKB módban (néha, de nem mindig).
EKB mód különösen azért nem biztonságos, mert ugyanaz a sima szöveg mindig titkosítja ugyanazt a cypher szöveget. Ezért az EKB mód “nem rejti el jól az adatmintákat … nem nyújt komoly üzenetbiztonságot , és egyáltalán nem ajánlott a kriptográfiai protokollokban való használatra “.
Jelszókezelők általában: használjon egyet. De válasszon egy jól ismert, jó hírnévvel rendelkező személyt, például 1Password, LastPass, KeePass, Dashlane stb. Vagy legalább használjon egy jól ismert biztonsági cég vagy biztonsági kutató által létrehozott vagy ajánlottat, ha nem tudja, hol keresse máshol. A kompetens titkosítással ellátott jó jelszókezelő ( nem aWallet látszólag) tökéletesen biztonságos a felhőtárolásban, feltéve, hogy a fő jelszava erős.
Szerkesztés: OK, nem tudom ellenállni néhány olyan pont kiválasztásának, amelyek rám ugranak, hogy” maradj távol “sikoltozást:
- A fő jelszó titkosítási kulcsra történő átalakításával kapcsolatban: “Az eredményt 1000-szer kivonja az SHA-256.” Ez nevetségesen nem elegendő. Megfelelően megtenve, legalábbis 10 000 vagy több körrel rendelkező PBKDF-et használnak, nem pedig csak 1000-es egyedi hash hurokot. Még ez is alig lenne elegendő, és rosszul hasonlítaná össze a megfelelően végrehajtott jelszókezelőkkel. Több százezer vagy több forduló jobban hasonlít. Vagy hagyja el az SHA-alapú jelszó-kivonást, és használjon valami olyat, mint a bcrypt vagy az argon2. Ez a szoftver nem hasonlítható össze a modern eszközökkel.
- “Támogatja az adatfájl automatikus megsemmisítését, miután egy előre meghatározott számú sikertelen feloldást kipróbáltak.” Ez egyáltalán nem érinti a támadót. Az egyetlen ember, akit ez sérthet, az a törvényes felhasználó. A támadó az adatbázis másolatát készíti el, vagy módosított szoftvert használ a kitalálási korlát eltávolításához. Te a másrészt véletlenül elveszítheti az összes jelszavát, soha többé nem láthatja, ha véletlenül be van kapcsolva a capslock, vagy egy elhalt kulcs, vagy valami hasonló.
Válasz
Konkrétan a kérdés megválaszolása:
Van olyan eszköz / technika, amellyel megkísérelhetném dekódolja az aWallet alkalmazás által használt data.crypt fájlt annak biztonságának tesztelésére?
Ez egy egy apró szkript a pythonban, amely visszafejti a data.crypt fájlokat és a tartalmat stdout-ra nyomtatja. Vegye figyelembe, hogy ez nem biztonságos, mivel minden egyszerű szövegben látható, ezért csak tegye ezt egy biztonságos gépen vagy dummy adatfájl segítségével.
A szkript a műszaki dokumentáció az awallet.org webhelyen.
Is it safe to store login credentials or banking details or both in a password managerNem ‘ t tökéletes biztonságnak kell lennie, jobbnak kell lennie, mint saját jelszó létrehozása és megjegyzése.