aWallet Password Manager (Norsk)

Merk: Dette innlegget svarer faktisk på spørsmålene i spørsmålet og kommenterer ikke (mye) sikkerheten til aWallet. Jeg foreslår at du besøker Crypto.SE-versjon av dette spørsmålet for en gjennomgang av kryptografiske detaljer.

Er det et verktøy / teknikk som jeg kunne bruke for å prøve å dekryptere data.crypt-filen som brukes av aWallet-appen for å teste den? S sikkerhet?

Et raskt søk viste ingenting, så jeg anta at denne passordbehandleren ikke er stor nok / ikke har sett nok forskning til å ha fått noen andre til å skrive et verktøy for å angripe denne passordadministratoren.

aWallet tilbyr ikke noe skylagring og lar oss (valgfritt) sikkerhetskopiere data.crypt-filen til Google Drive eller Dropbox. Hvor trygt ville det blitt gitt at jeg bruker 2-faktor-autentisering for Google-kontoen min?

Dette avhenger veldig mye.
Forutsatt at aWallet «s sikkerhetstiltak er faktisk bra og du bruker et sterkt passord og / eller en lokal nøkkelfil, så kan ikke opplasting av den krypterte passorddatabasen til en skytjeneste skade sikkerheten, ettersom passordet og / eller nøkkelfilen fortsatt beskytt passordene. Selvfølgelig betyr den ekstra autentiseringen og tilgangskontrollen for disse skytjenestene at sjansen er at bare du og leverandøren har tilgang, og det er vanligvis i leverandørens beste å ikke lekke brukerfiler.

Er det generelt trygt å lagre påloggingsinformasjon eller bankopplysninger eller begge deler i en passordbehandling?

Ja, veldig mye, hvis passordbehandleren er anstendig.
Ved å bruke en passordbehandling kan du enkelt ha unik, sterke passord per nettsted, noe som betyr at det kreves et kompromiss mellom passorddatabasen eller den lokale klienten. Som vi allerede har etablert, forhindres et kompromiss med sikkerhetskopien av det sterke passordet, så dette etterlater klienten kompromiss som vektor for å lære seg passordet. Men så snart klienten din er kompromittert, er alle spill uansett, fordi angriperen bare kan snuse på tastaturet eller overvåke / avskjære nettverksdataene dine! Så alt i alt er det lite å tape og mye å tjene på å bruke (gode) passowrd-ledere.

Hvorvidt aWallet er en god passordbehandling er et annet spørsmål om (og besvart på Crypto.SE).

aWallet spesifikt: ikke bruk den. Skaperen vet tydeligvis ikke hva de gjør. Jeg velger bare en bekymring (det er flere som sannsynligvis vil være mer åpenbare for People Smarter Than Me): det kan kryptere databasen din i ECB-modus (noen ganger, men ikke alltid).

ECB-modus er spesielt ikke sikker fordi den samme klarteksten alltid krypteres til den samme cypher-teksten. Derfor skjuler ikke ECB-modus «datamønstrene godt … det gir ikke alvorlig beskjed om konfidensialitet , og det anbefales ikke bruk i kryptografiske protokoller i det hele tatt «.

Passordadministratorer generelt: bruk en. Men velg en kjent med godt omdømme som 1Password, LastPass, KeePass, Dashlane, etc. Eller i det minste bruk en som er opprettet eller anbefalt av et kjent sikkerhetsfirma eller sikkerhetsforsker hvis du ikke vet hvor du skal lete annet. En god passordbehandling med kompetent kryptering ( ikke aWallet tilsynelatende) er helt trygg å ha på skylagring, forutsatt at hovedpassordet ditt er sterkt.

Rediger: OK, jeg kan ikke motstå å plukke noen andre punkter som hopper ut på meg for å skrike» hold deg borte «:

• Angående transformering av hovedpassordet til en krypteringsnøkkel: «Resultatet blir hash 1000 ganger av SHA-256.» Dette er latterlig utilstrekkelig. Gjort riktig ville de i det minste bruke PBKDF med 10 000 runder eller mer i stedet for en skreddersydd hash-løkke på bare 1000. Selv det ville knapt være tilstrekkelig, og ville sammenligne dårlig med riktig implementerte passordadministratorer. Hundretusener eller flere runder vil være mer like det. Eller forlat SHA-basert passordhashing og bruk noe som bcrypt eller argon2. Denne programvaren kan ikke sammenlignes med moderne verktøy.
• «Støtter automatisk ødeleggelse av datafilen etter at et forhåndsdefinert antall mislykkede opplåsinger er prøvd.» Dette påvirker ikke en angriper i det hele tatt. Den eneste personen dette kan skade er den legitime brukeren. En angriper vil lage en kopi av databasen eller bruke modifisert programvare for å fjerne gjetningsgrensen. Du på annen hånd kan ved et uhell miste alle passordene dine, for aldri å bli sett igjen, ved å slå på capslock, eller en død nøkkel, eller noe sånt.

Spesielt svar på spørsmålet ditt:

Er det et verktøy / teknikk som jeg kan bruke til å prøve å dekryptere data.crypt-filen som brukes av aWallet-appen for å teste den? S sikkerhet?

Her er et lite skript i python som dekrypterer data.crypt filer og skriver ut innholdet til stdout. Merk at det ikke er sikkert siden alt er synlig i ren tekst, så bare gjør dette på en sikker maskin eller med en dummy datafil.

Skriptet ble bygget med teknisk dokumentasjon på awallet.org.