aWallet Password Manager (Português)

Observação: esta postagem na verdade responde à (s) pergunta (s) na pergunta e não comenta (muito) sobre a segurança de uma carteira. Sugiro que você visite Versão Crypto.SE desta questão para uma revisão dos detalhes criptográficos.

Existe uma ferramenta / técnica que eu poderia usar tentar descriptografar o arquivo data.crypt usado pelo aplicativo aWallet para testar sua segurança?

Uma pesquisa rápida não resultou em nada, então eu suponha que este gerenciador de senhas não seja grande o suficiente / não tenha visto pesquisas o suficiente para ter feito outra pessoa escrever uma ferramenta para atacar este gerenciador de senhas.

aWallet não oferece nenhum armazenamento em nuvem próprio e nos permite (opcionalmente) fazer backup do arquivo data.crypt no Google Drive ou Dropbox. Quão seguro seria se eu usar a autenticação de 2 fatores para minha conta do Google?

Isso depende muito.
Supondo que aWallet “s as medidas de segurança são realmente boas e você usa uma senha forte e / ou um arquivo de chave local e, em seguida, enviar o banco de dados de senha criptografada para um serviço de nuvem não prejudica a segurança, pois sua senha e / ou arquivo de chave ainda proteger as senhas. É claro que a autenticação adicional e o controle de acesso desses serviços em nuvem significam que só você e o provedor têm acesso e geralmente é do interesse do provedor não vazar arquivos do usuário.

Em geral, é seguro armazenar credenciais de login ou dados bancários ou ambos em um gerenciador de senhas?

Sim, muito mesmo, se o gerenciador de senhas for decente.
Usar um gerenciador de senhas permite que você tenha facilmente um único, senhas fortes por site, o que significa que é necessário comprometer o banco de dados de senhas ou o cliente local. Como já estabelecemos, o comprometimento do backup é evitado pela senha forte, então isso deixa o comprometimento do cliente como vetor para aprender a senha. Mas assim que o seu cliente é comprometido, todas as apostas são canceladas de qualquer maneira, porque o invasor pode apenas farejar seu teclado ou monitorar / interceptar seus dados de rede! Portanto, em suma, você tem pouco a perder e muito a ganhar usando (bons) gerenciadores de senhas.

Se aWallet é um bom gerenciador de senhas, é uma questão diferente (e respondida em Crypto.SE).

aWallet especificamente: não use. O criador obviamente não sabe o que está fazendo. Vou escolher apenas uma preocupação (há várias que provavelmente serão mais óbvias para o People Smarter Than Me): ele poderia criptografar seu banco de dados no modo ECB (às vezes, mas nem sempre).

Modo ECB notavelmente não é seguro porque o mesmo texto simples sempre criptografa no mesmo texto cifrado. Portanto, o modo ECB “não esconde bem os padrões de dados … não fornece confidencialidade de mensagem séria , e não é recomendado para uso em protocolos criptográficos “.

Gerenciadores de senhas em geral: use um. Mas escolha um conhecido com boa reputação como 1Password, LastPass, KeePass, Dashlane, etc. Ou pelo menos use um criado ou recomendado por uma empresa de segurança conhecida ou pesquisador de segurança, se você não sabe onde mais procurar. Um bom gerenciador de senhas com criptografia competente ( não aparentemente aWallet) é perfeitamente seguro para manter o armazenamento em nuvem, desde que sua senha mestra seja forte.

Editar: OK, não consigo resistir a escolher alguns outros pontos que saltam na minha frente para gritar” fique longe “:

• Sobre a transformação da senha mestra em uma chave de criptografia: “O resultado é hash 1000 vezes por SHA-256.” Isso é ridiculamente insuficiente. Feito corretamente, eles no mínimo usariam PBKDF com 10.000 rodadas ou mais, em vez de um loop de hash personalizado de apenas 1000. Mesmo isso seria apenas suficiente e seria mal comparado aos gerenciadores de senha implementados corretamente. Centenas de milhares ou mais rodadas seriam mais adequadas. Ou abandone o hashing de senha baseado em SHA e use algo como bcrypt ou argon2. Este software não se compara às ferramentas modernas.
• “Suporta destruição automática do arquivo de dados após um número predefinido de tentativas de desbloqueio malsucedido.” Isso não afeta um invasor. A única pessoa que isso pode prejudicar é o usuário legítimo. Um invasor fará uma cópia do banco de dados ou usará um software modificado para remover o limite de estimativa. Você no por outro lado, pode perder acidentalmente todas as suas senhas, para nunca mais ser visto, por ter acidentalmente ativado o capslock ou uma chave morta ou algo parecido.

Respondendo especificamente à sua pergunta:

Existe uma ferramenta / técnica que eu poderia usar para tentar descriptografar o arquivo data.crypt usado pelo aplicativo aWallet para testar sua segurança?

Aqui está um pequeno script em python que descriptografa data.crypt arquivos e imprime o conteúdo em stdout. Observe que não é seguro, pois tudo é visível em texto simples, então apenas faça isso em uma máquina segura ou com um arquivo de dados fictício.

O script foi construído usando o documentação técnica em awallet.org.