aWallet Password Manager (Svenska)

Obs! Det här inlägget svarar faktiskt på frågorna i frågan och kommenterar inte (mycket) säkerheten för aWallet. Jag föreslår att du besöker Crypto.SE-version av denna fråga för granskning av kryptografiska detaljer.

Finns det ett verktyg / en teknik som jag kan använda för att försöka dekryptera data.crypt-filen som används av aWallet-appen för att testa den ”säkerhet?

En snabb sökning visade ingenting, så jag antar att den här lösenordshanteraren inte är tillräckligt stor / inte har sett tillräckligt med forskning för att ha fått någon annan att skriva ett verktyg för att attackera den här lösenordshanteraren.

aWallet erbjuder inte något eget molnlagring och låter oss (valfritt) säkerhetskopiera data.crypt-filen till Google Drive eller Dropbox. Hur säkert skulle det ges att jag använder 2-faktor-autentisering för mitt Google-konto?

Detta beror väldigt mycket på.
Om vi antar aWallet ”s säkerhetsåtgärder är faktiskt bra och du använder ett starkt lösenord och / eller en lokal nyckelfil, då kan uppladdning av den krypterade lösenordsdatabasen till en molntjänst inte skada säkerheten, eftersom ditt lösenord och / eller nyckelfil fortfarande skydda lösenorden. Naturligtvis innebär den extra autentiseringen och åtkomstkontrollen för dessa molntjänster att chansen är att bara du och leverantören har åtkomst och det är vanligtvis i leverantörens bästa att inte läcka användarfiler.

Är det i allmänhet säkert att lagra inloggningsuppgifter eller bankuppgifter eller båda i en lösenordshanterare?

Ja, väldigt mycket om lösenordshanteraren är anständig.
Med hjälp av en lösenordshanterare kan du enkelt ha unik, starka lösenord per webbplats, vilket innebär att det krävs en kompromiss mellan din lösenordsdatabas eller din lokala klient. Som vi redan har konstaterat förhindras en kompromiss av säkerhetskopian av det starka lösenordet, så detta lämnar klienten kompromiss som vektorn för att lära sig lösenordet. Men så snart din klient äventyras är alla spel avstängda hur som helst, för angriparen kan bara sniffa på ditt tangentbord eller övervaka / fånga upp dina nätverksdata! Så allt som allt du lite att förlora och mycket att vinna genom att använda (bra) passowrd-chefer.

Huruvida aWallet är en bra lösenordshanterare är dock en annan fråga (och besvaras på Crypto.SE).

aWallet specifikt: använd inte det. Skaparen vet uppenbarligen inte vad de gör. Jag väljer bara en fråga (det finns flera som förmodligen kommer att vara mer uppenbara för människor som är smartare än mig): det kan kryptera din databas i ECB-läge (ibland men inte alltid).

ECB-läge är inte särskilt säker eftersom samma klartext alltid krypteras till samma cypher-text. Därför döljer ECB-läge ”inte datamönster bra … det ger inte seriöst meddelandesekretess , och det rekommenderas inte att användas i kryptografiska protokoll alls ”.

Lösenordshanterare i allmänhet: använd ett. Men välj en välkänd med bra rykte som 1Password, LastPass, KeePass, Dashlane, etc. Eller åtminstone använda en som skapats eller rekommenderas av ett välkänt säkerhetsföretag eller säkerhetsforskare om du inte vet vart du ska leta. En bra lösenordshanterare med kompetent kryptering ( inte aWallet uppenbarligen) är helt säker att hålla på molnlagring, förutsatt att ditt huvudlösenord är starkt.

Redigera: OK, jag kan inte motstå att välja några andra punkter som hoppar ut på mig för att skrika” håll dig borta ”:

• Angående omvandling av huvudlösenordet till en krypteringsnyckel: ”Resultatet hashades 1000 gånger av SHA-256.” Detta är skrattretande otillräckligt. Gjort ordentligt skulle de åtminstone använda PBKDF med 10 000 rundor eller mer snarare än en skräddarsydd hash-loop på endast 1000. Även det skulle knappast vara tillräckligt och skulle jämföras dåligt med korrekt implementerade lösenordshanterare. Hundratusentals eller fler omgångar skulle vara mer som det. Eller överge SHA-baserat lösenordshashing och använd något som bcrypt eller argon2. Denna programvara kan inte jämföras med moderna verktyg.
• ”Stöder automatisk förstöring av datafilen efter att ett fördefinierat antal misslyckade upplåsningar har prövats.” Detta påverkar inte angriparen alls. Den enda personen som detta kan skada är den legitima användaren. En angripare kommer att göra en kopia av databasen eller använda modifierad programvara för att ta bort gissningsgränsen. Du på andra sidan kan av misstag tappa alla dina lösenord, för att aldrig ses igen, genom att av misstag ha aktiverat capslock eller en död nyckel eller något liknande. h2>

  Specifikt besvara din fråga:

  Finns det ett verktyg / teknik som jag kan använda för att försöka dekryptera data.crypt-filen som används av aWallet-appen för att testa den? s säkerhet?

  Här finns ett litet skript i python som dekrypterar data.crypt -filer och skriver ut innehållet till stdout. Observera att det inte är säkert eftersom allt är synligt i klartext, så gör bara detta på en säker maskin eller med en dummy-datafil.

  Skriptet byggdes med teknisk dokumentation på awallet.org.