it-swarm.com.de

Lokale KeePass-Sicherheits-Malware

Kann eine Malware, die Ihren lokalen Computer infiziert hat, eine lokal gespeicherte KeePass-Datenbank gefährden?

Wenn ja, was bringt es KeePass, über so starke Sicherheitsmechanismen zu verfügen, wenn es diesem Szenario nicht widerstehen kann? Wenn Sie Ihre Datenbank lokal aufbewahren, ist dieses Szenario nicht die Hauptbedrohung?

16
KB303

Wenn Ihr Computer kompromittiert ist, sollte so ziemlich jede Verteidigung als defekt angesehen werden. Sicherheitsbedrohungsmodelle betrachten dies als ein Szenario außerhalb des Anwendungsbereichs - mit Ausnahme sehr weniger Ausnahmen (z. B. besteht der eigentliche Zweck Ihrer Software darin, die letzte Verteidigungslinie zu sein).

Passwortmanager (wie KeePass), die die Passwortdatenbank lokal speichern, widersetzen sich jedoch in gewissem Maße einem Kompromiss - indem sie die Datenbank mit starken Maßnahmen verschlüsseln. Wenn Sie es wie vorgesehen konfigurieren (z. B. ein sicheres Hauptkennwort + eine Schlüsseldatei verwenden, die Sie nicht lokal speichern), widersteht es Bruteforce- und Wörterbuchangriffen. Es wird sogar der Erfassung von Passwörtern aus der Zwischenablage widerstehen, wenn Sie nur die Funktion zur automatischen Eingabe verwenden. Die Belichtung der Zwischenablage kann auch auf den einmaligen Gebrauch und innerhalb weniger Sekunden beschränkt werden.

Es kann jedoch Keyloggern nicht widerstehen, da dies außerhalb von KeePass ein Umweltproblem darstellt. Die Umgebung wird KeePass übergeben - nicht etwas, das es steuern kann. Ein Keylogger kann das Hauptkennwort während der Eingabe erfassen und zu Hause anrufen, um es zu melden - zusammen mit der KDB/KDBX-Datei und allen zugehörigen Schlüsseldateien.

Ich würde nicht erwarten, dass jede Software jedem möglichen Angriff widersteht (ähnlich wie bei der Suche nach einem Allheilmittel). Ich würde Passwort-Manager - insbesondere KeePass/KeePassX - als sehr gut für das betrachten, was sie tun.

17
Sas3

Ja - wenn die Malware beispielsweise einen Keylogger enthält, kann sie beim Eingeben einfach das Hauptkennwort lesen. Die einzige Möglichkeit, dies zu verhindern, besteht darin, dass KeePass die einzige Software ist, die auf einem verifizierten sicheren Computer ausgeführt wird (z Keine Hardware-Keylogger, keine VMs usw.), die den Zweck der Handhabung von Passwörtern etwas zunichte machen würden.

Dieselbe Malware kann jedoch auch das Hauptkennwort für eine Cloud-basierte Datenbank lesen, wenn Sie sie öffnen. Es ist nicht spezifisch für lokale Datenbankdateien. In der Tat könnte es eine weniger invasive Malware erfordern, um dies zu tun. Wenn Sie eine zweifelhafte Browsererweiterung installiert haben und Ihre Passwörter über eine Website anzeigen, kann sie sehen, was Sie im Browser eingegeben haben, aber (wahrscheinlich) ) nicht das, was Sie in ein anderes Programm eingegeben haben.

Wenn Sie ein System verwenden, auf dem Malware installiert ist, gehen Sie davon aus, dass es alles kann, was Sie können - wenn Sie eine Datei lesen können, kann dies auch die Malware. Wenn Sie einen bestimmten Server kontaktieren können, kann dies auch die Malware tun. Wenn Sie Ihre AV-Software deaktivieren können, kann dies auch die Malware tun. Möglicherweise müssen Sie dazu Details abrufen (z. B. Kennwörter). Der Schlüssel besteht jedoch darin, zu vermeiden, dass diese auf das System übertragen werden, anstatt sicherzustellen, dass jede einzelne Software das Vorhandensein erkennt.

28
Matthew

Es ist erwähnenswert, dass KeePass Einstellungen enthält, die die Möglichkeiten von Malware (und Ihnen) einschränken. Auf diese Weise können Sie beispielsweise verhindern, dass Malware einfach Ihre gesamte Datenbank exportiert, indem Sie einige Tastenanschläge eingeben.

Es ist nicht ausfallsicher, aber es gibt Ihnen mehr Puffer zwischen dem Zeitpunkt, an dem Sie infiziert werden, und dem Zeitpunkt, an dem Sie tatsächlich feststellen, dass Sie infiziert wurden.

(Policy Dialog in KeePass 2.x

(Screenshot stammt aus KeePass 2.36)

10
Spacedog

Angriffe auf KeePass

Kann eine Malware, die Ihren lokalen Computer infiziert hat, eine lokal gespeicherte KeePass-Datenbank in irgendeiner Weise gefährden?

Wenn Sie es nicht öffnen, können sie nur die Datenbankdatei entreißen und versuchen, das Kennwort brutal zu erzwingen ( nicht einfach ) - es sei denn, sie schaffen es natürlich, das Hauptkennwort in einem anderen zu erhalten Weg.

Wenn Sie die Datei öffnen , können sie versuchen, das Hauptkennwort zu erhalten, wenn Sie es eingeben, um die Datenbank zu entsperren. Es gab mindestens eine Malware die genau das getan hat .

Darüber hinaus kann sich Malware in den KeePass-Prozess einfügen und die in der Datenbank gespeicherten Kennwörter extrahieren. Eine Proof-of-Concept-Malware, die dies tut, wurde 2015 veröffentlicht .

Warum einen Passwort-Manager verwenden?

Wenn ja, was bringt es KeePass, so starke Sicherheitsmechanismen zu haben, wenn es diesem Szenario nicht widerstehen kann?

Nun, Verteidigung gegen alle andere möglichen Szenarien, in denen Ihre Passwörter natürlich kompromittiert werden können! Was ist die Alternative zu einem Passwort-Manager? Passwörter in ein Notizbuch schreiben? Wiederverwenden des gleichen Passworts für mehrere Konten, weil Sie sich nicht an Hunderte von Passwörtern erinnern können? Sie haben ein cleveres Schema zur Erstellung von Passwörtern entwickelt, das für jedes Konto zu unterschiedlichen, aber vollständig vorhersehbaren Passwörtern führt?

Ja, es ist theoretisch möglich, auf diese Weise auf Ihre Passwortdatenbank zuzugreifen, aber aufgrund des Schutzes, den KeePass bietet, ist es nur möglich, Ihre Passwörter auf diese Weise zu kompromittieren. (Okay, es gibt einen anderen Weg .)

Es gibt jedoch viele Möglichkeiten, wie Ihre Passwörter nicht kompromittiert werden , z.

  • Ein neugieriger Kollege, der mit Ihren Passwörtern in das Notizbuch schaut;
  • Die Datei, in der sich Ihre Passwörter befinden, wird in ein Backup aufgenommen und an einem unsicheren Ort gespeichert.
  • Jemand, der Ihnen bei der Eingabe des Passworts über die Schulter schaut;
  • Jemand, der auf Ihren Computer zugreift, den Sie vergessen haben, zu sperren, als Sie weggingen;
  • Eine generische Spyware, die Ihre Browser-Passwortdatenbank speichert oder die Datei mit Ihren Passwörtern stiehlt.
  • Malware, die den Webbrowser-Verkehr abfängt, bevor er verschlüsselt wird (vorausgesetzt, Sie verwenden HTTPS) und Ihre Anmeldedaten von dort stiehlt.
  • Hardware-Keylogger (obwohl sie das Hauptkennwort stehlen können, müsste ein Angreifer die Kennwortdatenbank dennoch auf andere Weise abrufen);
  • Der Editor, mit dem Sie Ihre abstürzenden Kennwörter speichern, und der Absturzspeicherauszug, in dem Ihre Kennwörter an den Entwickler gesendet werden.
  • Jemand, der Ihren PC von USB oder CD hochfährt und Ihre Passwortdatei nimmt;
  • Jemand stiehlt Ihren Computer und nimmt Ihre Passwortdatei
  • Sie verwenden Ihr Passwort auf mehreren Websites wieder, weil Sie sich nicht an 1.219 verschiedene Passwörter erinnern können und eine dieser Websites gehackt wird
  • … und so weiter.

Wenn Sie Ihre Datenbank lokal halten, ist dieses Szenario nicht die Hauptbedrohung?

Nein. Ich bin mir sicher, dass es in den oben genannten Szenarien mehrere gibt, die weitaus häufiger auftreten als Malware, die speziell nach KeePass ausgeführt wird. Risiko Nr. 1 besteht wahrscheinlich darin, ein Kennwort für alle Websites erneut zu verwenden und diese Website zu gefährden. (Zum Beispiel gibt es derzeit 3.805.757.030 verletzte Konten in Wurde ich pwned ? .)

Verteidigung

Obwohl wie der Entwickler von KeePass zustimmt , gibt es letztendlich keine Möglichkeit, Angriffe abzuwehren, die speziell auf KeePass abzielen, ist es sicherlich möglich, die Messlatte für einen Angreifer höher zu legen. Zum Beispiel gibt es eine Funktion zum Schutz vor Keyloggern, die beim Entsperren der Datenbank das Hauptkennwort erhalten , eine Funktion für Sperren Ihrer Kennwortdatenbank, wenn Sie sie nicht verwenden usw.

Es lohnt sich zu untersuchen, ob Sie einige dieser Funktionen aktivieren möchten, aber ich würde nicht empfehlen, nur einige oder alle dieser Funktionen zu aktivieren, ohne darüber nachzudenken. Es gibt einen nicht zu vernachlässigenden Einfluss auf die Benutzerfreundlichkeit, und die potenziellen Vorteile können gering sein, je nachdem, was Sie erwartet. Beachten Sie, dass ein Angreifer nicht unbedingt haben, um Ihr Passwort von KeePass zu erhalten, sondern auch das Programm angreifen kann, in das Sie das Passwort eingeben .

Fazit

Ein Passwort-Manager wird Sie nicht gegen alles verteidigen ... weil er es nicht kann. Um Gesetz Nr. 1 aus dem Zehn unveränderliche Sicherheitsgesetze zu zitieren,

Wenn ein Bösewicht Sie überreden kann, sein Programm auf Ihrem Computer auszuführen, ist es nicht mehr Ihr Computer.

Die Dinge, gegen die sich ein Passwort-Manager tut verteidigt, bedeuten jedoch immer noch, dass die Verwendung eines Passworts eine sehr gute Idee ist.

6
user2428118

Zur Ergänzung der Antwort von @matthew: Eine verschlüsselte Kennwortdatenbank muss vor Offline-Angriffen geschützt werden. Zum Beispiel kann es die Datenbank schützen, wenn Sie sie auf einen USB-Stick stecken und verlieren oder wenn Ihr ausgeschalteter Computer gestohlen wird. Sie können auch sicher einen Sicherungsdienst oder einen Cloud-basierten Synchronisierungsdienst mit Ihrer Kennwortdatenbank verwenden. (Dies gilt nur, wenn Sie eine starke Passphrase verwenden und Ihre Schlüsseldatei nicht synchronisieren.)

3
A. Hersean