Ru-Board.club
← Вернуться в раздел «Программы»

» KeePass Password Safe

Автор: SergikZ
Дата сообщения: 18.01.2013 19:27
TemaZosin

Цитата:
Каким алгоритмом лучше шифровать базу?

Абсолютно без разницы. Можно смело любой использовать, оба алгоритма достаточно надежны и вряд ли будут взломаны в обозримом будущем.

Цитата:
Но тут я смотрю Блоуфиш 448 бит, а Туфиш всего 128. А есть и 2048битные шифрования. А все равно все АЕS используют.
Неужели битность не так важна?

Автор: TemaZosin
Дата сообщения: 18.01.2013 21:49
В чем разница генерировать пароль и генерировать список паролей?
http://farm9.staticflickr.com/8085/8393324864_68e63bb6f6.jpg
____
При создании новой базы в версии 2 есть такое окно http://farm9.staticflickr.com/8510/8393340324_a6a617ff7b.jpg
но какое бы имя и описание я не вводил, я нигде не смог найти где оно фигурирует. Или у меня на двух машинах глючит прога, или это какое-то скрытое описание.

Добавлено:
SergikZ
А без смайликов никак не пояснить? Насколько я знаю битность шифрования ключа важна. Но тут же битность ниже у разных алгоритмов, а все используют AES 256, неужели он лучше 8192 битного Sapphire II?

Добавлено:

Цитата:
Подготовка для ускорения запуска программы. Можно убрать, если при установке отключите опцию Optimize KeePass On-Demand Start-Up Performance.

Это вообще нужно? Программа пять мегабайт, запускается даже не с ССД за долю секунды. Или тут опция для подгрузки больших баз? У меня обычно программа пустая стартует, вместо базы, хотя хотелось бы, чтобы было окно ввода пароля, и если отмену нажал, то просто свернулось бы, т.к. открывать пустую прогу мне не нужно.

Добавлено:
В программе есть опция "показывать вместо названия базы полный путь в заголовке окна". А есть ли подобная опция для трея? В трее всегда выводится полный путь к базе. Хотелось бы как-то скрыть его или вообще ничего чтобы не выводилось, кроме названия проги.
Автор: krserv
Дата сообщения: 20.01.2013 16:55
еще не разбирался, если кто использует подскажите пжс Plugin eсть для работы с Aladdin E-token, и какой и как лучше использовать, чтобы ключ для доступа к базе можно было хранить в e-token.
Интересуют варианты как под Win 7, так и под Debian

Если мы используем функцию копирования, вставки имени и пароля из базы в приложение, то при этом наш пароль никак дополнительно не защищен, и может быть похищен вредоносным ПО, которое может анализировать буфер оперативной памяти? Единственная защита при этом, что пароль в буфере хранится ограниченное время, но от копии буфера памяти вредоносным ПО, это не спасает?
Автор: Linch
Дата сообщения: 24.01.2013 20:25
Во время установки KeePass есть опция "Optimize KeePass Performance", что она делает? (именно такая, там есть еще "Optimize KeePass On-Demand Start-Up Performance", но та я знаю что делает).
Автор: panda3
Дата сообщения: 25.01.2013 13:57

Цитата:
Optimize KeePass Performance

Скорее всего, это прекомпиляция .NET кода, в инсталляторе стоит вызов ngen по этой опции.
Автор: TemaZosin
Дата сообщения: 27.01.2013 08:01
panda3
я выше задавал этот вопрос. собственно, зачем это надо, если программа запускается моментально?
Автор: Ichigo2
Дата сообщения: 27.01.2013 13:37
TemaZosin
У меня с опцией "Вводить пароль в защищенном режиме UAC" запускается 13 сек.!
Автор: Holif
Дата сообщения: 29.01.2013 10:24
krserv

Цитата:
подскажите пжс Plugin eсть для работы с Aladdin E-token, и какой и как лучше использовать, чтобы ключ для доступа к базе можно было хранить в e-token.
Интересуют варианты как под Win 7, так и под Debian

Плагины есть - RSA Cert Key Provider, CertKeyProvider.


Цитата:

Если мы используем функцию копирования, вставки имени и пароля из базы в приложение, то при этом наш пароль никак дополнительно не защищен, и может быть похищен вредоносным ПО, которое может анализировать буфер оперативной памяти?

При использовании E-token смысл воровать ключи равен нулю. Злоумышленник даже получив логины и пароли не сможет открыть базу без токена.

Есть ещё плагин для ввода одноразового пароля -OtpKeyProv
С ним так же перехват пароля лишён всякого смысла.
Я как раз его изучаю, но никак не могу найти генератор паролей
под андроид или джаву телефона на этот плагин.


Парни, может кто подскажет генератор одноразовых паролей RFC 4226
под андройд или джаву для OtpKeyProv ?
Автор: cogni
Дата сообщения: 29.01.2013 20:26
Holif
Базу-то паролей он открыть не сможет, а логин и пароль, скопированные в буфер, утащить такой программе я не вижу препятствия... Вот в случае применения TAN-кодов пользы от такого воровства злоумышленнику не будет.
Автор: SonikApatity
Дата сообщения: 30.01.2013 04:35
Holif

Цитата:
Парни, может кто подскажет генератор одноразовых паролей RFC 4226  
под андройд или джаву для OtpKeyProv ?  

https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2
Автор: Holif
Дата сообщения: 30.01.2013 12:29
cogni

Цитата:
Базу-то паролей он открыть не сможет, а логин и пароль, скопированные в буфер, утащить такой программе я не вижу препятствия...

Задача KeyProvider - программное шифрование, без токена или одноразового пароля
базу не открыть.
Пусть он себе ворует эти пароли сколько захочет.

SonikApatity
Алгоритм Google Authenticator построен на TOTP/HOTP , а OtpKeyProv понимает
только HOTP.
Автор: SonikApatity
Дата сообщения: 30.01.2013 15:30
Holif
И всё же я думаю оно будет работать, хотя пока у меня не получилось, настройки не столь тривиальны. Подходящий секретный ключ я придумал, но нужно ещё выбрать длину комбинаций генерируемых счётчиком или что то в этом роде, и т.п.

Вроде всё настроил как сдесь http://www.yubico.com/applications/password-management/consumer/keepass/
только количество знаков не 8 а 6, но не работает, странно, что то я упустил.
Автор: Holif
Дата сообщения: 31.01.2013 10:16
SonikApatity

Скажу вам честно и откровенно- вы не понимаете сути одноразовых ключей.

В OtpKeyProv к секрету добавляется значение счётчика, т.е. секрет+счётчик.
В Google Authenticator к секрету добавляется время,т.е. секрет+время.
И на этих данных генерируется одноразовый пароль.

В KeePass есть встроенный генератор паролей, который отлично подходит к OtpKeyProv, но
мне нужен софторый генератор и не в базе.

Если если вы хотите протестировать OtpKeyProv - сгенерируйте новый пароль по такой инструкции -
http://keepass.info/help/base/placeholders.html#hmacotp (самая последняя инструкция) и запустите 2 базы KeePass. В тестовой базе поставьте открытие по OtpKeyProv , настройте по это ссылке которую вы дали (15 пункт).Секретный ключ любой- значение UTF-8, контейнер 0 - значение DEC.
Потом сгенерируйте в блокнот 3 пароля и вставьте их в поля тестовой базы, всё прекрасно откроется.
Если вы сгенерируете пароль и пропустите его, вписав 3 остальных, счётчик собьётся и база не откроется.

Большой минус этого способы - синхронное значение счётчика, т.е. железный токен можно использовать только для одной базы. Софтверный токен я нигде не могу найти.










Автор: smersh2012
Дата сообщения: 31.01.2013 10:28
сори, читаю пост и не врубаюсь о чем речь, разъясните кто-нибудь что такое и для чего нужен otpkeyprov ?
Автор: Holif
Дата сообщения: 31.01.2013 10:41
smersh2012

OtpKeyProv защищает базу данных KeePass с помощью одноразового пароля.
Такой пароль перехватывать - время терять. Одноразовый пароль основан на хитрых алгоритмах,
его генерирует обычно программа телефона, т.е. ничего не нужно подключать к компьютеру.
Автор: SonikApatity
Дата сообщения: 31.01.2013 15:11
Holif
Я всё прилично понимаю, я не пробовал Google Authenticator под Android, но в Google Authenticator под iOS можно выбрать либо время либо счётчик.
Скриншотик
Автор: Dimsoft
Дата сообщения: 31.01.2013 17:19
а можно ли вместо основного пароля использовать отпечаток пальца ?
Автор: Holif
Дата сообщения: 31.01.2013 19:27
SonikApatity
Попробуйте обновить NET.

Dimsoft
При соответствующем плагине можно, но плагина пока нет...
Думаю, эта идея не сразу у нас приживётся, нормальный сканер отпечатков стоит 150 баксов, а использовать сканеры за 15 нет смысла. У нас на токен даже админы жмутся отдать 23 бакса, что уж говорить о сканерах. Хотя конечно было бы удобно не вводит код, а сканировать отпечаток и активировать подтверждение цифровой подписи.

Парни! Нашёл я генератор паролей к OtpKeyProv - https://play.google.com/store/apps/details?id=org.cry.otp&feature=search_result
Только что попробовал - всё открывается. Но как только счётчик сбивается - базу не открыть.


Сколько же я информации перелопатил, сколько же я программ перепробовал для генерации пароля к OtpKeyProv, а всё равно вернулся к токенам )))))
Автор: krserv
Дата сообщения: 31.01.2013 21:14
Holif

Цитата:
cogni

Цитата:
Базу-то паролей он открыть не сможет, а логин и пароль, скопированные в буфер, утащить такой программе я не вижу препятствия...


вот и я об этом же, база защищена, защифрована недежно, но когда Вы из этой базы через буфер вставляете пароль в искомое приложение, вот тут-то он ничем не защищен, кроме как 12 сек временем существования в буфере.
Исходя из этого с точки зрения угроз безопасности - keepass - можно рассматривать просто как удобную записную книжку с хранимыми паролями. Да доступ к ним защищен надежно различными методами, но основная угроза кражи паролей остается, когда он в открытом виде будет подаваться необходимому приложению.
Автор: SonikApatity
Дата сообщения: 31.01.2013 22:36
krserv
У всех действительно значимых сервисов есть что-нить типо двухфакторной авторизации, нет? Google, dropbox, facebook, sberbank, qiwi. Кто хотел, тот защитил своих пользователей.
Автор: Holif
Дата сообщения: 01.02.2013 09:59
krserv

Что бы не перехватывали пароли у KeePass есть плагин для Firefox (есть и для хрома и IO),
называется KeeFox (есть и другие). В буфере ничего не светиться.


Автор: krserv
Дата сообщения: 03.02.2013 13:56
вопрос насколько это все надежно, ведь plugin - тоже может быть заражен, как и сам браузер и система и т.д.

Добавлено:
Когда используется двухфакторная идентификация со smart картой, и это предусмотрено приложением, то там все ОК, а вот по поводу Keepass - здесь слабое место.
Автор: savant_a
Дата сообщения: 03.02.2013 19:45
KeePass 2.21 released
Автор: diman777771
Дата сообщения: 03.02.2013 19:47
KeePass 2.21
http://downloads.sourceforge.net/keepass/KeePass-2.21-Setup.exe
http://downloads.sourceforge.net/keepass/KeePass-2.21.zip
Автор: Serebranka
Дата сообщения: 05.02.2013 03:20
Всем здравия! Подскажите, плиз:
В связи с прогрессирующей паранойей, решила, наконец, озаботиться безопасностью вводимых паролей. Поставила KeePass 2.21. В общем и целом - уже настроила, но тут столкнулась с такой проблемой: на некоторых сайтах почему-то не работает автозаполнение в окне самого сайта(Ctrl+Alt+A) -приходится открывать KeePass, искать там нужную запись и запускать его автозаполнение(Ctrl+V). Напрягает. Поискала в сети решения проблемы(нужный url в поле "Название" и "Ссылка"), перепробовала различные комбинации в поле комментариев и в настройках автонабора - ничего не помогает. Пока что заметила такой косяк на рамблере, где у меня два разных почтовых ящика, на форуме http://sonikelf.ru и, кстати, здесь. Подозреваю, что еще где-то на нужных мне сайтах такое может быть. Поскольку хочу снести целиком все накопленные базы из браузеров, и пользоваться только безопасной хранилкой, хотелось бы как-то решить этот вопрос.
Автор: 5
Дата сообщения: 05.02.2013 04:37
Serebranka

Цитата:
приходится открывать KeePass, искать там нужную запись и запускать его автозаполнение(Ctrl+V). Напрягает.

Всегда только так и делаю, по моему ничего удобнее (метод заполнения) пока не придумали.
Автор: myname13
Дата сообщения: 05.02.2013 06:23
Serebranka
скорей всего зависит от расширения для браузера (в опере KeePass Auto-Type и на многих сайтах Ctrl+Alt+A неработает) . А для фаерфокса, расширение keefox (там все нормально, жмякаеш тока кнопочку )
Автор: yanko12
Дата сообщения: 05.02.2013 14:25
2ALL
Други, эта штука может хранить небольшие тексты с приватной инфой (фио, адреса, письма..) (в десяток-другой килобайт) ?

И есть ли у сабжа возможность вывода всех паролей в txt файл (для бэкапа на CD) на случай глюка-блокировки программы ?

если нет, аналоги не подскажете ?
Автор: Holif
Дата сообщения: 05.02.2013 15:59
yanko12

В базе KeePass можно шифровать любые файлы, но база будет пухнуть. Можно просто хранить в ней текстовую информацию. Базу конечно можно экспортировать в много чего, тем более в обычный текстовый файл.
Автор: Serebranka
Дата сообщения: 05.02.2013 17:08
myname13.

Цитата:
скорей всего зависит от расширения для браузера (в опере KeePass Auto-Type и на многих сайтах Ctrl+Alt+A неработает)

Блин, а я пользуюсь Оперой как раз в основном. (Только не надо бухтения "переходить давно надо на Файрфокс/Гугл Хром/Сафари/...). У меня все это есть, но Опера больше всего устраивает. Может, есть какой-нибудь плагин для оперы? На странице самой программы вроде был раньше, но сейчас ссылка битая - может, у кого-нибудь сам плагин сохранился? И есть ли какая-то закономерность - хочу понять, почему конкретно Ctrl+Alt+A где-то не работает и можно ли это исправить? На указанных сайтах вообще дело было не в браузере, автозаполнение ни в одном не работало.

Страницы: 1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071727374757677787980818283848586878889909192

Предыдущая тема: Подскажите альтернативу HappyHarvester


Форум Ru-Board.club — поднят 15-09-2016 числа. Цель - сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.