» KeePass Password Safe

WildGoblin (18:33 08-10-2013)
Цитата:

В нём нет сторонних плагинов и он не вселяет в юзеров ложную уверенность в безопасности

А в вас вселил.

Единственная вещь делающая безопаснее PS - это то, что им пользуется много меньше людей, чем KP, и, как следствие, перспективнее осуществлять атаки на KP.

Цитата:

Не нужно мне задавать такой вопрос - так как я даже не знаю что такое Lastpass!

Вопрос снят.

Насчет кол-ва раундов еще мне понятно, т.к. КР нужно знать это при открытии БД (или здесь тоже что-то не так?), но я только что проверил сабж версии 1.25 и он тоже сохраняет информацию о кол-ве записей в БД (offset 52). Зачем это нужно?

Еще вопрос для тех, кто ковырялся в исходниках КР: какой RNG он использует? Надеюсь, не виндовый.

timsky

Описание RNG:
http://keepass.info/help/base/security.html#secrandom

Формат базы данных:
http://keepass.info/help/v1_sdk/struct_p_w___d_b_h_e_a_d_e_r.html

И по поводу этого формата лучше спрашивать уже в открытом топике на форуме проекта:
http://sourceforge.net/p/keepass/discussion/329220/thread/82843978/


Добавлено:
Если исходить из соображения правдоподобности отрицания, то формат базы KeePass этому критерию не способствует.

Тогда, по этому же соображению нужно отказаться и от такого популярного и серьезного проекта, используемого многими тысячами людей, как "TrueCrypt":


Цитата:

Если вами "заинтересовались" всерьёз - все ваши усилия по скрытию контейнера не имеют особого смысла, т.к. все методы защиты (и, соответственно, обнаружения) уже известны профессионалам вашего "противника".. т.е. обнаружение вашего "хитроумного тайника" является лишь вопросом времени.

Источник

И видимо перейти с него на DiskCryptor (тоже, кстати, серьезный проект):
http://diskcryptor.net/wiki/Volume

(NB: использование DC томов по аналогу TC контейнерных файлов возможно с помощью VHD)

Добавлено:
Возможно кого то заинтересует данная статья и инструментарий - Visualizing entropy in binary files.

0utC4St

Цитата:

А в вас вселил.

Вам виднее!

makarei

Цитата:

И по поводу этого формата лучше спрашивать уже в открытом топике на форуме проекта: http://sourceforge.net/p/keepass/discussion/329220/thread/82843978/

Топик уже как четыре года мёртвый.

Цитата:

Тогда, по этому же соображению нужно отказаться и от такого популярного и серьезного проекта, используемого многими тысячами людей, как "TrueCrypt":

У контейнера трукрипта нет видимых не зашифрованных сигнатур.

Цитата:

Топик уже как четыре года мёртвый.

Но он не закрыт, и можно поднять. И если где и у кого и продолжать спрашивать по этой теме, так лучше там.


Цитата:

У контейнера трукрипта нет видимых не зашифрованных сигнатур.

Конечно жа сравнению с форматом TC, база KP не подлежит, но созданные инструментарии все равно пытаються определить TC тома как таковые, и видимо не безуспешно.

Эта тема, про сигнатуры в KP, поднималась и на "openPGP в России", и руководитель проекта в своих комментариях на этот счет не заявлял о каких либо практических последствиях (взлом базы), вследствии того, что в заголовке базы находяться эти данные, за исключением того, что количесво записей в базе может повлиять на то, сколько "людям с паяльником было понятно, сколько раз его использовать."

https://www.pgpru.com/soft/passwordsafe?show_comments=1&p=2

Такой формат базы влечет за собой "отсутствие отрицаемости" (для тех кто не в теме - вы не сможете соврать компетентным лицам то, что эта не база данных с паролями, а "какая-то фигня, сам не знаю какая"), и если для вас это проблема, то тогда либо нужно перейти на продукт иной, либо еще дополнительно шифровать базу.

WildGoblin (21:41 12-10-2013)
Цитата:

У контейнера трукрипта нет видимых не зашифрованных сигнатур.

Для TrueCrypt в свободном доступе имеется целый набор инструментария для поиска/восстановления контейнеров/разделов. Это несмотря на то, что якобы нет сигнатур. Для KeePass ничего такого в свободном доступе нет.


makarei (08:32 13-10-2013)
Цитата:

Такой формат базы влечет за собой "отсутствие отрицаемости"

KeePass - для добропорядочных граждан, если кто-то торгует наркотиками, оружием или людьми - пусть пользует Password Safe (безопастность гарантирует лично WildGoblin ) :-D

makarei

Цитата:

...но созданные инструментарии все равно пытаються определить TC тома как таковые, и видимо не безуспешно.

Только лишь пытаются.

Цитата:

Эта тема, про сигнатуры в KP, поднималась и на "openPGP в России"...

Я же её и поднимал...

Цитата:

Такой формат базы влечет за собой "отсутствие отрицаемости"...

У Password Safe тоже есть сигнатура в заголовке базы и ничего плохого я в этом не вижу.

0utC4St

Цитата:

Для TrueCrypt в свободном доступе имеется целый набор инструментария для поиска/восстановления контейнеров/разделов.

Я выложу три файла, а вы со 100% вероятностью определите этими тулзами какой из файлов контейнер?

Цитата:

Это несмотря на то, что якобы нет сигнатур.

Сигнатур нет - можете сами в этом убедиться.

Цитата:

Для KeePass ничего такого в свободном доступе нет.

Чего "такого"? В базе кипаса есть сигнатура по которой можно определить, что это именно база (и никакого "набора инструментария" для этого не нужно).

Цитата:

...безопастность гарантирует лично WildGoblin...

Когда бред, произносимый от своего имени, перестаёт восприниматься окружающими, то возникает сильный соблазн нести бредить прикрываясь чужим именем?

WildGoblin (18:30 13-10-2013)
Цитата:

У Password Safe тоже есть сигнатура в заголовке базы и ничего плохого я в этом не вижу.

Значит он ничем не безопаснее KeePass в плане сложности доказательства того, что некий файл является базой PS. И уже под дурака не закосить.


Цитата:

Когда бред, произносимый от своего имени, перестаёт восприниматься окружающими, то возникает сильный соблазн нести бредить прикрываясь чужим именем?

Вы считаете что PS безопасней KS, разве нет? И всё ваше доказательство строилось на основании того, что в базе ks пишется число вхождений в базу (количество записей) в открытом виде. Разве это не так?

0utC4St

Цитата:

Значит он ничем не безопаснее KeePass в плане сложности доказательства того, что некий файл является базой PS.

О чём это? Разве кто-то прячет базу паролей или кто-то хочет доказать, что некий файл является базой?

Цитата:

И уже под дурака не закосить.

Так в базах KeePass и Password Safe сигнатуры в заголовке есть (а в базе KeePass так и вообще в открытом виде содержится инфа о содержимом базы - счётчик записей) - если хотите "косить под дурака", то используйте трукрипт.

Цитата:

Вы считаете что PS безопасней KS, разве нет?

Вам лучше знать, что я считаю - вы ведь уже не один раз отвечали тут за меня.

Цитата:

И всё ваше доказательство строилось на основании того, что в базе ks пишется число вхождений в базу (количество записей) в открытом виде.

Про какие доказательства вы говорите? В базе кипаса есть в открытом виде счётчик записей - я всего лишь хочу знать зачем это сделано!

Цитата:

Оно имеет какие-то принципиальные различия?

наверно должно быть различие даже в винде, если конечно прямыми руками портабельнорсть сделана.

mleo

Цитата:

...если конечно прямыми руками портабельнорсть сделана.

а смысл этой портабельности? Надеетесь что портабельность не позволит злой винде слить ваши пароли в МС?

Цитата:

т.е. обнаружение вашего "хитроумного тайника"

допустим определено местоположение, но в наличии объект отсутствует, что дальше делаем?


Цитата:

И видимо перейти с него на DiskCryptor

если все системы WIN.


Цитата:

влечет за собой "отсутствие отрицаемости"

вопрос "отрицаемости" весьма скользкий и зависит от квалификации противника, да наверно и от квалификации порльзователя так же.


Цитата:

И уже под дурака не закосить.

при использовании менеджера паролей под дурака закосить вообще не возможно. как и прежде, имхо, нужно убирать сабж , как и многое связанное с крипто и анонимностью, на шифрованный раздел в контейнер. даже если вынуждено придется открыть раздел, то поиск контейнера нетривиальная задача.

Добавлено:

Цитата:

а смысл этой портабельности?

для ответа на этот вопрос нужно знать модель угрозы.
lда и врядли лично меня можно назвать пользователем MC )))

mleo

Цитата:

допустим определено местоположение, но в наличии объект отсутствует...

Взаимоисключающие параграфы.

Цитата:

если все системы WIN.

Вы если нетрудно выделяйте того к кому обращаетесь или пост на который отвечаете.

Цитата:

вопрос "отрицаемости" весьма скользкий и зависит от квалификации противника, да наверно и от квалификации порльзователя так же.

Вот вы супер спец: прислали вам по почте два файла - первый 100% забит рандомом, а второй 100% неотличим от забитого рандомом - который из них контейнер?

Цитата:

...то поиск контейнера нетривиальная задача.

Контейнер найти можно, а вот доказать что это именно контейнер не так просто.

Цитата:

для ответа на этот вопрос нужно знать модель угрозы

Так про портабельность вы заговорили - вам и отвечать на вопрос.

WildGoblin

коды пишу руками. поленился. [ q] просто копировал, а [b] писать надо было..


Цитата:

Взаимоисключающие параграфы.

ну почему же. простой пример:контейнер не находится на этом ПК, но в папке Recent есть ссылки на открываемые документы.
ну а база KP, если мне не изменяет память, имеет расширение *.kdbx


Цитата:

прислали вам по почте два файла

тема посвещена все-таки не TC и автор слов про "отрицаемость" писал о базе паролей KP. почему вопрос "отрицаемости" я считаю скользким, потому что возможность "повесить лапшу"- использовать отрицаемость зависит от следущих факторов (как минимум):
1. уровень знаний ПК (как частный случай), интелект, способность к убеждению, общий уровень образования, достаточный уровень смелости и самоуверенности вешающего лапшу.
2. квалификация "аппонента" толи в пагонах, толи в наколках, его интуиция и опыт в "вышибании" истины (без всяких там анально-ректальных).
что и попытался сказать в предыдущем своем высказывании..
да, кстати, я ведь не пытаюсь с вами спорить, что контейнера ТС легко найти, зато на просторах инета предлагают и сканеры и методы взлома.


Цитата:

вам и отвечать на вопрос

когда на улице псмурно, вероятно нет смысла одевать дождевик, резиновые сапоги и брать с собой зонт, это я об уровни угрозы и избыточности защитных мер.
портабельный вариант - это как один из способов сокрытия (защиты) факта использования какого-либо ПО, но не только конечно для этого. насколько это поможет в поставленной задаче зависит от того насколько правильно сделан портабельный вариант ПО (оставляет ли оно следы использования).
если не мучать себя вопросом насколько грамотно сделано портабельное ПО, даже если оно сделано собственными руками, то на предыдущей странице предложил вариант размещения его в контейнере на стороннем носителе.
имхо, есть более "правильное" решение - использование виртуальных машин. вариант ограничивается ресурсами хоста.

mleo

Цитата:

ну почему же. простой пример:контейнер не находится на этом ПК, но в папке Recent есть ссылки на открываемые документы.   ну а база KP, если мне не изменяет память, имеет расширение *.kdbx

Тогда да - определено местоположение - того чего уже нет.

Цитата:

...автор слов про "отрицаемость" писал о базе паролей KP.

Понятие "отрицаемость" не может быть применимо к базе паролей KP так как архитектура базы KP спроектирована таким образом чтобы явно указывать на то, что файл является базой KP.

Цитата:

...на просторах инета предлагают и сканеры и методы взлома.

на просторах инета каких только чудо-средств не предлагают - только карман шире держи

Цитата:

имхо, есть более "правильное" решение...

IMHO самое правильное решение это FDE - остальное всё от лукавого и просто создаёт иллюзию безопасности!

Общался в теме:

https://sourceforge.net/p/keepass/discussion/329220/thread/82843978/

Ответ разработчика:


Цитата:

In case of a corruption, the repair functionality of KeePass 1.x shows that X of dwGroups groups and Y of dwEntries entries were loaded from the broken file.

KDBX files do not contain these total numbers in the unencrypted header (thus the repair functionality just tries to rescue as much data as possible from a corrupted file, without being able to show how many groups/entries there actually should be).

There is no separate documentation of the KDBX file format; just look at the KdbxFile*.cs files in the KeePass 2.x source code package (folder KeePassLib/Serialization).

Для чайников в инглише можно в двух словах смысл ответа разраба?

При повреждении восстановление функциональности KeePass 1.x показывает, что Х dwGroups групп и Y dwEntries записей были загружены из повреждённого файла.
 
KDBX файлы не содержат эти общие цифры в незашифрованном заголовке (таким образом, восстановление просто пытается спасти столько данных, сколько возможно из поврежденного файла, не имея возможности показать, как много групп / записей там на самом деле должно быть).
 
Нет отдельной документации формата KDBX; посмотрите на KdbxFile *.CS файлы в исходном коде KeePass 2.x пакета (папка KeePassLib /Serialization)..

Добавлено:
Netw0rk

alpost

Цитата:

посмотрите на KdbxFile *.CS файлы в исходном коде KeePass 2.x пакета (папка KeePassLib /Serialization)..

Там или устаревшая инфа или хз...
Вот, к примеру:

Код: private const string AttrCompressed = "Compressed"

Из файла KdbxFile.cs:

Код: private enum KdbxHeaderFieldID : byte
        {
            EndOfHeader = 0,
            Comment = 1,
            CipherID = 2,
            CompressionFlags = 3,
            MasterSeed = 4,
            TransformSeed = 5,
            TransformRounds = 6,
            EncryptionIV = 7,
            ProtectedStreamKey = 8,
            StreamStartBytes = 9,
            InnerRandomStreamID = 10
        }

makarei

Цитата:

Из файла KdbxFile.cs:

Так это ведь всё зашифрованные данные (не будет же MasterSeed в открытом виде лежать...)!? Хотя вот на своей картинке выше я показал расположение CompressionFlags и он не зашифрованный.

Цитата:

The header is always unencrypted...

Как-то совсем уж безнадёжно звучит.

Цитата:

 KeePass uses two signatures to identify files. The base signature is always `0x9AA2D903`. The second/sub signature varies. For example KeePassX uses the v3 sub signature `0xB54BFB65` and KeePass2 the v4 sub signature `0xB54BFB67`.

Это всё описано в KdbxFile.cs (и показано на моей картинке).

Добавлено:
В обчем - ну его в баню этот KeepAss.

У меня портабельный браузер Комодо Драгон и портабельный же KeePass2.
На системе с отключенным IE она пишет(если кликнуть по ссылке в учетной записи) что не найдено приложение(дословно не помню), или при установленном IE открывает его.
Как ей объяснить что нужно открывать портабельный Комодо Драгон?

5

Вроде так, - в поле URL вставляем следующее:


Код: cmd://{APPDIR}\..\pathtobrowser\firefox.exe "https://www.google.com/"

Цитата:

Байты выделенные жёлтым цветом постоянны в каждой базе - что за инфа в них?

а разработчика сабжа спрашивали?

papama

Цитата:

а разработчика сабжа спрашивали?

Чтобы ещё четыре года ждать ответ?

Цитата:

Чтобы ещё четыре года ждать ответ?

ну, лучше поздно, чем никогда.

Если действительно захочется от разработчика что-то узнать, то узнате. В данном случае гора к Магомету не придет.

makarei, если бы WildGoblin что-то действительно хотел...

Цитата:

makarei, если бы WildGoblin что-то действительно хотел...

т.е. его вопросы незначительны?