» KeePass Password Safe

lexermak2009
Тут есть русский для 2.25+
_http://keepass.info/translations.html

Впервые запустил сабж - очень понравилась функция выставления огромного числа шифрований пароля для замедления атак "тупого" перебора.
1) Реализована ли подобная функция в других каких-нибудь программах?
2) Есть ли хорошие аналоги для работы с важными документами под винду и iOS (необходимо надежное шифрование, так как аппарат джейленый), чтобы сравнить функционал и выбрать оптимальную?
3) Стоит ли генерировать пароли встроенным генератором, или существуют более надежные генераторы псевдослучайных чисел?
4) MiniKeyPass создана создателями KeyPass?
5) Если доступ к базе настроен через мастер-пароль + файл-ключ, то имея в распоряжении только мастер-пароль (или файл-ключ) взломать базу легче, чем не имея ничего?
6) Какую минимальную надежность мастер-пароля стоит использовать (в битах)?

franzykman

Цитата:

1) Реализована ли подобная функция в других каких-нибудь программах?

Реализована

Цитата:

2) Есть ли хорошие аналоги для работы с важными документами под винду и iOS (необходимо надежное шифрование, так как аппарат джейленый), чтобы сравнить функционал и выбрать оптимальную?

Под винду, для иос.

Цитата:

3) Стоит ли генерировать пароли встроенным генератором, или существуют более надежные генераторы псевдослучайных чисел?

Можно сгенерировать встроенным генератором и добавить несколько знаков от себя - IMHO самый лучший вариант.

че-то запутался ... .kdbx - это файл базы паролей, а ключевой файл что из себя представляет, какое у него расширение?

smersh2012
.key

Цитата:

.key

а почему у меня нет файлика с такми расширением?

еще момент ... по адресу c:\Users\имя пользователя\AppData\Local\Dominik_Reichl\ лежат две папки с названиями KeePass.exe_StrongName_ и далее длинный набор англ.букв и цифр, в каждой из этих папок еще по паре папок с названиями 2.24.0.31455 и 2.25.0.18948 (это, видимо, номера релизов), в них файлы user.config. Спрашивается, какого рожна портативный сабж 2.25 хранит непонятно где какие-то настройки? Выходит прога не портативная, т.е. для переноса помимо каталога с сабжем на флешку нужно еще вот эти настройки переносить?

smersh2012
Для программы непринципиально какое расширение используется как для базы паролей, так и для файла ключа (файл-ключ созданный самой программой не рекомендуется использовать, т.к. его легко найти на компе). Правильнее будет использовать нестандартные имена/расширения, нежели KeePassBase.kdbx и PassKey.key.

savant_a (06:15 05-02-2014)
Цитата:

Правильнее будет использовать нестандартные имена/расширения, нежели KeePassBase.kdbx и PassKey.key.

Сколько пользуюсь этой программой, первый раз об этом узнала. Т.е., если изменить и имя, и расширение программа будет видеть файлы?

savant_a

Цитата:

Правильнее будет использовать нестандартные имена/расширения

1) Можно ли как-нибудь склеить ключевой файл с музыкой, например, но чтобы сабж его определял?
2) Еще задался таким вопросом: для генерации стойкого ключа не лучше ли использовать программу с закрытыми исходниками, чтобы злоумышленники не знали даже примерный алгоритм?

1Nata
Ну, а программе какая разница? Только когда будете открывать базу с паролями (Файл->Открыть->Открыть файл...), в окне выбора расширения поменяете пункт "Файлы KeePass KDBX (*.kdbx) на Все файлы (*.*).
Делать привязку к расширению файла базы паролей по расширению, что бы можно было открывать базу по двойному клику - не совсем умно (опять же, из соображений безопасности).
Как-то так, в общем.
franzykman
1. Зачем вообще использовать в качестве ключа файл, созданный с помощью программы? Возьмете любой другой, "изуродуйте" его всеми известными вам способами (архивирование с шифрованием, разрезание на части, редактирование в блокноте), затем, если нужно, подгоните о размеру как вам хочется, вот и ключевой файл. Программе все-равно, что вы ей подсунете.
Только храните копии базы и файла-ключа в надежном месте, иначе в случае краха или еще чего-либо, все пароли пойдут коту под хвост.
2. Придумайте свой пароль.
franzykman

Цитата:

не лучше ли использовать программу с закрытыми исходниками, чтобы злоумышленники не знали даже примерный алгоритм?

Тогда его будут знать авторы программы. Меня генератор KP полностью устраивает.
Для защиты информации (пароли, шифрование, анонимность и т.д.) предпочитаю открытые проекты.

Цитата:

не лучше ли использовать программу с закрытыми исходниками, чтобы злоумышленники не знали даже примерный алгоритм?

Не лучше.
В них дурацкие плагины автозаполнения для браузера, у меня сильно грузят процессор и часто не работают при обновлении браузера.

а что будет безопаснее использовать : KeePass 2.x has an option (in 'Tools' -> 'Options' -> tab 'Security') to show the master key dialog on a secure desktop, similar to Windows' User Account Control (UAC). Almost no keylogger works on a secure desktop.

Или использовать onscreen keyboard 2 plug in, который не работает в режиме secure desktop. и пользоваться при наборе master key?

savant_a

Цитата:

2. Придумайте свой пароль.

Он будет менее криптостойким, чем сгенерированный.

Цитата:

Возьмете любой другой, "изуродуйте" его всеми известными вам способами

А зачем уродовать?
1) Если я возьму какую-нибудь музыку или картинку, от этого защита уменьшится?
2) Размер файла-ключа тоже играет роль?

Цитата:

Для защиты информации (пароли, шифрование, анонимность и т.д.) предпочитаю открытые проекты.

Тут палка о двух концах, но все таки в большей степени я согласен с Вами.

5

Цитата:

В них дурацкие плагины автозаполнения для браузера,

Этот функционал навел на меня мысли о возможном фишинге при использовании автозаполнителей, особенно они популярны в мобильниках.

Цитата:

Только храните копии базы и файла-ключа в надежном месте

savant_a, в том-то и дело, что у меня нет никакого файла ключа, а только файл базы данных с расширением .kdbx ... не могу понять почему его нет, если все пишут, что таковой должен быть?!


Добавлено:
хотелось бы, чтобы кто-либо еще ответил на вопрос выше

Цитата:

по адресу c:\Users\имя пользователя\AppData\Local\Dominik_Reichl\ лежат две папки с названиями KeePass.exe_StrongName_ и далее длинный набор англ.букв и цифр, в каждой из этих папок еще по паре папок с названиями 2.24.0.31455 и 2.25.0.18948 (это, видимо, номера релизов), в них файлы user.config. Спрашивается, какого рожна портативный сабж 2.25 хранит непонятно где какие-то настройки? Выходит прога не портативная, т.е. для переноса помимо каталога с сабжем на флешку нужно еще вот эти настройки переносить?

Цитата:

не лучше ли использовать программу с закрытыми исходниками, чтобы злоумышленники не знали даже примерный алгоритм?

Нет не лучше, с таких вот "закрытых" программ не составит особого труда выдернуть алго шифрования, а дальше "по ситуации"


Цитата:

1) Если я возьму какую-нибудь музыку или картинку, от этого защита уменьшится?

Если это ваша любимая мелодия или какая-то известная картинка, которую с точностью до байта можно найти в интернете, то теоретически уменьшится, с математической точки зрения криптоалгоритма - не изменится.


Цитата:

2) Размер файла-ключа тоже играет роль?

На что ? На криптостойкость ? - Нет (имхо, исходники не изучал детально).


Цитата:

в том-то и дело, что у меня нет никакого файла ключа

Ну нет, так нет. Это как дополнительная фича, при создании базы ты мог поставить отметку "Use master password and key file", но не поставил.
А теперь ищешь то, чего нет ?

Почитал бы хелп что ли http://keepass.info/help/base/keys.html

кто-нибудь пользуется plug ins - keeform and keeFox? Поделитесь отзывами пжс.
вот еще из этой серии PassIFox; ChromeIPass

DimitarSerg

Цитата:

Если это ваша любимая мелодия или какая-то известная картинка, которую с точностью до байта можно найти в интернете

Переконвертирую туда-сюда пару раз, думаю, будет достаточно

Как думаете, каждый бит файла-ключа является одним из аргументов функции расшифровки или не обязательно?

вот что по plug in написано:
The plugins offered on this page are developed by different, independent authors. The KeePass team cannot check all plugins for bugs and malicious code before they are distributed here.

А как узнать разработчики KeePass в дальнейшем проверяют эти плагины? Или предлагают просто их использовать на свой страх и риск, проверяя кто разбирается самостоятельно?

Цитата:

А как узнать разработчики KeePass в дальнейшем проверяют эти плагины?

Вот-вот, мне очень понравился MiniKeePass, но насколько можно ей доверять...

Цитата:

Если это ваша любимая мелодия или какая-то известная картинка, которую с точностью до байта можно найти в интернете

Где-то читал советы прямо так и делать... Смысл в том, что если картинку или файл легко найти в интернетах, то можно не заботится о сохранности такого ключа, его всегда можно выкачать из сети. Типа - лучше всего спрятано то, что лежит у всех на виду.

xChe 15:49 06-02-2014

Цитата:

Где-то читал советы прямо так и делать... Смысл в том, что если картинку или файл легко найти в интернетах, то можно не заботится о сохранности такого ключа, его всегда можно выкачать из сети.

savant_a 12:08 05-02-2014

Цитата:

озьмете любой другой, "изуродуйте" его всеми известными вам способами (архивирование с шифрованием, разрезание на части, редактирование в блокноте), затем,  если нужно, подгоните о размеру как вам хочется, вот и ключевой файл.

DimitarSerg 21:15 05-02-2014

Цитата:

Если это ваша любимая мелодия или какая-то известная картинка, которую с точностью до байта можно найти в интернете, то теоретически уменьшится, с математической точки зрения криптоалгоритма - не изменится.

Использовать в качестве ключевого файла какой-то очень распространённый файл - это, по-моему, очень здравая мысль, хотя и лежит на поверхности.

Но почему же тогда не менее уважаемые спецы считают по-другому? Очень хотелось бы пояснений, пусть совсем коротких, надо ли "уродовать" файлы или нет?

жму здесь http://biblprog.org.ua/ua/login/ Ctrl+Alt+A пароль не вводит

Если я жму http://clip2net.com/s/6LJm2x то логин и пароль вводить

что за глюки?
http://clip2net.com/s/6LKpXW

Так и не нашел ответа на форуме, поэтому спрашиваю! Первый. Почету-то не работает автонабор по сочетанию Ctrl+Alt+A в браузере, в программах нигде. Через Ctrl+V все набирает , а вот Ctrl+Alt+A нет. Может кто сталкивался с такой проблемой? ОС windows 7, keepass 2.25.
Второй. Есть ли для keepass такой плагин с помощью которого, после ввода логина и пароля, которых нет в базе , было бы предложено сохранить их в базу?

yuraonline
Цитата:

Есть ли для keepass такой плагин с помощью которого, после ввода логина и пароля, которых нет в базе , было бы предложено сохранить их в базу?

Смотря каким браузером пользуешься, для firefox есть плагин keefox, после ввода нового логина и пароля спрашивает сохранить куда, и тд.

Цитата:

Смотря каким браузером пользуешься, для firefox есть плагин keefox, после ввода нового логина и пароля спрашивает сохранить куда, и тд.

Использую Chrome.

yuraonline
Для Chrome - ChromeIPass - http://keepass.info/plugins.html#chromeipass
Но как работает икс его знает. Не использую Chrome.

yuraonline

Цитата:

Второй. Есть ли для keepass такой плагин с помощью которого, после ввода логина и пароля, которых нет в базе , было бы предложено сохранить их в базу?  

Плагины - это зло.
Не один мной опробованный не работал с программой корректно.

я этот же вопрос подымаю сейчас на форуме разработчиков, насколько они безопасны и тестируются для использования сообществом. Создал тему, но пока ответов там в ней нет

krserv
В самом низу страницы модулей вроде бы черным по белому написано:

Цитата:

The plugins offered on this page are developed by different, independent authors. The KeePass team cannot check all plugins for bugs and malicious code before they are distributed here.

Цитата:

before they are distributed here.

And what will be after distributed them?

Т.е меня интересует есть ли модули, которые в дальнейшем проверяются и рекомендуются как безопасные для присоединения. Если таковых нет, то один подход, если есть то другой.

Я в настоящее время создаю исследовательскую группу по изучению безопасности утилит OpenSC при работе с usb eToken и работе eToken с keepass and Truecrypt. Поэтому эти вопросы меня будут интересовать очень глубоко.

Планирую установить сотрудничество с OpenSC, Keepass, Truecrypt (возможно еще другого Open Licence криптопровайдера, если найдется надежный и популярный), a также со всеми авторами Plugins - которые будут предлагаться к работе с любыми eTokens -Safenet; Aladdin - Pro; Java; и с Linux OS версиями, которые создаются для безопасной работы в Интернете.

Т.е заниматься всеми вопросами, которые связаны с идентификацией, аутентификацией, и анонимностью работы в интернете под Open Licence Software.

В глобальном мире появляются опасные тенденции, и от них нужно защищаться коллективно. По настоящему защищая свое право на личную жизнь, персональную и коммерческую информацию в свободном демократическом обществе.