» KeePass Password Safe

Цитата:

пожалуй воздержусь от дискуссий. У меня координально иной взгляд на безопасность.

Если так, то назовите мне способ взломать файл зашифрованный AES 256 bit, с паролем в 25 символов и ключевым файлом? Мне такие способы неизвестны. Насколько я знаю, даже квантовый компьютер на такое не способен. Лично я держу базы в облаках, а вот ключевые файлы только локально. Причем буду их постоянно менять. Думаю, раза в месяц будет достаточно.
Самое интересное для меня(без тени сарказма, это серьезно), каков ваш взгляд на безопасность? Полное отсутствие доступа к сети?
Лично меня больше всего беспокоит такая ситуация. Если моя система(операционная) скомпрометирована, и я открываю на такой системе базу, то любая защита, каким угодно паролем и ключом будет бесполезна, ведь к открытой базе есть полный доступ. Как исключить компрометацию системы я не знаю. Если знаете, поделитесь.

Gedeon300w

Цитата:

Причем буду их постоянно менять. Думаю, раза в месяц будет достаточно.

А зачем их менять если "такие способы [взлома] неизвестны" ?


Цитата:

KeePass с плагином умеет подключаться без плясок с бубном к большинству облаков.

Бэкап хранить и без плагина можно и почти без бубнов. Файл - синхронизировать по ссылке. KeePassX не умеет так ?

И простите несведующего : что мешает запустить KeePass на MAcOs как вот здесь написано ?

Цитата:

И простите несведующего : что мешает запустить KeePass на MAcOs как вот здесь написано ?

Пробовал, если вы о Mono. С первого раза даже получилось, а вот начиная со второго, приложение стало падать при запуске с неизвестной ошибке. Неизвестной, потому что заместо русского или английского языка какие-то крякозябры написаны. Вот что мешает. А если вы и про Wine, то это будет явно кривая работа. Нужен полный функционал. Wine пока далек до такого. Вот пруф - https://appdb.winehq.org/objectManager.php?sClass=version&iId=19899 . Рейтинг работоспособности программы в Wine - Garbage(то есть мусор), о многом говорит. Последний тестер на wine версии 1.9.8 даже установить ее не смог.

Цитата:

А зачем их менять если "такие способы [взлома] неизвестны" ?

Это не для взлома, а на случай если кто-то "случайно" узнает мой пароль и ключевой файл одновременно. Ключевой файл ведь легко запомнить.

Gedeon300w
Мой товарищ хранил ключевой файл на флешке, чтобы так сказать отдельно от базы. Флешка долго не прожила, неделю искал по интернету от самый файл (он plain text был, текст книги какой-то). Да вот беда : текст как-бы тот, да то-ли пробел где-то лишний, то-ли ещё что, текст тот, да файл не тот. Перебрал пару десятков, нашёл таки.
Поглядел я тогда на него и растиражировал свой ключевой файл по нескольким папкам, да в облаки. И хотя он там в папках смотрится вполне естественно, словно там и должен быть, всё-же порой сомнения меня не покидают : может ли кто-нибудь догадаться что это именно он ? Откуда, мол, у меня вдруг такая любовь к произведениям Чехова, к примеру ?
Чисто гипотетический вопрос : что лучше в качестве такого файла использовать (если забыть про наборы символов, повторяющиеся знаки и прочие энтропии) ?

Цитата:

Чисто гипотетический вопрос : что лучше в качестве такого файла использовать (если забыть про наборы символов, повторяющиеся знаки и прочие энтропии) ?

Я использую ключевой файл, который есть в интернете(плюс естественно, он у меня и локально хранится в разных местах. Причем не буду говорить что это, но это у меня легко теряется в списке кучи файлов подобной тематики, поэтому догадаться, какой из них настоящий, крайне тяжело. Особенно, если их постоянно менять. Раз в месяц хотя бы. Причем можно даже по кругу. Все равно, если человек не знает пароль, а файлов, могущих быть ключевыми хотя бы штук 30, то это уже конец для него. Даже квантовый компьютер не поможет подобрать пароль длиной около 4 Кбайт.

Цитата:

Чисто гипотетический вопрос : что лучше в качестве такого файла использовать

Логотип Руборда например.
Или собственный аватар на каком-нибудь ресурсе, не собирающемся помирать в ближайшие годы.
Как вариант - какая-нибудь программка. Тот-же самый keepass.exe определённой версии.

xChe

Цитата:

Логотип Руборда например.

Вдруг на пасху новый год изменится

Цитата:

Как вариант - какая-нибудь программка. Тот-же самый keepass.exe определённой версии.

Кстати может поэтому порой встречаются просьбы дать ссылку на какой-нибудь Firefox версии 1.03 или оперу 2.12 ? Потерял автор файл и ищет ?

KeePass 2.34
Changes from 2.33 to 2.34:
New Features:
The version information file (which the optional update check downloads to see if there exists a newer version) is now digitally signed (using RSA-4096 / SHA-512); furthermore, it is downloaded over HTTPS.
Added option 'Lock workspace when minimizing main window to tray'.
Added option 'Esc minimizes to tray instead of locking the workspace'.
Added Ctrl+Q shortcut for closing KeePass (as alternative to Alt+F4).
Added UIFlags bit for disabling the 'Check for Updates' menu item.
The installers (regular and MSI) now create an empty 'Plugins' folder in the application directory, and the portable package now also contains such a folder.
Plugins: added support for digitally signed version information files.
Improvements:
Plugins are now loaded only directly from the application directory and from any subdirectory of the 'Plugins' folder in the application directory.
Improved startup performance (by filtering plugin candidates).
When closing a database, KeePass now searches and deletes any temporary files that may have been created and forgotten by MSHTML when printing failed.
CHM help file: improved high DPI support.
Various code optimizations.
Minor other improvements.
Bugfixes:
(None).

Цитата:

The version information file (which the optional update check downloads to see if there exists a newer version) is now digitally signed (using RSA-4096 / SHA-512);

Ошибся по поводу установщика. Он давно уже подписан цифровой сигнатурой и его хэш суммы вычисляются. Хороший выбор алгоритма хэша - SHA-512, но к сожалению версия не та. Судя по всему вычисление хэша производится SHA-1 и SHA-256(SHA-2), а они оба имеет уязвимости ввиду использования одного алгоритма в основе. А вот SHA-3 уязвимостей не имеет, потому что там совершенно иной алгоритм(губка) используется.

В связи с этим, я сам выкачал последнюю версию портативки(2.34), сравнил хэш сумму SHA-256(SHA-2) и после того, как убедился, что каждый символ сходится вычислил все остальные суммы для верности(SHA3(начиная с SHA3-224 и заканчивая SHA3-512), Whirlpool, RIPEMD-320, GOST и выложил текстовый файл с хэш суммами в облако. Так что если кому интересно не подменили ли файл, заглядывайте - http://www.mediafire.com/download/fl8imfe7cshfk76/Hash+sum%27s+KeePass.txt

Коллеги, посоветуйте, как лучше сделать:
Порой захожу на сайт, выбираю логин и пароль из KeePass автонабором или же копипастом.
Только не всегда кнопка "Войти" на сайте доступна.
Добавляю в конец логина пробел, потом бэкспейсом его удаляю, аналогично поступаю с паролем, после этого кнопка входа становится активной и я захожу.
Встречалась ли вам такая засада, и можно ли как-то это дело победить через настройки автонабора в KeePass?
У меня добавление в стандартную строку автонабора: {USERNAME}{TAB}{PASSWORD}{ENTER} параметра {SPACE} между первым и вторым параметрами ничего не решает.

simbasamara
Это на отдельных сайтах такое только ? Может там защита какая-нибудь от автонаборов ? Добавление параметра тоже ничего не даст, если по простому Ctrl-V пароля или логина кнопка всё ещё неактивна.

Цитата:

Это на отдельных сайтах такое только ?

Ersatz Coronerr, на некоторых, типа Сервис-Гида Мегафона. Я, в общем-то, не парюсь особенно на эту тему. Просто, как говорится, непорядочек-с...

simbasamara
Завёл липовую запись в KeePass для мегафона, зашёл сюда : https://lk.megafon.ru/login/ Автонабор по Ctrl-Alt-A и с последовательностью {UserName}{TAB}{Password} работает (кнопка становится активной). Номер телефона в формате xxx-xxx-xx-xx Настроек диковинных в KeePass нет. Версия 2.34.

Пробовал на Firefox 47, K-Meleon 75, хрома нет, но на SlimJet тоже "залогинился" успешно. На каком Вы браузере и версия Win какая?

Цитата:

Номер телефона в формате xxx-xxx-xx-xx Настроек диковинных в KeePass нет. Версия 2.34.

Ersatz Coronerr, стоит дома Вин 10, браузер PaleMoon (типа FireFox). На работе Хром и Вин 7. Автонабор заполняет поля, активирует кнопку Войти. А если делать выбор логина из списка, через keepass http - поле ввода телефона остаётся красным и проставление пробела и его последующее удаление активирует кнопку входа.

simbasamara

Цитата:

А если делать выбор логина из списка

Так и делал поначалу. У меня одна из записей подходила (окно целевое неправильно указано было). Выбирал логин именно из списка.
Попробую ещё раз вечером, странно как-то, если у Вас на 2-х абсолютно разных системах не работает, а меня вроде нормально всё... Может я чего не так сделал. Отпишусь. На всякий случай : firewall или прочие касперские у Вас имеются ?

Цитата:

На всякий случай : firewall или прочие касперские у Вас имеются ?

Ersatz Coronerr, конечно имеются. На обоих компьютерах стоит ESET Internet Security.

simbasamara
Ну по правде говоря "конечно" оно не для всех "конечно" Многие простым Firewall-ом обходятся и периодическим сканированием чем-нибудь портативным.
Я спросил потому что это тоже может быть влияет. Но совершенно случайно у меня оно тоже установлено и проверял с ним, значит мешать работе не должно.

У меня Win7-32, ESET, Firefox. Всё практически то же самое. Сравните настройки с моими, есть ли разница ?
[more]





[/more]
Если и тут разницы никакой - то можно попробовать портативную версию установить для пробы, например http://portableapps.com/apps/internet/firefox_portable. Если уж и там работать не будет - не знаю что и предположить.



Добавлено:
Есть ещё одна мысля, раньше помогала иногда на некоторых сайтах.
Распихать по последовательностям автонабора в начале {DELAY=X} для пауз между нажатиями клавиш и {DELAY X} между логинами, паролями и энтер (если он есть). Было что на некоторых сайтах или сам сайт не успевал ничего понять, то ли защита от автонабора (как пишут кое-где). {DELAY=X} можно 100-200 мсек, а {DELAY X} 1000-2000 мсек например.

Ersatz Coronerr, прощелкал по своим настройкам. Во вкладке "Дополнительно" только одна первыя галочка стояла в свойствах автонабора. Проставил как на картинке. По остальным вкладкам тоже пробежался, сравнил - всё один в один. Автонабор активирует кнопку, вставка пароля -нет. Единственно, у меня x64 Винда и на работе и дома стоит. Может быть из-за рязрядности такое дело. Покумекаю ещё, однако, без фанатизма.

Что случилось с программой? Файл базы занимал 392 кб. Был сохранен 6.6.2016.
После этого обновил KeePass до версии 2.34.
Сегодня добавил еще одну запись, сохранил — и файл базы стал занимать 566 кб.
Неужели база так "распухла" от пароля в 30 символов? Тогда бы она уже давно весила бы под гигабайт.
Или это обновление самого KeePass так повлияло?

solstice
Нет, не обновление. У меня по крайней мере она не растёт.
Внутренние свои дела базы скорее всего. Помимо записей и история и информация об удалённых объектах, да и настройки базы (не программы) в самой базе лежат. Не оптимизировалось что-нибудь, там же не в plain text всё хранится.

Я не спец, но мне кажется там такие-же дела как и с обычной базой данных бывают. Размер её нелинейно зависит от записываемой информации, да ещё небось кратен какой-нибудь единице. Вот и выходит, что записал 10 байт, а она вдруг увеличилась на 4096 байт. Типа того как у Firefox почти пустой файл places.sqlite-shm занимает 32768, а при наполнении размер увеличивается до 524704 и больше.

Ersatz Coronerr
Спасибо за наиподробнейшее разъяснение, я уж подумал, что у меня вирус

solstice, раз обратили внимание — понаблюдайте со временем : база должна при добавлении записей должна скачками расти.
А вообще интересно : у кого какой размер она имеет ? У меня 584 записи, на них 239 значков + 3 или 4 файла текстовых размером в пару килобайт. Лишнего текста в комментариях не очень много, по десятку строчек максимум. Количество версий в истории 15. Весит 1.3 Мб.
Слышал что у некоторых по несколько десятков мегабайт занимает, но это наверняка из-за вложений.

А вообще не один раз порывался несколько баз завести, типа одна суперсекретная плюс пара безпарольных вообще, лишь на ключевом файле, для всяких сайтов, где порой проще вновь зарегистрироваться. KeePass конечно откроет их в одном окне, а вот переносить записи - увы никак...

А в чём различия KeePassX от KeePass?

Цитата:

раз обратили внимание — понаблюдайте со временем : база должна при добавлении записей должна скачками расти.

Вот странно: вчера была 392,39 kb, потом 566,09 kb. Пару часов назад добавил еще одну запись... и база съежилась до 394,36 kb. Видимо, и впрямь было какое-то обслуживание.


Цитата:

А вообще интересно : у кого какой размер она имеет ?

У меня 394 кб, 496 записей, кастомных значков 304, три-четыре вложения по 10 кб примерно.

solstice

Цитата:

У меня 394 кб

Это с сжатием ? Меньше чем у меня в 2 раза. Хотя пока размер нормальный, порядка единиц мегабайт открывается она быстро. Так что пусть сама себя обслуживает.
Повторяющиеся значки убрать бы, да некоторые записи без них тогда останутся...

Цитата:

Это с сжатием ?

Да, несжатая весит 2,86 Мб.

Подскажите, пожалуйста, как настроить автонабор в IE11???

Sisin
Настройка такая-же как и для других браузеров. Разве что галочку поставить
[more]

[/more]

Цитата:

Настройка такая-же как и для других браузеров.

Я не могу понять, что делать со скриптом из шапки. В другие браузеры я плагины установил.
Если не тяжело объяснить, буду благодарен.