Keepass-Datenbank in Dropbox gestohlen

[Rosenduft]

Szenario

In meinem Dropbox-Konto befindet sich eine Keepass-Datenbankdatei, die mit einem sicheren Passwort geschützt ist, das aus einer langen Kette von zusammenhangslosen Groß- und Kleinbuchstaben, sowie Ziffern besteht.

Einem Angreifer gelingt es, sich Zugriff zu meinem Dropbox-Konto zu verschaffen und klaut meine Keepass-Datenbank. Meiner Einschätzung nach wird er diese Datei nicht gewinnbringend nutzen können, da ihm das Passwort fehlt.

Meine Frage

Gibt es zu meiner Einschätzung Einwände? Wenn ja, ist Dropbox kein sicherer Ort für eine Keepass-Datenbakdatei, die mit einem sicheren Passwort geschützt ist?

Zusaztfrage für Profis

In einem PC-Magazin vernahm ich die Kunde, dass in einigen Jahrzehnten, wenn Quantenrechner existieren, verschlüsselte Dateien, die heute als unknackbar gelten, innerhalb weniger Minuten geknackt werden können. Was ist von dieser Einschätzung zu halten?

 

[L0g4n]

Hi,

kommt ganz darauf an, wie lang du dein Passworte gewählt hast, d.h. die entsprechende Entrope die aus der Länge resultiert. Dann kannst du relativ einfach ausrechnen, ob so eine Bruteforce Attacke zeitlich machbar ist.

 

[Smily]

Dropbox ist "egal", ob das Passwort lang genug ist, dass ist entscheidend!
Wenn dein Passwort als TXT auch in Dropbox lag, dann ist alles egal^^.

Was Quantencomputer können, das kann niemand sagen.

 

[rocketworm]

dass in einigen Jahrzehnten, wenn Quantenrechner existieren, verschlüsselte Dateien, die heute als unknackbar gelten, innerhalb weniger Minuten geknackt werden können. Was ist von dieser Einschätzung zu halten?

Da ist stark von aus zu gehen. Google hat da erste erfolge. Berechnungen die 10.000 Jahre benötigen haben sie in ~3 Minuten gelöst:
https://www.zeit.de/digital/datensc...uter-google-technik-fortschritt-supercomputer

Gemäß neueren Artikel von Google und IBM wurde das aber etwas relativiert. Mit einem optimierten Prozess würde die Berechnung auf gewöhnlichen Rechnern nicht 10.000 Jahre sondern nur 60 Stunden benötigen. Dennoch ist so ne Quantenbüchse um Welten schneller. https://www.golem.de/news/quantenco...google-sind-2-5-tage-bei-ibm-1910-144596.html

Aber mal von Quantencomputern abgesehen. Wenn dein Kennwort komplex und lang ist, bist du erstmal auf der Sicheren Seite. Ausser es taucht eine Schwachstelle in der von Keepass verwendeten Verschlüsselung auf.

Ergänzung (23. Dezember 2019)

Das ist aber alles nur Hypothetisch oder? Also deine Datenbank wurde noch nicht abgegriffen?

 

[xammu]

Quantencomputer sind die Hauptgefahr für asymmetrische Verfahren wie RSA. Symmetrische, wie das bei Keepass verwendete AES, sind da weniger in Gefahr. Und dort kann man einfach größere Schlüssel verwenden.

 

[Rosenduft]

Das ist aber alles nur Hypothetisch oder? Also deine Datenbank wurde noch nicht abgegriffen?

Nein, ich will nur die Katastrophenfälle beleuchten, bevor ich meine Datenbank ins Netz stelle.

 

[Marco01_809]

TL;DR: In der Tat ist man noch nicht sicher welche Probleme Quantencomputer alle lösen können, aber die bereits bekannten Algorithmen für Quantencomputer können deine KeePass-Datenbank nicht knacken.

Im Zusammenhang mit der Kryptographie ist bei Quantencomputer meistens von Shor's Algorithmus die Rede. Dieser kann die der asymmetrischen Kryptographie zugrunde liegenden mathematischen Probleme effizient lösen, wie z.B. den diskreten Logarithmus. Dadurch würden die meisten Kommunikationssysteme wie HTTPS unsicher werden.
Nicht genutzt werden kann er jedoch bei der symmetrischen Kryptographie, also wo das gleiche Passwort sowohl zum Ver- als auch Entschlüsseln genutzt wird. Es gibt aber einen weiteren Algorithmus, den von Grover, der einen 256-Bit Schlüssel mit nur 2^128 Versuchen bruteforcen kann. Dadurch hätte AES-256 nur noch die Sicherheit von AES-128. Das ist immer noch sehr sicher, nach aktuellem Kenntnisstand muss man sich hier keine Sorgen machen.

Quelle: https://security.stackexchange.com/a/116597

 

[onesworld]

Dropbox ist wahrscheinlich so gut oder schlecht für die Aufbewahrung der keypass-Datenbank geeignet, wie jeder andere Clouddienst auch. Je nach dem, wie man diesen absichert, so sicher sind die Daten darin. Ich nutze im allgemeinen Onedrive als Cloud und bilde mir ein, dass meine Dinge dort einiger Maßen sicher sind. Sowas wie persönliche Datenbanken allerdings habe ich auf meinem eigenen Server liegen. Das ist mir irgendwie noch sicherer, weil persönlicher. Zumindest ein Datenleck beim Clouddienst kann ich so ausschließen. Die Möglichkeit hat leider nur nicht jeder.

Wenn ein Quantencomputer in Zukunft ein sicheres Passwort (von mir aus für keypass) schnell ausrechnen oder bruten kann, dann haben wir ganz andere Probleme, denn dann braucht der Angreifer das Passwort für die keypass-Datenbank doch gar nicht. Dann werden direkt die gewünschten Accounts gehackt. Wofür sollte man sich den Umweg über keypass dann machen? (I know, es gibt auch dort Sicherungen)

Auf Nummer sicher geht man also eher, wenn man keypass auf einem Stick nutzt und zusätzlich bei den Accounts 2FA nutzt.

 

[leipziger1979]

Gibt es zu meiner Einschätzung Einwände? Wenn ja, ist Dropbox kein sicherer Ort für eine Keepass-Datenbakdatei, die mit einem sicheren Passwort geschützt ist?

Nein, ich will nur die Katastrophenfälle beleuchten, bevor ich meine Datenbank ins Netz stelle.

So etwas hat grundsätzlich nichts in der Cloud zu suchen!
Sowas hat am besten auf einem separaten physischen USB Stick, oder ähnlichem, zu liegen und muss abgetrennt vom Internet sein.

 

[Hayda Ministral]

Szenario
In meinem Dropbox-Konto befindet sich eine Keepass-Datenbankdatei, die mit einem sicheren Passwort geschützt ist, das aus einer langen Kette von zusammenhangslosen Groß- und Kleinbuchstaben, sowie Ziffern besteht.

Wieviele Zeichen hat das Passwort?

 

[Rosenduft]

Wieviele Zeichen hat das Passwort?

20 Zeichen.

Ergänzung (23. Dezember 2019)

So etwas hat grundsätzlich nichts in der Cloud zu suchen!
Sowas hat am besten auf einem separaten physischen USB Stick, oder ähnlichem, zu liegen und muss abgetrennt vom Internet sein.

Und warum nicht? Wenn ich das dazugehörige Generalpasswort sicher gestaltet habe, und nur ich es kenne, wo ist denn dann das Sicherheitsrisiko? Es ist schön, wenn du eine Gegenmeinung hast, nur solltest du diese dann begründen, da dadurch die Glaubwürdigkeit deiner Meinung signifikant erhöht wird.

 

[Helge01]

Es darf auch in Zukunft keine Sicherheitslücken im Algorithmus und in der Anwendung Keepass geben. Wenn man sieht, was selbst bei sicher geglaubter Software nach Jahren für Lücken gefunden werden, dann lässt man das lieber. Was einmal im Netz ist bleibt auch dort, selbst wenn du es gelöscht hast.

 

[Hayda Ministral]

{anderer Text von mir gelöscht nachdem ich drüber nachgedacht habe}
20 Stellen sollten im Moment eine ausreichend hohe Hürde darstellen.

 

[onesworld]

@Rosenduft
Hier kann man auch ohne viele Gründe eine andere Meinung haben, denn egal wie sicher ein Passwort ist: eine solche Datenbank online aufzubewahren ist ein weiterer Ansatzpunkt um an gewünschte Daten zu gelangen. Nur das alleine macht die Sache unsicherer. Nicht falsch verstehen, ich habe auch eine Kopie meiner keypass-Datenbank auf meinem Server liegen. Diese Tatsache macht meine Passwörter eben angreifbarer, als wäre dies nicht der Fall.

Du behältst Dir also ein 20stelliges Passwort mit Sonderzeichen, Groß-Kleinschreibung und Ziffern im Kopf?

Warum sollte er?

20 Zeichen.

zusammenhangslosen Groß- und Kleinbuchstaben, sowie Ziffern

 

[juro0n]

Wenn es dir um das Synchronisieren auf mehrere Geräte geht, kannst du dir auch mal Syncthing anschauen. Könnte eine Alternative zur Dropbox für dich sein.
Syncthing

 

[Hayda Ministral]

onesworld: ich hatte schon korrigiert während Du noch an der Antwort warst, hat sich überschnitten.
Mein Gedanke war der, dass man so ein Passwort aufschreiben muss. Wenn man es aufschreiben muss hat man einen weiteren Speicherort und der ist dann durch kein Passwort geschützt. Siehe Problem der Leute die sich ihre EC-PIN nicht merken können und sie sicherheitshalber auf die Karte oder auf einen Zettel in der Brieftasche schreiben :-)

 

[onesworld]

Ja, das stimmt, @Hayda Ministral - die Aufbewahrung eines solchen Passwortes ist das Problem dabei. Das Problem besteht bei sehr sicheren Passwörtern aber immer. Wenn ich sowieso Passwörter verwende, die ich mir irgendwie merken kann, dann brauche ich keypass nicht.

Man nutzt also keypass im Besten Fall mit einem Passwort, was man (nur selbst) reproduzieren kann. Hier gibt es viele Möglichkeiten, wirklich ein Passwort zu erstellen, welches zuverlässig sicher ist und nicht notiert werden muss.

 

[Hayda Ministral]

denkbare Alternative: Einen Passwortmanager wie Keepass auf dem Smartphone. Dort eine db die nur das Passwort enthält und mit biometrischem Sensor (bei mir Fingerabdruck) entsperrt wird.

 

[carnival55]

2 Dinge darf man in diesem Zusammenhang nicht durcheinander werfen:

• Sicherheit des Algorithmus, wie z.B. AES256. Ohne Quantenrechner braucht es ca. 3 x 10^50 Jahre zum brute forcen (Quelle: -Link-) (zum Vergleich, die Sonne wird in ca. 5 x 10^9 Jahren zum roten Riesen)
• Sicherheit von Passwörtern. Diese misst man typischerweise in "Entropie". Bei 20 Zeichen und einigermaßen zufälliger Verteilung, sollte die Entropie (-Link-) hoch genug sein, um das PW sicher zu machen. Um das mal zu testen, kann ich jedem nur hashcat empfehlen...

 

[Informant777]

Szenario

In meinem Dropbox-Konto befindet sich eine Keepass-Datenbankdatei, die mit einem sicheren Passwort geschützt ist, das aus einer langen Kette von zusammenhangslosen Groß- und Kleinbuchstaben, sowie Ziffern besteht.

Einem Angreifer gelingt es, sich Zugriff zu meinem Dropbox-Konto zu verschaffen und klaut meine Keepass-Datenbank. Meiner Einschätzung nach wird er diese Datei nicht gewinnbringend nutzen können, da ihm das Passwort fehlt.

Meine Frage

Gibt es zu meiner Einschätzung Einwände? Wenn ja, ist Dropbox kein sicherer Ort für eine Keepass-Datenbakdatei, die mit einem sicheren Passwort geschützt ist?

Zusaztfrage für Profis

In einem PC-Magazin vernahm ich die Kunde, dass in einigen Jahrzehnten, wenn Quantenrechner existieren, verschlüsselte Dateien, die heute als unknackbar gelten, innerhalb weniger Minuten geknackt werden können. Was ist von dieser Einschätzung zu halten?

Du kannst ja jetzt nach und nach anfangen die Passwörter zu ersetzen. Bis die Quantencomputer für jedermann bezahbar sind, hast du überall neue Passwörter. Ich weiß, ist mühsam aber machbar.

Wir dürfen auch nicht vergessen, was mit Quantencomputer entschlüsselt werden kann, kann auch mit Quantencomputer verschlüsselt werden. Ich denke in der Zukunft werden große Unternehmen wie Google, Facebook usw. Ihre Datenbanken auch mit Quantencomputern verschlüsseln. Dann ist wieder alles ausgeglichen wie jetzt.