Keepass / KeepassXC Schlüsseldatei ohne PW

[Iwwazwersch]

Überall liest man, dass man das Master Passwort verwenden soll und dann ggf. zusätzlichen Schutz durch z.B. die Schlüsseldatei erhält.

Aber wie ist es mit der Sicherheit, wenn man kein Master-Passwort verwendet und nur die Schlüsseldatei als "Passwort" hat. Hat dies Nachteile, habe schonmal ein wenig recherchiert aber keiner hat das bisher besprochen.

 

[MadMax_87]

Stell dir die Schlüsseldatei wie den "Passwort-Notiz"-Zettel auf deinem Schreibtisch vor...
Solange jmd darauf Zugriff hat, hat er damit auch Zugang zu der KeePass-Datenbank..

Das Passwort ist eventuell nur in deinem Kopf, das Keefile auf deinem Rechner und im Verhältnis kommt man wohl einfacher an die Datei auf deinem Rechner als "In" deinen Kopf...
Das Keefile dient als weiterer Authentifizierungs-Faktor, zusätzlich zum Passwort.

 

[Baxxter]

Also ich hatte man vor Jahren testweise eine Schlüsseldatei auf einer SD-Karte gespeichert, ohne diese genutzt zu haben.
Nach einem Jahr war die SD-Karte leer und somit auch die Schlüsseldatei weg.

Das ist jetzt zwar kein praxisnahes Vorgehen, da man einen PW-Manager ja regelmäßig nutzt, aber zeigt eben auch, dass solche Speichermedien für solch wichtige Daten für die Dauerarchivierung ungeeignet sind.

 

[ChristianSL]

Es hat den offensichtlichen Nachteil, dass jmd, der die Datei besitzt den Passwortmanager entsperren kann.
Die Datei sollte außerdem auch nicht auf dem gleichen Gerät liegen, was beim Smartphone schon etwas komplizierter wird.
Zudem braucht man auch ein Backup.
Am "sichersten" ist es Passwort, Schlüsseldatei und Biometrie in Kombination zu verwenden. Da musst du dich aber immer fragen was genau das Bedrohungsszenario ist.

 

[Iwwazwersch]

Ok, also schränkt es die Sicherheit der eigentlichen Passwort Datei nicht ein. Das war die Frage welche mich beschäftigt hat.

Wie man dann mit der Schlüsseldatei umgeht ist dann natürlich was anderes.

 

[Conqi]

Wie man dann mit der Schlüsseldatei umgeht ist dann natürlich was anderes.

Das Problem ist halt, dass du beide Dateien auf einem Gerät brauchst, um die Datenbank zu öffnen. Das heißt, wer die Datenbank geklaut kriegt, kriegt vermutlich auch gleich die Schlüsseldatei. Aber das hast du ja bereits selbst festgestellt.

Die Verschlüsselung der Passwortdatenbank an sich ist aber in der Tat nicht beeinträchtigt. Das ist unabhängig davon, ob man ein Passwort, eine Datei, Biometrie oder sonst was nimmt.

 

[Groug]

Ich benutze zum entsperren einen Nirtokey.

 

[SI Sun]

Eine Schlüsseldatei existiert materiell, da der Schlüssel in Form einer Datei auf einer Festplatte gespeichert ist.
Materielle Dinge können nicht nur geklaut oder verloren, sondern auch kaputt gehen.
Wenn man einen materiellen Schlüssel in Form eines Keyfiles erzeugt, sollte man Ersatzschlüssel und sichere oder komplizierte Orte haben.
Ein gutes Passwort existiert dagegen nur in deinem Kopf und solange man es nicht vergisst, hat niemand Zugriff darauf. Je komplizierter es ist, desto länger braucht man mit einer Brute Force Attacke. (>1.000.000 Jahre sind sicher: https://checkdeinpasswort.de/)

Tipp:
Erzeuge beispielsweise 1.000 verschiedene Keyfiles mit verschiedenen Namen.
Speichere diese 1.000 Keyfiles auf bspw. deiner Festplatte, einem USB-Stick und einer dritten Festplatte.
Verbinde mehr als nur eine Keyile mit deiner Datenbank, damit man sogar im Besitz dieser Keyfile nicht weiß, welche Kombination richtig ist.

Stelle es dir wie ein Zahlenschloss vor:
Anstatt Zahlen von 0-9, hast du Keyiles von 1-1000.
Anstatt 4 Zahlenrädchen, hast du eine nur die bekannte Anzahl an gültigen Keyfiles.
Und anstatt nur einer fixen Reihenfolge von 4 Zahlen, hast du eine nur die bekannte Reihenfolge von Keyiles.
Anstatt ein Zahlenschloss direkt am wertvollen Gut zu haben, ist es an einem nur dir bekanntem Ort gespeichert.

Wie viel komplizierter kann man es einem "Dieb" noch machen?
So etwas wie ein Yubikey / Nitrokey und wie diese Dinge heißen, sind im Vergleich dazu unsicher.

 

[BeBur]

Ein gutes Passwort existiert dagegen nur in deinem Kopf

Na hoffentlich nicht, das wäre schon recht gefährlich.

Tipp:
Erzeuge beispielsweise 1.000 verschiedene Keyfiles mit verschiedenen Namen.
Speichere diese 1.000 Keyfiles auf bspw. deiner Festplatte, einem USB-Stick und einer dritten Festplatte.
Verbinde mehr als nur eine Keyile mit deiner Datenbank, damit man sogar im Besitz dieser Keyfile nicht weiß, welche Kombination richtig ist.

Das ist ziemlich sinnfrei, denn wenn man Haben und Wissen kombinieren will, dann nimmt man einfach ein einzelnes Keyfile und ein reguläres Passwort. Darüber hinaus ist das gefährlich und unsicher. Man sollte generell nie mit 'eigenen kreativen Ideen' um die Ecke kommen, diese sind nahezu immer schlecht und trivial zu umgehen.

So etwas wie ein Yubikey / Nitrokey und wie diese Dinge heißen, sind im Vergleich dazu unsicher.

Das ist falsch.

 

[SI Sun]

@BeBur
Danke für die (mathematisch) unbegründeten Widerlegungen.
Deine Aussagen ergeben keinen Sinn. Wie kommst du darauf?

 

[BeBur]

"Mathematisch" ergibt absolut keinen Sinn in dem Kontext hier.

Zu "Erzeuge beispielsweise 1.000 verschiedene Keyfile" siehe die KeePass Dokumentation:
https://keepass.info/help/base/keys.html

Hiding the location. The key file content must be kept secret, not its location (file path/name). Trying to hide the key file (e.g. by storing it among a thousand other files, in the hope that an attacker does not know which file is the correct one) typically does not increase the security, because it is easy to find out the correct file (e.g. by inspecting the last access times of files, lists of recently used files of the operating system, file system auditing logs, anti-virus software logs, etc.). KeePass has an option for remembering the paths of key files, which is turned on by default; turning it off typically just decreases the usability without increasing the security.

 

[SI Sun]

Vielleicht hast du den Kontext nicht verstanden?
Wir können uns beide verschiedene Szenarios ausdenken und immer Recht bekommen.
Ausgehend vom normalen Szenario, weiß kein normaler Nutzer wie man so etwas ausließt.
Ist der "Angreifer" technisch versiert, bringt auch ein Passwort und ein Keyfile gegen einen normalen Nutzer nichts (und der Ersteller dieses Themas ist offensichtlich ein "normaler Nutzer"), weil Keylogger kinderleicht unbemerkt einzusetzen sind und physische Schlüssel meist in Reichweite sind.

Die grundsätzlichen Sicherheitsfrage wurde bereits bei der Installation beantwortet:

• Passwörter müssen lang und kompliziert sein
• Schlüsseldateien müssen außerhalb der Festplatte gespeichert sein

Gegen Unachtsamkeit bringt aber beides nichts:
Wer sich "alles" installiert und typischerweise überall alles mit "OK", "Ja", "Ignorieren", "Erlauben" weg klickt, braucht mehr als ein gutes Passwort alleine, nämlich eine Schlüsseldatei.
Und wer nur eine Schlüsseldatei nutzt, hat keinen Schutz gegen physischen Diebstahl.
Die Kombination aus Beidem macht es gegen "normale Angreifer" bereits sicher.
Der Vorschlag mit den 1000 Schlüsseldateien macht es gegen "normale Angreifer" noch sicherer.
Wie bereits geschrieben, hat man gegen "Profis" aber keine Chance.

Gegen Fremde, welche niemals physischen Zugriff erlangen werden, ist ein externer Schlüssel aber immer einem Passwort vorzuziehen:
Optimal wäre:

• KeePass (mobile) inkl. Datenbank auf einem externen Datenträger
• zusätzliche Schlüsseldatei auf einem externen Datenträger
• beides kopieren, falls der externe Datenträger defekt wird
• und ein Passwort das nur im eigenen Kopf existiert