Хранит ли файл KeePass в Dropbox безопасно? [закрыто]

Безопасно ли хранить файл базы данных паролей KeePass в Dropbox? База данных может иметь длинный (14+ буквенный, цифровой, специальный символ) пароль и файл локального ключа на компьютере или на мобильном телефоне, который не используется в Dropbox?

dropbox keepass

— TusharG
источник

Пароли не должны храниться там, где их могут видеть другие (например, Dropbox).

— m0skit0

Другие не видят мой файл паролей, так как Dropbox хранит файл строго под моим логином, если я не храню его в общей папке.

— TusharG

Администраторы сервера Dropbox?

— m0skit0

У Dropbox были серьезные проблемы с безопасностью, когда каждый мог получить полный доступ к любой учетной записи.

— Slhck

Наличие сбоя в системе безопасности и наличие его в качестве стандартной функции не совсем то же самое. Кроме того, keepass использует собственное шифрование.

— Sirex

Ответы:

Вопрос здесь не в том, доверяете ли вы dropbox, а в том, доверяете ли вы keypass. Если ваше хранилище паролей раскрывает свои секреты, когда кто-то другой завладеет им, вам захочется найти что-то еще.

Keypass использует AES-256 для шифрования, который остается стандартом де-факто, и SHA-256 для создания ключа из вашей ключевой фразы вместе с солью.

Так что метод шифрования хорош. Итак, вы захотите рассмотреть, есть ли какие-либо недостатки реализации, которые могут быть использованы кем-то, кто овладевает вашим хранилищем. Похоже, что keepass использует метод шифрования, когда файл разбивается на блоки и многократно шифруется. Атака грубой силы потребует времени, и вы сможете увеличить количество ключей в секунду, которые можно протестировать при создании базы данных. Выберите для этого, чтобы сделать много раундов. Это означает, что для проверки ключа требуется время. Для вас это означает, что вам нужно подождать секунду или около того, чтобы база данных открылась. Для злоумышленника это означает, что ему нужно подождать секунду или около того, чтобы проверить свой следующий ключ.

Существуют и другие методы защиты, но они не имеют отношения к этому сценарию, например, хранение содержимого хранилища в зашифрованном виде в памяти, когда хранилище открыто.

Вам следует ознакомиться с используемыми методами безопасности, и если вы чувствуете себя счастливым, если хранилище попадет в чужие руки, что вы будете в безопасности, сделайте это.

— Павел
источник

Для меня очень важно получить доступ к базе данных keepass на моем мобильном телефоне, однако ее синхронизация - большая проблема. Сейчас я рискну и использую сложный большой пароль с локальным файлом ключей в качестве двойной защиты и сохраню его в Dropbox, пока я буду хранить файл ключей в мобильной файловой системе и на жестком диске компьютера. Я знаю, что это риск.

— TusharG

Что произойдет в (очень далеком) будущем, когда AES-256 будет хрупким? Dropbox хранит старые версии файлов, поэтому ваши пароли будут в опасности, даже если к тому времени вы перешли на более безопасный механизм. есть идеи?

— двойная спираль

@flixfe Хранит 30 дней ревизий, так что там есть окно возможностей. Это можно исправить запросом удаления функции в Dropbox или альтернативным решением облачного хранилища, которое разрешает удаление ревизий или не имеет их вообще.

— Пол

Даже если AES-256 сломается. Получение доступа к моему файлу базы данных паролей недостаточно, поскольку моей базе данных требуется пароль и локальный файл ключей для открытия базы данных. Также я проверил, как работает keepass, он никогда не создает незашифрованный файл подкачки, который впоследствии может быть восстановлен в Dropbox, так что я чувствую себя очень безопасно. Все это создает файл, который говорит, что база данных разблокирована.

— TusharG

@TusharG: AES-256 обсуждается как защита Keepass; следовательно, если AES-256 был сломан и у вас есть база данных, вам не нужен ни файл ключа, ни пароль для просмотра его содержимого. Однако проблема не существует: когда AES-256 будет медленно сломан, если Keepass по-прежнему будет в хорошем состоянии, он перейдет на другой стандарт шифрования гораздо более, чем за 30 дней до этого.

— Blaisorblade

Существуют разные степени безопасности, и удобство Dropbox по сравнению с безопасностью того, что вы пытаетесь сделать, - это то, что вам нужно оценить для себя.

Кроме того, безопасность зависит от самого слабого места. Если какое-либо из следующего будет взломано, ваши файлы будут открыты:

Вы (забудьте выйти, оставить свой пароль на стикере, поделиться своим дропбоксом с кем-то еще)
Каждый компьютер, с которым синхронизирован Dropbox. Они используют надежные пароли? Программное обеспечение современное? Зашифрованы ли их диски? У них включен автологин?
Ваше сетевое подключение к Dropbox. У вас есть брандмауэр? Обновлена ли прошивка / программное обеспечение вашего модема / маршрутизатора? Они настроены правильно?
Программное обеспечение Dropbox, сеть и компьютеры.
Amazon S3 (где хранятся ваши файлы).

Рассмотрите следующее, и это может помочь вам принять это решение:

Файл базы данных будет храниться на каждом компьютере, на котором установлен ваш Dropbox.
Dropbox хранит резервную копию файла локально, даже когда вы удаляете файл.
Вы должны убедиться, что папка, в которой вы храните файл, не помечена как общедоступная.
Это возможно для кого - то в компании , чтобы читать ваши файлы. Согласно информации, приведенной по ссылке, только немногие избранные имеют доступ к вашим данным, и они, предположительно, получат к ним доступ только в случае вызова в суд.
Dropbox хранит ваши файлы в Amazon S3, что означает, что это возможно (хотя и очень маловероятно: им придется иметь возможность расшифровать его), чтобы кто-то в Amazon мог получить доступ к вашим данным.

— BryanH
источник

Все это говорит о безопасности Dropbox и его шифровании. Однако насколько безопасна база данных KeePass без ключевого файла? Кто-нибудь может расшифровать базу данных KeePass без пароля и файла ключей?

— TusharG