Keepass - der freie Password-Manager: Einrichtung, Plugins

Einfach Dinge, die nichts mit XAMPP, Apache Friends, Apache, MySQL, PHP und alle dem zu tun haben. Allerlei halt. ;)

Keepass - der freie Password-Manager: Einrichtung, Plugins

Postby unleash_it » 31. January 2021 23:59

Keepass - der freie Password-Manager - bietet viele Möglichkeiten; und via Plugins werden die vielen Features nochmals stark erweitert.

die Entwicklerseite: https://keepass.info/help/v2/sync.html

welche Keepass-Addons /Plugins verwendet ihr!? Es gibt ja sehr viele Plugnis / Addons die die Funktionalitäten erweitern: welche verwendet ihr denn!?


Plugins - KeePass: - die Übersicht auf die Plugins: https://keepass.info/plugins.html

-Backup & Synchronization & IO
-Utilities
-Integration & Transfer
-Import
-Export
-Cryptography & Key Providers
-Automation & Scripting
-Ressources


Welche Plugins verwendet ihr denn - welche sind euch wichtig?

Image


Einrichten - Betrieb, Synchronisation und Backup.

zum Szenario: ich installiere keepass einfach mal u. vergebe dann ein masterpassword: Damit ist Keepass zunächst mal eingerichtet - wenn auch noch leer. Dann kommt der nächste Schritt. Danach gebe ich die DATEN meiner Accounts da der Reihe nach in die Keepass-DB ein - man kann auch mittels eines CSV-Datei importieren.

Einschub: Masterpasswd / Keyfile: - wo auf dem Rechner oder (überhaupt) legt ihr euer keepass-File ab? Darüber hinaus: wie aufwändig ist euer masterpasswd - sehr oder nicht so sehr? Es ist ja so: KeePass bringt mit Keyfiles schon viel viel mehr sicherheit: Frage aber - wo legt ihr denn das file ab!? es ist ja so: Sollte das Masterpasswort abhandenkommen, lässt sich mit der Datenbank nichts anfangen, solange nämlich die Schlüsseldatei fehlt. [mehr dazu unten]


Einrichtung und Passworte:

Lasst ihr euch denn dann ggf. gleich neue Passworte für Eure Accounts erstellen - denn Keepass kommt ja auch mit einem Passwortgenerator.
https://keepass.info/help/base/pwgenerator.html :: Password Generator: Details about the built-in password generator of KeePass.
Es ist ja zu empfehlen - wobei manche Webseiten auch Obergrenzen haben - was die Länge der Passworte anbelangt: - Ich stelle meine Passwörter schrittweise um, neue Accounts erstelle ich dann gleich mit dem Generator.

Plugins: Auf der Browserseite kommt Passifox (bzw ChromPass für mich in Frage). Denn da ich Chrome verwende, würde ich lieber ein chrome-Spezifischen Plugin nehmen - also z.B; chromeIPass.

-KeePassHttp - sollte ggf. auch in Betracht gezogen werden: KeePassHttp ( https://github.com/pfn/keepasshttp/ ) provides a secure means of exposing KeePass entries via HTTP for clients to consume.
For example, KeePassHelper, Dash and NotesIPass are using KeePassHttp.
KeePassHttp on Linux and Mac https://github.com/pfn/keepasshttp/
KeePass needs Mono. You can find detailed installation instructions on the official page of KeePass.
Perry has tested KeePassHttp with Mono 2.6.7 and it appears to work well. With Mono 2.6.7 and a version of KeePass lower than 2.20 he could not get the plgx file to work on linux. If the plgx file does also not work for you, you can try the two DLL files KeePassHttp.dll and Newtonsoft.Json.dll from directory mono which should work for you.
With newer versions of Mono and KeePass it seems that the plgx file works pretty fine. More information about it are contained in the following experience report.


der laufende Betrieb:

Über die Synchronisierung: ... es gibt hier viele Optionen
- Ich kann das ungefähr einmal im Monat tun - mit anderen Worten, alle Datenbanken einmal im Monat synchronisieren;
- Ich kann die Datenbank über die meisten Dienste auf allen Arten von Geräten synchronisieren. Aber welche ist hier die beste Methode?! Sicher die die keine Cloudloesungen einbezieht - denn das ist ja im Grunde auch wieder unsicher!?!?

sicher bleiben:
- Zum Beispiel könnte ich meine Datenbank über Dropbox synchronisieren und von einem Linux-Computer, einem Windows-Computer und (sogar dem Handy) darauf zugreifen.
- Da es sich bei der Datenbank jedoch nur um eine einzelne Datei handelt, können wir auch lokale Kopien verwenden.
- Und bei dieser Methode muss ich keine Dropbox in der Cloud mit ins System aufnehmen. Wenn ich nur die Datenbankdatei auf das Gerät kopiere - zB. meinen PC, auf den ich zugreifen möchte, und dann bin ich mit diesem Schritt fertig. Auf diese Weise erreicht meine Datenbank niemals das Internet. Ich denke, dass diese Methode ziemlich sicher ist.

Backup: Was mir sehr, sehr wichtig erscheint, ist das Backup.

Wichtige, Adressen, Texte, Artikel, HowTos Quellen und interessante Diskussionen rund um das Thema Keepass:

- die Entwicklerseite: https://keepass.info/help/v2/sync.html
- die Übersicht auf die Plugins: https://keepass.info/plugins.html
- das Forum: https://sourceforge.net/p/keepass/discussion/

- Synchronization: Merge changes made in multiple copies of a database: https://keepass.info/help/v2/sync.html

- Where to store a Keepass password file? https://askubuntu.com/questions/562879/ ... sword-file

- Where to store the database, where to store the keyfile? https://sourceforge.net/p/keepass/discu ... /01265b22/

- Is keeping a KeePass file in Dropbox safe? https://superuser.com/questions/351525/ ... opbox-safe

- I have my Keeppass on the cloud but from different computers with the same password find cannot find the same data https://sourceforge.net/p/keepass/discu ... /007bd9a9/


Zum Einrichtungs-Thema: Masterpasswd / Keyfile: - wo auf dem Rechner oder (überhaupt) legt ihr euer keepass-File ab? Darüber hinaus: wie aufwändig ist euer masterpasswd - sehr oder nicht so sehr? Es ist ja so: KeePass bringt mit Keyfiles schon viel viel mehr sicherheit: Frage aber - wo legt ihr denn das file ab!? es ist ja so: Sollte das Masterpasswort abhandenkommen, lässt sich mit der Datenbank nichts anfangen, solange nämlich die Schlüsseldatei fehlt. Also - gehen wir mal von dem Fall aus - man will mehr Sicherheit: Wenn man mit Keyfile arbeitet, dann ist das so, dasst also immer die Kombination aus Datenbank, Schlüsseldatei und Masterpasswort erforderlich ist.

Dennoch: Das oben gesagte, das bedeutet natürlich nicht, dass das gewählte Masterpasswort dadurch unwichtiger wird. Ich denke, dass man trotz Keyfile ein extrem sicheres Passwort wählen sollte. Also - Fazit: Schließlich sollen damit alle anderen Passwörter geschützt werden. Und Verschlüsselung ist immer nur so gut wie das gewählte Passwort. Nun kommt die Frage: welche Methode verwendet ihr
a. bei der Generierung eines Masterpassworts
b. bei der Ablage der Keyfile!?

Welche Risiken bezieht ihr mit ein:
- Datenverlust
- gehackter Passswortfile
- oder andere Risiken mehr...!?

auf der Wikiseite über Keepass steht das folgende: https://de.wikipedia.org/wiki/KeePass

Zitat [quote]
...in Angriff auf die Datenbank bei mittelmäßig sicherem Passwort wird damit erheblich erschwert. Liegt die Passwort-Datenbank auf einem öffentlich zugänglichen Laufwerk, können Passworte zwischen Rechnern synchronisiert werden,
Interessen: Bikes & steel frames: Linux & SBC https://www.allaboutcircuits.com :: die neuen Knowledge-Base: AFFiNE: There can be more than Notion and Miro. auf affine.pro :: WordPress Entwicklung - sic: make.wordpress.org/core/
User avatar
unleash_it
 
Posts: 754
Joined: 10. December 2011 18:32
Operating System: linux opensuse 12.1

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby Nobbie » 01. February 2021 13:59

Den Keepass benutze ich auch (aber unter Linux). Ich habe nur einen Schlüssel als Schutz, mein Standard(komplimiziertes)passwort. Ich habe auch nur die ganzen Zugangsdaten meiner verschiedensten Accounts drin und ich speichere die Datenbank im Homeverzeichnis meines Linux Accounts.

Eine Kopie habe ich auf meinem NAS als Backup.

Irgéndwelche Plugins habe ich nicht installiert.

Was insgesamt den Schutz der Passwörter betrifft: mir geht es da eigentlich weniger um den "Schutz" meiner Passwörter, als darum, dass ich sie nicht vergessen sollte... ich benutze es also mehr als Gedächtnisersatz. Die wirklich kritischen Dinge des täglichen Internetlebens (Online Banking, Amazon Account, Paypal usw. etc. pp.) habe ich allesamt mittlerweile mit dem 2-fach Schutz versehen. D.h. ich muss nicht nur ein Passwort nennen (bzw. ein Hacker muss nicht nur das Passwort kennen), ich muss auch einen per SMS versendeten Code auf meine Handynummer bestätigen. Und dieser 2. Schritt macht das Banking usw. enorm sicher, dann das ist wirklich sauschwer zu knacken. Ich habe diesen 2-fach Schutz inzwischen bei allen "wichtigen" Accounts. Bei Netflix (habe ich dann und wann auch mal, aber ich kündige auch öfter) ist mir das egal, wenn jemand auf meinem Account Filme sehen würde. Da ist das nicht sooo wichtig. Aber Paypal usw. habe ich natürlich doppelt geschützt-
Nobbie
 
Posts: 13170
Joined: 09. March 2008 13:04

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby Altrea » 01. February 2021 15:25

Nobbie wrote:Bei Netflix (habe ich dann und wann auch mal, aber ich kündige auch öfter) ist mir das egal, wenn jemand auf meinem Account Filme sehen würde. Da ist das nicht sooo wichtig. Aber Paypal usw. habe ich natürlich doppelt geschützt-

Mir ist genau das passiert:
Eines meiner Standard Account-Passwörter wurde geleaked
Jemand hat diese Informationen bei Netflix benutzt und konnte sich einloggen
Derjenige hat E-Mail Adresse und Passwort geändert, und den Tarif auf das teuerste Paket umgestellt.
Ich habe hierzu lediglich eine russische Informations-E-Mail von Netflix erhalten (in etwas sowas wie: Vielen Dank, ihre E-Mail Adresse wurde geändert), die viele vermutlich als Spam ignoriert oder gelöscht hätten.

ich habe das also relativ zeitnah mitbekommen und trotz sofortigem Handeln hat es einen halben Tag gedauert, bis ich meinen Netflix Account wiederhatte.
Legitimieren konnte ich mich anhand der Zahlungsinformationen. Natürlich war mein ganzer Senderverlauf von Fremdsprachigen Filmen und Filmvorschlägen gefüllt.

Seitdem benutze ich Passwortsafe, unterschiedliche zufallsgenerierte Hochsicherheitspasswörter und 2-Faktor Authentifizierung, wo immer es um Geld gehen kann.
We don't provide any support via personal channels like PM, email, Skype, TeamViewer!

It's like porn for programmers 8)
User avatar
Altrea
AF Moderator
 
Posts: 11926
Joined: 17. August 2009 13:05
XAMPP version: several
Operating System: Windows 11 Pro x64

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby unleash_it » 01. February 2021 17:50

hi Nobbie und Altrea, guten Abend, :D


vielen Dank für Euer Feedback und die Ideen zum Einsatz.

Eine Kopie habe ich auf meinem NAS als Backup. Irgéndwelche Plugins habe ich nicht installiert.


das ist eine gute Idee - die Kopie auf den NAS zu legen..

Altrea
Seitdem benutze ich Passwortsafe, unterschiedliche zufallsgenerierte Hochsicherheitspasswörter und 2-Faktor Authentifizierung, wo immer es um Geld gehen kann.


die besondere Absicherung aller kritischen Anwendungen / Dienste ist total wichtig. Ich merk das auch und sollte da ggf noch aufmerksamer werden.


Euch nochmals vielen Dank! :D :)

VG Unleash
Interessen: Bikes & steel frames: Linux & SBC https://www.allaboutcircuits.com :: die neuen Knowledge-Base: AFFiNE: There can be more than Notion and Miro. auf affine.pro :: WordPress Entwicklung - sic: make.wordpress.org/core/
User avatar
unleash_it
 
Posts: 754
Joined: 10. December 2011 18:32
Operating System: linux opensuse 12.1

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby Nobbie » 01. February 2021 20:41

Altrea wrote:Jemand hat diese Informationen bei Netflix benutzt und konnte sich einloggen
Derjenige hat E-Mail Adresse und Passwort geändert, und den Tarif auf das teuerste Paket umgestellt.


Von 7,90€ (billigster Account, den aber kaum jemand benutzt) oder 12,99€ für den Standard Account auf Premium Account für 17,99€. Selbst wenn man das einen ganzen Monat lang nicht sieht (sowieso ein sicheres Zeichen, dass man Netflix eigentlich gar nicht benötigt) beläuft sich der Schaden auf 5,-€ pro Monat. Das finde ich zugegebenermaßen mehr als "übersichtlich". Deswegen ist mir das auch ziemlich egal.

Etwas anderes ist es sicherlich, wenn mir jemand beim Online Banking mal eben 20.000,-€ abtzwackt - da geht es ans Eingemachte. Aber nicht die popeligen 5,-€ für eine Dummheit bei Netflix.

P.S.:
Altrea wrote:Derjenige hat E-Mail Adresse und Passwort geändert, und den Tarif auf das teuerste Paket umgestellt.


Ich habe mich gerade mal bei Netflix eingelogged und versuche, meinen Tarif zu ändern. Damit das überhaupt möglich ist, bekomme ich als allererstes eine KontrollEMAIL auf mein Email Konto, bevor ich überhaupt irgendetwas relevantes ändern kann. Und muss die bestätigen. Wie hat denn der vermeintliche Hacker diese Hürde genommen??
Nobbie
 
Posts: 13170
Joined: 09. March 2008 13:04

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby Altrea » 01. February 2021 22:09

Ich kann es dir nichtmehr mit Bestimmtheit sagen, das ist ca. 2017-2018 gewesen.
Der Ablauf war: zuerst wurde die E-Mail Adresse geändert, dann das Paket hochgestuft. Also vermute ich, dass die E-Mail an die Angreifer-Email Adresse gegangen ist.
Übrigens, als ich 2017 mein Paket selbst auf Standard hochgestuft hatte, bekam ich keine Kontroll-Email, lediglich eine Bestätigungs-Email der vorgenommenen Änderung.
Es mag also durchaus sein, dass Netflix hier in den letzten Jahren nachgebessert hat.

Und auch wenn der finanzielle Schaden sich vermutlich in Grenzen halten würde, wer garantiert dir, dass ein Angreifer sich an AGBs/Terms of Service von Netflix hält? Ein Ausschluss der Plattform hätte gedroht.
Oder wenn der Angreifer Netflix Filme abfilmt und ins Internet Streamt oder per Tauschbörse handelt. Wer garantiert, dass das nicht auf den Account rückverfolgbar ist, Beispielsweise durch unsichtbare Wasserzeichen?
Nene, ich habe meine Accounts schon lieber voll unter meiner Kontrolle.
We don't provide any support via personal channels like PM, email, Skype, TeamViewer!

It's like porn for programmers 8)
User avatar
Altrea
AF Moderator
 
Posts: 11926
Joined: 17. August 2009 13:05
XAMPP version: several
Operating System: Windows 11 Pro x64

Re: Keepass - der freie Password-Manager: Einrichtung, Plugi

Postby Nobbie » 02. February 2021 13:09

Altrea wrote:Nene, ich habe meine Accounts schon lieber voll unter meiner Kontrolle.


Das nutzt nur leider nichts, egal ob Du komplizierte oder einfache Passwörter hast oder ob Du einen Passwortsafe einsetzt oder auch nicht. Das Problem ist nämlich ganz eindeutig nicht DEIN Problem, sondern das Problem des jeweiligen Anbieters. Mir sind auch schon Email Fächer gehackt worden, sogar meine Serverdaten wurden gehackt. Und die Zugangsdaten von Booking.com und anderen auch.

Und die Ursache ist ausnahmslos und zu 100% immer dieselbe: eine Datenschwachstelle beim Anbieter. Du greifst Dir an den Kopf wenn Du beispielsweise liest (das war bei einem Webhoster der Fall), dass der Provider "Loomes" (den gibt es nicht mehr) eine Datenpanne hatte, weil sie die Passwörter als Plain Text(!!!!!) in einer MySQL Datenbank gespeichert hatten. Oder vielleicht hat ja auch Netflix eine unsichere Methode gehabt, Deinen Zugang zu sichern. Die gehackten Daten kommen NIE von Festplatten privater Anwender, die kommen IMMER von schlechten Administratoren der Provider und Anbieter.

Darüber muss man sich im Klaren sein.
Nobbie
 
Posts: 13170
Joined: 09. March 2008 13:04


Return to Allerlei

Who is online

Users browsing this forum: No registered users and 11 guests