KeePass: utiliser un fichier clé ou un mot de passe normal?

17

Je mets en place une base de données KeePass et il offre la possibilité d'utiliser un fichier de clé, qui, selon lui, est plus sécurisé car il peut utiliser un mot de passe plus long et plus complexe mais est plus facile à briser car vous n'avez besoin que du fichier de clé pour ouvrir le base de données. Je n'utiliserai le fichier clé que sur 2 ordinateurs (un ordinateur de bureau et un ordinateur portable), wo qui est la meilleure option?

Notez qu'il est certainement plus attrayant d'utiliser le fichier clé pour moi car j'ai du mal à me souvenir de tout ce qui se rapproche d'un mot de passe aléatoire.

passwords encryption password-management keepass RCIX
la source

Réponses:

17

Concernant la possibilité d'utiliser ' key files' avec KeePass .

Afin de générer la clé 256 bits pour les chiffrements de bloc, l'algorithme de hachage sécurisé SHA-256 est utilisé. Cet algorithme comprime la clé utilisateur fournie par l'utilisateur (composée d'un mot de passe et / ou d'un fichier de clés) en une clé de taille fixe de 256 bits. Cette transformation est à sens unique, c'est-à-dire qu'il est impossible sur le plan informatique d'inverser la fonction de hachage ou de trouver un deuxième message qui se comprime dans le même hachage.

L' attaque récemment découverte contre SHA-1 n'affecte pas la sécurité de SHA-256. SHA-256 est toujours considéré comme étant très sécurisé .

(il y a une autre mise à jour récente , mais je pense que ces nouvelles ne sont pas pertinentes ici ).
Au point en question ,

Dérivation de clé :
si seul un mot de passe est utilisé (c'est-à-dire aucun fichier de clé), le mot de passe plus un sel aléatoire de 128 bits sont hachés à l'aide de SHA-256 pour former la clé finale (mais notez qu'il existe un certain prétraitement: protection contre les attaques par dictionnaire). Le sel aléatoire empêche les attaques basées sur des hachages pré-calculés.

Lorsque vous utilisez à la fois le mot de passe et le fichier de clés, la clé finale est dérivée comme suit: SHA-256 (SHA-256 (mot de passe), contenu du fichier de clés), c'est-à-dire que le hachage du mot de passe principal est concaténé avec les octets du fichier de clés et l'octet résultant la chaîne est de nouveau hachée avec SHA-256 . Si le fichier de clés ne contient pas exactement 32 octets (256 bits), ils sont également hachés avec SHA-256 pour former une clé de 256 bits. La formule ci-dessus se transforme alors en: SHA-256 (SHA-256 (mot de passe), SHA-256 (contenu du fichier clé)).

Si vous pensez que votre mot de passe va être un peu plus faible (et meilleur pour votre mémoire),
le fichier clé est un bon deuxième facteur .
Donc, utilisez les deux (ensemble).

nik
la source
Je jetterais un coup d'œil au commentaire de Steve Gibson sur la question: grc.com/sn/sn-182.txt
jasonh
@jasonh, Wow! vous me votez pour avoir suggéré la sécurité à deux facteurs, avec une Gibsonréférence d'interview que vous avez prise sur son propre site (ouais, j'ai déjà entendu Leo auparavant, très bien). Veuillez ajouter vos points ici comme nouvelle réponse pour que les gens puissent en bénéficier.
nik
7
Oui je l'ai fait. Je comprends avoir un deuxième facteur, mais c'est inutile ici. Le fichier de clés serait conservé virtuellement avec la base de données de mots de passe elle-même si vous êtes un utilisateur mobile. Si vous perdez le contrôle de la base de données, vous avez probablement aussi perdu le contrôle du fichier clé. Comme le note Steve Gibson, un fichier clé ne vous donne pas beaucoup de sécurité supplémentaire, le cas échéant.
jasonh
2
Un deuxième facteur est utile dans l'exemple du football PayPal. Dans ce cas, vous disposez d'un appareil physique et d'un mot de passe. Si votre mot de passe est compromis, il n'y a aucune raison de croire que votre ballon de football manque en même temps par défaut. En comparaison, lorsque les marchandises sont une base de données de mots de passe et que le mécanisme de sécurisation est simplement un autre fichier qui réside à côté de la base de données elle-même, à quoi cela sert-il? Aucun.
jasonh
2
+1 pour le fichier de clé d'utilisation et le mot de passe principal. Ainsi, même s'ils obtiennent le fichier de base de données et la clé, vous n'avez qu'à vous souvenir d'un mot de passe long. Ils ne peuvent pas encore pirater le cerveau, alors suivez plutôt une formation de résistance à la torture.
Piotr Kula
5

Le but est de garder vos mots de passe sécurisés, c'est donc une évidence: mot de passe. Si vous utilisez un fichier de clés et que vous perdez le contrôle de votre base de données de mots de passe, vos mots de passe sont tous exposés.

jasonh
la source
4
Vous serez toujours à risque si vous stockez votre «mot de passe» quelque part (que ce soit sur une note autocollante ou sous forme de fichier clé). Tant que vous gardez le mot de passe dans votre tête (et c'est assez complexe), vous devriez être mieux.
Sam
1
Lorsque vous utilisez à la fois le mot de passe et le fichier clé , la clé finale est calculée comme suit: SHA-256(SHA-256(password), key file contents). L'accès au fichier seul est inutile. Mais, la connaissance du mot de passe sans le contenu du fichier rend sa rupture plus difficile. Et, le fichier ajoute également un fort saltà votre mot de passe.
nik
1

Utilise les deux. Conservez votre fichier clé dans votre lecteur flash et apportez-le toujours avec vous. Mais pas quelque part sur le bureau (c'est la même chose que d'écrire un mot de passe sur des notes autocollantes). J'utilise de cette façon ma partition de disque dur cryptée (avec truecrypt). Donc, si quelqu'un obtient toujours votre mot de passe, il a également besoin du fichier de clés.

Pawka
la source
1
Assurez-vous simplement d'avoir une sauvegarde de votre fichier de clés, ainsi que de la base de données de mots de passe elle-même. Si l'un d'eux est corrompu, vous aurez besoin d'une nouvelle sauvegarde.
Torbjørn
0

Pour un débutant dans la gestion des mots de passe:
Mot de passe uniquement
Pourquoi?
Il réduit de moitié vos problèmes de gestion des fichiers et les limite à un seul fichier.
Une base de données KeepassX .kdbx peut être sécurisée avec un mot de passe mixte de 64 caractères. Il y a amplement de possibilités pour créer un mot de passe long et sécurisé.
Cela aide à souligner que le mot de passe (fort) (dans votre tête) est votre objectif principal (pas où vous avez gardé le fichier clé, etc.).
Si vous avez du mal à vous souvenir des mots de passe (bien sûr, nous le faisons tous), utilisez un gestionnaire de mots de passe (comme KeepassX) et vous n'aurez qu'à vous en souvenir d'un bon.

dotnetspec
la source
1
Cela ne répond pas à la question (très spécifique) qui a été posée.
Mokubai
-1

J'ai opté pour l'utilisation des fichiers clés. J'ai également créé un compte de messagerie utilisé spécifiquement pour stocker mon fichier de clés (je n'aime pas traîner avec un flash USB chaque fois que je veux accéder à mon compte e-banking par exemple).

Si l'ordinateur que j'utilise n'est pas mon ordinateur personnel, je me connecte simplement à ce compte de messagerie sur l'ordinateur sur lequel j'aimerais utiliser le fichier de clé, puis je me connecte à un autre compte de messagerie contenant la version la plus récente de mon .kdbx fichier.

Enfin, je télécharge KeePass et l'installe sur le PC, utilise la clé et .kdbx avec mon mot de passe de base de données et c'est tout!

Bien sûr, j'efface à la fois le fichier .kdbx et le fichier clé sur le PC utilisé.

Roger Johnson
la source
10
Je considérerais cette mauvaise pratique de sécurité à plusieurs niveaux.
kluka
1
Ouais assez inutile et sûrement dangereux; en particulier la partie sur l'ouverture simple de votre fichier de mot de passe sur un ordinateur qui "n'est pas mon fichier personnel". Sheesh. Tant pis que je ne peux pas exprimer à quel point cette pratique est mauvaise. J'ai un ordinateur portable de travail qui va partout avec moi et donc tout en étant pratique, parce que d'autres personnes (comme dans le département informatique) le "maintiennent", je n'ai même pas confiance que pour stocker ou même ouvrir mon mot de passe personnel db.
nanker
@nanker comment utilisez-vous votre mot de passe personnel db sur votre ordinateur portable professionnel? Avez-vous à la fois le fichier de clés et la base de données sur une clé USB?
RED_
2
@RED_ Je n'ouvre jamais ma base de données personnelle sur mon ordinateur portable de travail, même si cela peut parfois sembler pratique. L'ordinateur portable est assez chargé pour mes routines quotidiennes et bien que j'aie déjà essayé de déterminer quels sont tous les services en cours d'exécution sur l'ordinateur portable, je n'ai pas encore pu les clouer tous. Je ne peux donc pas et ne lui fais pas suffisamment confiance pour ouvrir ma base de données Keepass. Appelez-moi paranoïaque, je suppose, mais je sens que je suis dans un endroit informé et heureux en ce qui concerne la sécurité de mon mot de passe.
nanker