Sicherheit von Passworddatenbanken

[fezie]

Im Cloud Thread im Kaufberatungsforum (https://www.forum-3dcenter.org/vbulletin/showthread.php?p=12709847#post12709847) kam das Thema auf.

Daher die Frage wie sicher sind tatsächlich die Datenbanken von Passwordmanagern?
Im meinem Fall KeepassXC und Passwort + Yubikey.

[lumines]

Das KDBX-4-Format von KeePass ist vermutlich in Ordnung, weil sie das aus genau dem Grund eingeführt haben. Im Grunde betrifft das Problem bei KeePass nur Datenbanken, die nie zum neuen Format überführt worden sind oder weil irgendwelche Ports das neue Format nicht unterstützen.

1Password hat vor langer Zeit auch ein Datenbankformat ohne authentifizierte Verschlüsselungsmodi benutzt. Das ist aber noch länger her als bei KeePass und heute benutzt vermutlich niemand mehr so alte Versionen von 1Password.

[Badesalz]

Das KDBX-4-Format von KeePass ist vermutlich in Ordnung, weil sie das aus genau dem Grund eingeführt haben. Im Grunde betrifft das Problem bei KeePass nur Datenbanken, […]Welches Problem?

[lumines]

Welches Problem?

Das KeePass-Datenbankformat hat vor KDBX 4 keine authentifizierte Verschlüsselungsmodi genutzt. Das hat diverse Probleme verursacht, wenn man seine KeePass-Datenbank auf Speichermedien genutzt hat, auf die auch ein Angreifer schreibenden Zugriff gehabt hätte (schädliche Modifikationen an der Datenbank wären z.B. nicht aufgefallen).

Zusätzlich war im Header der Datenbank ein unverschlüsselter Hashwert des Bodies und darüber konnte man Rückschlüsse über den Inhalt ziehen (wohlgemerkt unabhängig vom Master-Passwort), wenn man schon nur lesenden Zugriff auf die Datenbank hatte.

Wahrscheinlich gab es noch mehr Probleme mit dem Format und deshalb hat man es gegen KDBX 4 ersetzt.