Passwortmanager?
Habe ein Video gesehen wo erklärt wurde das ein Passwort-Manager sicher sei.
Aber was ist wenn der Hersteller/Firma gehackt wird ? Dann hat derjenige doch alle passwörter? Stimmt das ?
6 Antworten
Ein verantwortungsvoller Anbieter setzt ordentliche Verschlüsselung ein. Die Passwörter sollten auf deren Server also zwangsläufig verschlüsselt gespeichert werden. Zudem sollte die Verschlüsselung schon clientseitig, also auf deinem Gerät, stattfinden und schon verschlüsselt an den Server geschickt werden. Somit kann weder der Anbieter noch irgendeine Drittperson auf Serverseite deine Passwörter einsehen.
Ist dies nicht der Fall, würde ich so einen Dienst nicht nutzen. Nun ist es aber so, dass man das nicht überprüfen kann. Die meisten Clients sind nicht quelloffen, es lässt sich also nicht überprüfen, wie und wann die Verschlüsselung stattfindet.
Deshalb nutze ich nur selber betriebene und 100 % quelloffene Lösungen für solche heiklen Daten. Beispiele hierfür wären Keepass XC oder Bitwarden, welches ich derzeit im Einsatz habe.
Wie auch immer: Ein Passwortmanager - ob nun in der Cloud oder lokal - ist praktisch immer sicherer als irgendwelche Zettelchen o. Ä.
Die Passwörter sind wahrscheinlich extra geschützt und verschlüsselt.
Ein Rest-Risiko bleibt aber natürlich immer, wer Zugang zum Server hat, hat alle Möglichkeiten offen, die Frage ist nur, wie leicht bzw. schwierig man an die Passwörter kommt. Unmöglich ist es nie.
Und für die, die jetzt meinen, wenn sie verschlüsselt sind, kann man sie nicht lesen:
Stimmt - bis die Server-Software manipuliert wird, die das Master-Passwort zum Entschlüsseln bekommt.
Ich hab's deshalb bei mir lokal eingerichtet, läuft auf einem RaspberryPi.
Nachteil ist, dass ich nur von Zuhause aus darauf zugreifen kann, oder ich richte mir VPN an, aber da muss dann auch der Internet-Anbieter mitspielen.
Möglich - hängt wohl von der Implementierung ab.
Aber so oder so gibt's es auch schützenswerte Daten, die nicht ungeschützt sind, z.B. die Accounts, die es gibt.
Ich hab's deshalb bei mir lokal eingerichtet, läuft auf einem RaspberryPi.
Ich habe auf meinem Pi Bitwarden installiert. Ich nutze aber auch Keepass, wobei ich den Passwort-Container in meiner Nextcloud auf dem Pi liegen habe. Die Nutzung von Keepass ist meines Erachtens auf Mobilgeräten deutlich bequemer als die von Bitwarden. Insofern ist Bitwarden auf dem Pi im Moment eher Forschungsprojekt.
Bei mir ist es auch Bitwarden (bzw. Vaultwarden), allerdings in einem Docker-Container auf meinem Pi, da auf dem selben Pi noch ein paar andere Dinge laufen und es so alles etwas übersichtlicher ist.
Ich finde die Browser-Extension bzw. die App eigentlich ganz angenehm. Die Browser-Extension am Handy könnte mMn. gerne noch den Fingerabdruck-Scanner unterstützen, die App kann das aber.
Mich stört nur der VPN-Zwang außerhalb des Netzwerkes, aber da führt wohl kein Weg dran vorbei, wenn man das so macht. Selber ins Internet stellen will ich nicht, denn dann müsste ich mich auch selber um die Sicherheit vom Pi kümmern, außerdem bräuchte ich da auch eine statische IP und daran hapert es gerade :/
Mich stört nur der VPN-Zwang außerhalb des Netzwerkes, aber da führt wohl kein Weg dran vorbei, wenn man das so macht.
Keepass2Android hat eine WebDAV-Schnittstelle, mit der die App direkt auf den Container in der Nextcloud zugreifen kann. Die App legt eine Kopie bei sich ab, die synchronisiert wird.
Bitwarden läuft bei mir auch im Docker-Container und ist von außen erreichbar per HTTPS mit Letsencrypt-Zertifikat.
Aber mein Telefon hat auch dauerhaft einen VPN aktiv. Darüber habe ich einen DNS-basierten Werbeblocker.
außerdem bräuchte ich da auch eine statische IP und daran hapert es gerade :/
Ich habe auch keine statische IP-Adresse, ich nutze einen DynDNS-Dienst.
Keepass2Android hat eine WebDAV-Schnittstelle, mit der die App direkt auf den Container in der Nextcloud zugreifen kann. Die App legt eine Kopie bei sich ab, die synchronisiert wird.
Macht Bitwarden das nicht genauso?
Bitwarden läuft bei mir auch im Docker-Container und ist von außen erreichbar per HTTPS mit Letsencrypt-Zertifikat.
Meins ist selbst erstellt, reicht für mich aus, ich muss das Root-Zertifikat nur überall bekannt machen. Bei Mobile-Firefox etwas nervig, aber es geht ^^
Darüber habe ich einen DNS-basierten Werbeblocker.
Das ist der zweite Container ^^
Und geplant sind dann noch Git und ein Benchmark-Server, der vom Git-Server Projekte bekommt und testet - ggf. auf einem zweiten Pi, mal schauen, wie gut das läuft.
Ich habe auch keine statische IP-Adresse, ich nutze einen DynDNS-Dienst.
Gutes Stichwort, ich hab mich mit dem Thema noch nicht so ausführlich beschäftigt, aber danach such ich mal, vielleicht löst das mein Problem.
Macht Bitwarden das nicht genauso?
Ja. Ich war mir da nicht sicher, habe es aber gerade verifiziert.
Meins ist selbst erstellt, reicht für mich aus, ich muss das Root-Zertifikat nur überall bekannt machen. Bei Mobile-Firefox etwas nervig, aber es geht ^^
Ich habe bei mir ja noch andere Dienste laufen, u. a. Nextcloud, wo ich auch schon mal für andere Dateien freigebe. Da ist ein Zertifikat, das anstandslos akzeptiert wird, schon hilfreich. Und wenn ich für Nextcloud ein Zertifikat ausstellen lasse, kann ich das für Bitwarden, meinen Firefox-Syncserver und andere auch machen.
Das ist der zweite Container ^^
Bitwarden ist der einzige Container, alles andere ist nativ und manuell installiert.
Gutes Stichwort, ich hab mich mit dem Thema noch nicht so ausführlich beschäftigt, aber danach such ich mal, vielleicht löst das mein Problem.
Ich nutze dynv6, das funktionert mit IPv4 und IPv6 sehr gut.
Ich habe bei mir ja noch andere Dienste laufen, u. a. Nextcloud, wo ich auch schon mal für andere Dateien freigebe. Da ist ein Zertifikat, das anstandslos akzeptiert wird, schon hilfreich. Und wenn ich für Nextcloud ein Zertifikat ausstellen lasse, kann ich das für Bitwarden, meinen Firefox-Syncserver und andere auch machen.
Du kannst doch dein eigenes Root-Zertifikat erstellen und das dann im OS registrieren? Die anderen Zertifikate erstellst Du auf der Basis und Du hast das gleiche Ergebnis.
Aber ja, wenn das Zertifikat von LetsEncrypt kostenlos ist, spricht da eigentlich nichts gegen. Geld bezahlen würde ich dafür jedenfalls nicht, das lohnt nicht, da ich ja sowieso nur in meinem eigenen Netzwerk bin.
Bitwarden ist der einzige Container, alles andere ist nativ und manuell installiert.
Bei mir ist es ein PiHole im Container.
Ich mag (mit Docker Compose) die wunderbar einfache Anpassbarkeit und dass das Linux - bis auf Docker und SSH ziemlich unverändert ist.
Ich nutze dynv6, das funktionert mit IPv4 und IPv6 sehr gut.
Dann schau ich mal danach - danke für den Tipp!
Du kannst doch dein eigenes Root-Zertifikat erstellen und das dann im OS registrieren?
Klar, kann ich nicht nur, mache ich auch. Die Server sind intern über interne Adressen erreichbar, mit Zertifikaten meiner eigenen privaten CA. Nach außen hin möchte ich aber ein Zertifikat haben, welches von allen Geräten akzeptiert wird. Das die Nextcloud auch mit Geräten verwendet wird, die nicht unter meiner Administration liegen, wäre eine Zertifikatswarnung sehr unprofessionell.
Aber ja, wenn das Zertifikat von LetsEncrypt kostenlos ist, spricht da eigentlich nichts gegen.
Eben.
Ich mag (mit Docker Compose) die wunderbar einfache Anpassbarkeit und dass das Linux - bis auf Docker und SSH ziemlich unverändert ist.
Als ich mit dem Pi und damals noch Owncloud anfing, lag Docker noch in den Windeln. Um das intensiver zu nutzen, müsste ich mich erst mal einarbeiten ...
Nach außen hin möchte ich aber ein Zertifikat haben, welches von allen Geräten akzeptiert wird.
Achso, ja da sind unsere Anforderungen verschieden ^^
Für mich gibt es kein "nach außen", ich will nur per VPN in mein eigenes Netzwerk.
Aber ja, wenn das Zertifikat von LetsEncrypt kostenlos ist, spricht da eigentlich nichts gegen.
Als ich mit dem Pi und damals noch Owncloud anfing, lag Docker noch in den Windeln. Um das intensiver zu nutzen, müsste ich mich erst mal einarbeiten ...
Ist erstaunlich einfach, lohnt sich definitiv.
Das Schöne mit Docker Compose ist, dass ich mit quasi keinem Aufwand mal eben so den Server weg werfen, neu konfigurieren und wieder aufbauen kann, ohne Datenverlust oder irgendwelche anderen Schwierigkeiten.
Meine gesamte Konfiguration für PiHole und Vaultwarden findet in einer 67 Zeilen (inklusive Leerzeilen zur Übersicht) langen YML-Datei Platz. Ein "docker compose up -d" räumt dann bereits laufende Container weg und baut sie mit der neuen Konfiguration wieder auf.
Das Schöne mit Docker Compose ist, dass ich mit quasi keinem Aufwand mal eben so den Server weg werfen, neu konfigurieren und wieder aufbauen kann, ohne Datenverlust oder irgendwelche anderen Schwierigkeiten.
Docker ersetzt keine Backups. Meine Daten muss ich unabhängig von Docker sichern.
Meine gesamte Konfiguration für PiHole und Vaultwarden findet in einer 67 Zeilen (inklusive Leerzeilen zur Übersicht) langen YML-Datei Platz. Ein "docker compose up -d" räumt dann bereits laufende Container weg und baut sie mit der neuen Konfiguration wieder auf.
Als Voraussetzung benötigst Du erst mal die Docker Images. Wenn es kein fertiges Image gibt, musst Du das erst bauen. Ich muss noch mal auf die Suche nach dem Mozilla Syncserver gehen und nach dem Thingspeak Server. Die beiden sind tatsächlich nicht trivial zu installieren. Da wären Docker Images keine schlechte Sache.
Docker ersetzt keine Backups. Meine Daten muss ich unabhängig von Docker sichern.
Man kann die Daten vom Container aber auf einen bestimmten Ordner im Host-OS mappen. So bleiben die Daten nach einem "docker compose up" oder "docker compose down" erhalten und Du kannst selber bestimmen, wo deine Daten liegen. Das erspart nicht das sichern, aber es macht es einfacher.
Als Voraussetzung benötigst Du erst mal die Docker Images.
Für PiHole und Vaultwarden gibt's die Images + Anleitungen.
Wie das bei deinen anderen Anwendungen aussieht, kann ich dir nicht sagen.
Oder Du schreibst die Images selber, aber damit kenne ich mich nicht aus.
Man kann die Daten vom Container aber auf einen bestimmten Ordner im Host-OS mappen. So bleiben die Daten nach einem "docker compose up" oder "docker compose down" erhalten und Du kannst selber bestimmen, wo deine Daten liegen. Das erspart nicht das sichern,
Richtig. Du sprachst von "Server wegwerfen und einfach mit docker compose ohne Datenverlust wieder aufbauen". Mit "Server wegwerfen" meinst Du wohl dann nur den Container.
aber es macht es einfacher.
Na ja, die Daten liegen bei mir sowieso separat, die Konfigurationsdateien sind ebenfalls gesichert.
Für PiHole und Vaultwarden gibt's die Images + Anleitungen.
Vaultwarden habe ich, PiHole brauche ich nicht. Meine Sorgenkinder sind der Thingspeak-Server und der Mozilla Syncserver. Das offizielle Docker Image von Mozilla ist nicht für ARM.
Oder Du schreibst die Images selber, aber damit kenne ich mich nicht aus.
Das ist der Punkt ...
Mit "Server wegwerfen" meinst Du wohl dann nur den Container.
Genau, nur der Container, die gemappten Ordner bzw. der Inhalt bleibt erhalten. Alles, was nicht gemappt wurde, geht allerdings verloren. Ist praktisch, wenn man experimentiert oder irgendetwas falsch konfiguriert hat oder einfach das System clean halten will. Deshalb läuft auch auf meinem Windows der SqlServer als Docker-Container, so habe ich mehr Kontrolle und wenn ich den SqlServer weg haben will, muss ich nur den Container löschen.
Das offizielle Docker Image von Mozilla ist nicht für ARM.
Muss es denn offiziell sein? Mein Pi arbeitet mit einem nicht offiziell releasten Linux-Build für 64bit, da er 8GB hat. Möglicherweise sollte ich das nochmal überarbeiten, aber bisher hatte ich 0 Probleme.
Und solange keine Firma darüber läuft, kannst Du ja auch experimentieren ^^
Das ist der Punkt ...
Eventuell hilft dir da das:
Docker lernen: Eine Einführung in 100 Minuten // deutsch - YouTube
Ich fand's ganz gut, ist aber nur oberflächlich und ich bin nicht weiter eingestiegen. Aber das Grundprinzip wird erklärt, auch wie man Images erstellt, zum anschließend weiter einarbeiten vielleicht eine ganz gute Ausgangsposition.
Muss es denn offiziell sein?
Das ist halt am besten gepflegt. Die anderen sind teils mehrere Jahre alt.
Das ist der Punkt ...
Eventuell hilft dir da das:
Docker lernen: Eine Einführung in 100 Minuten // deutsch - YouTube
Ich fand's ganz gut,
Ich mag keine Videos, erst recht keine so langen. Ich bin vom alten Schlag und lese lieber. Mal schauen, wann ich Zeit dazu finde. Trotzdem danke für den Tipp.
Ich mag keine Videos
Ich auch nicht, hauptsächlich weil die meisten ziemlich schlecht sind und häufig komplexe Themen einfacher verkaufen, als sie eigentlich sind. Für einen groben Überblick finde ich sie aber ganz praktisch.
Aber klar, wenn Du dich ausführlich einarbeiten willst, dann ist ein gut geschriebenes Buch oder die Doku (keine Ahnung, was die taugt) die bessere Wahl ^^
Nein, der Passwortmanager ist eine Programm das Texte (Passwörter) verschlüsselt und entweder auf deiner lokalen Festplatte oder auf dem Server des Programmanbieters anbietet.
Es ist schon richtig, dass, wenn dieser gehackt wird, diese Datei in die Hände der Diebe fällt, aber das ist die verschlüsselte Datei. Ohne dein Masterpasswort kann die erst mal keiner entschlüsseln. Die üblichen verwendeten Algorithmen kann man nur Brute Force knacken. Das heist ein schneller Rechner muss alle möglichen Passworte ausprobieren und analysieren, ob dabei etwas Sinnvolles herauskommt.
Wenn dein Masterpasswort echt lang ist, dann hat der Rechner dabei echt viel zu tun. Nimm also etwas, was viele Buchstaben und Zahlen hat, was du dir aber gut merken kannst. Zum Beispiel "M3ine Omma (!) kocht j3den S0nn!ag 4 Tellar Nudelsübbe." Kontrollierte Schreibfehler helfen dabei den Wörterbuch-Parser und den Buchstaben-Häufigkeits-Algorithmus zu überlisten.
Da du das Masterpasswort bei jeder Sitzung nur einmal eingeben musst, ist es nicht kritisch, dass es lang ist, du musst es dir nur gut merken können.
Wenn du die Nutzpasswörter automatisch als lange, zufällige Folge von Zeichen erzeugen lässt und der Passwortmanager richtig gut ist und die Webadressen und die eigentlichen Passwörter getrennt mit unterschiedlichen Teilen deines Masterpassworts verschlüsselt, ist der Brut Force Angriff total sinnlos, weil der Algorithmus wegen der zufälligen Zeichenfolge der Nutzpassworte nicht entscheiden kann, ob er erfolgreich war oder nicht. Dann weiß der Dieb nur, auf welchen Webseiten du einen Account hast, denn www.blablabla.com kann er als gültige Webadresse erkennen. Der Code, den dabei gefunden hat, passte dann (hoffentlich) nicht auf die Passwortsektion.
Die üblichen verwendeten Algorithmen kann man nur Brute Force knacken.
... wenn man davon ausgeht, dass die Verschlüsselung sauber implementiert ist. Sobald die Software nicht Open Source ist, kann man das nicht überprüfen.
Irgendwem muss man am Ende einfach vertrauen!
Richtig. Deshalb mein Zusatz
wenn man davon ausgeht, dass die Verschlüsselung sauber implementiert ist.
Darauf musst Du vertrauen.
Wer einen Passwortmanager nutzt, der die Passwörter auf den Servern des Softwareherstellers speichert, ist selbst Schuld. Aus meiner Sicht sollte man so etwas nicht machen. Es gibt unzählige Passwortmanager, die die Passwörter lokal speichern.
Abgesehen davon werden die Passwörter verschlüsselt gespeichert. Sie liegen also auch auf den Rechnern des Softwareherstellers nicht lesbar herum. Wenn der Softwarehersteller die Verschlüsselung aber schlampig implementiert hat, kann das ein Problem werden. Deshalb gehören Passwörter nicht auf fremde Rechner.
Wenn du etwas lokal speicherst bist du dein eigener Anbieter.
Bei Keepass XC lassen sich die Daten lokal in einer Datei speichern.
Bitwarden lässt sich auf dem eigenen Homeserver einrichten, dann hat man auch Synchronisation.
Wenn du etwas lokal speicherst bist du dein eigener Anbieter.
So ist es. Die Daten liegen bei mir zu Hause.
Normalerweise liegt die verschlüsselte Datenbank auf einem besonders geschützten Server innerhalb der Firma, nicht ausserhalb beim Hersteller der Software.
Was heißt
innerhalb der Firma, nicht ausserhalb beim Hersteller der Software
Die Firma ist mitunter der Hersteller der Software. Und natürlich müssen die Passwörter in einem von außen erreichbaren Rechenzentrum liegen, damit Du als Benutzer auf Deine Passwörter zugreifen kannst. Wird der Zugriffsschutz von Unbefugten überwunden, kann das zum Problem führen.
Nein. Meine privaten Passwörter liegen auf meinem Smartphone im Keepass. Bei meinem Arbeitgeber ist der Passwortserver auf einem separaten Server bei uns im RZ und ist nur von intern bzw. per VPN erreichbar.
Nein, der Hersteller der Software hat keinen direkten Zugriff auf meine Passwörter.
Meine privaten Passwörter
Das ist völlig egal und hier irrelevant. Der Fragesteller spricht offenbar von Passwortmanagern, bei denen die Passwörter beim Hersteller liegen. Ja, so etwas gibt es auch.
liegen auf meinem Smartphone im Keepass.
Also nicht, wie Du behauptest, innerhalb der Firma. Sondern auf Deinem Smartphone.
Nein, der Hersteller der Software hat keinen direkten Zugriff auf meine Passwörter.
Das war nicht die Frage.
Die Entschlüsselung deer Passwortdatei findet (hoffentlich) nicht auf dem Server, sondern lokal auf dem Device des Nutzer statt.
Vor einem Trojaner, den man sich lokal eingefangen hat, schützt dass allerdings wirklich nicht. Aber dann ist so wieso alles zu spät. Wenn der Angreifer es geschafft, auf deinem Device eine Program auszuführen machst du gar nichts mehr, außer dumm kucken.