Privatsphäre und IT-Sicherheit

[MaxMueller]

Kurzer Nachtrag auch von mir:
Mir ist beim Vergleichen von Alternativen heute wieder eingefallen, dass ich damals den VLC Media Player genutzt hatte um den Bildschirm aufzunehmen.

Nachteile:
- Tonspur muss separat aufgenommen werden (=umständlich)
- Streamingdienste wie Amazon Prime liefern nur nen schwarzen Screen
- Videobearbeitung bringt der auch nicht mit

Aber wenn man den VLC Player eh schon zum Filme schauen aufm rechner hat, dann ist er für manche Aufgaben ggf. die einfachste Lösung.

[cygan]

ich muss gestehen, dass ich bis heute noch nie einen passwort manager genutzt habe... bei der vergabe der jeweiligen passwörter, habe ich mir ein system ausgedacht, welches ich dann bei meinen anmeldungen bisher erfolgreich genutzt habe
nichtdestotrotz, durch diesen faden und um noch besser aufgestellt zu sein, habe ich mir am wochenende auf meinem linux mint system KeePassXC runtergeladen/installiert
diesen pw-manager werde ich jetzt mal testen und dann schritt für schritt mit meinen ganzen passwörtern füttern

kann man eigentlich in KeePassXC auch die 2fa 'haupt'schlüssel abspeichern?
was das angeht, nutze ich hier die aegis 2fa-app

[Cricktor]

kann man eigentlich in KeePassXC auch die 2fa 'haupt'schlüssel abspeichern?
was das angeht, nutze ich hier die aegis 2fa-app

Ja, klar geht das. https://letmegooglethat.com/?q=keepassxc+how+to+use+TOTP+2FA%3F   

Also, wenn du meine Suchwörter direkt in Google einklimperst, dann sagt schon die Google KI im erweiterten Modus, wie es geht.

Zusätzlich kommen da diverse Youtube-Video-Anleitungen. Ist jetzt nicht wirklich schwer.

Ich würde auch immer noch beides benutzen. Die TOTPs auf demselben Gerät ist zwar praktisch, aber eigentlich dann kein 2FA mehr. Ich mache das z.T. aber auch, einfach als Backup und weil es manchmal geschmeidig praktisch ist.

Da ein Passwortmanager sowieso ein begehrtes Angriffsziel ist, sollte klar sein, daß dessen Absicherung mit einem sehr starken Faktor oder einem Hardware-Key oder einem 2FA, der wirklich auf einem anderen Gerät ist, hohe Priorität haben sollte.

[5tift]

Zum Thema Passwort Manager habe ich auch noch einen aktiven Tab im Browser.
Ich hatte früher den normalen KeePass genutzt und möchte demnächst zu KeePassXC migrieren um die Browser Integration zu testen.
Hat sich schon jemand mit der Synchronisation der db Datei beschäftigt, wenn man mehrere Geräte im Netzwerk hat?
Mein weiterer offener Tab nach KeePassXC ist Syncthing

[x3t9fi]

Du kannst die DB/KeyFile auf einem Netzwerkshare ablegen und mit mehreren Geräten darauf zugreifen.
Alternative du nutzt einen File-Sync Service deiner Wahl OneDrive etc. pp. um das File hin und her zu syncen.

EDIT: Solange es nur um einen Benutzer geht, funktioniert das ganze relativ gut. Berechtigungssystem oder ähnliches suchst du aber bei KeePassXC vergebens. Falls du mehrere Nutzer damit ausstatten möchtest - würde ich in Richtung VaultVarden (Je nach allg. Kenntnissen) mit lokaler Instanz tendieren. Hier hast du weit mehr Einstellungs / Konfigurationsmöglichkeiten betreffend Multi-User Szenarien.

[Lakai01]

Du kannst die DB/KeyFile auf einem Netzwerkshare ablegen und mit mehreren Geräten darauf zugreifen.
Alternative du nutzt einen File-Sync Service deiner Wahl OneDrive etc. pp. um das File hin und her zu syncen.

Ich nutze das sowohl privat als auch beruflich genau so. Ob ich jedoch einen Onlinedienst wie OneDrive nutzen würde weiß ich nicht, da ist mir offline doch deutlich lieber.

Man kann zusätzlich das Keyfile auch noch in einem Versionsverwaltungssystem ablegen um auch im Fall des Falles alte Versionen wiederherstellen zu können. Da reicht in der Regel aber bereits die Windows-eigene Versionsverwaltung von Dateien (oder ein entsprechend gutes Backup-Management) um diesen Effekt zu erreichen. Ich musste tatsächlich schon mal auf eine ältere Version meines Keyfiles zurücksteigen, in so einem Fall freut man sich wie ein kleines Kind vor Weihnachten wenn man ältere Versionen zur Verfügung hat ...

[Cricktor]

...

Ja, sowas kann man auch machen, solange man damit klarkommt und trotzdem sichergestellt ist, daß stets individuelle Passwörter für unterschiedliche Dienste verwendet werden.

Trotzdem halte ich das für weniger sicher, als tatsächlich zufällige Passwörter zu verwenden, die ein Passwort-Manager verwaltet und die nach keinem menschlichen Schema konstruiert sind.

Meist hat man bei deinem Vorgehen einen "sicheren" Teil im Passwort, der üblicherweise nicht erratbar sein sollte und einen dienstbezogenen Teil, der irgendwie offensichtlich für einen selbst ist, so daß man sich den nicht mal merken muss, weil man einfach weiß, wie man den konstruiert. Kann man dann am "sicheren" Teil einfach anhängen oder voranstellen.

Keine Ahnung welches Schema du benutzt, musst du selbstverständlich nicht mal im Ansatz offenlegen.


Ich sehe so ein managerloses Schema aus folgendem Grund als weniger sicher an:
mal angenommen ein Dienst wird gehackt und die haben die Kundenpasswörter nicht nach dem Stand der Technik gespeichert, z.B. nicht als "gesalzene" Hash-Werte mit einem sicheren Hash-Verfahren, selten bekommt man belastbare Infos dazu, und Fieslinge konnten Klartext-Passwörter abgreifen oder das verwendete schlechte Hashverfahren knacken. Die Fieslinge erlangen also Kenntnis von deinem "sicheren" Passwort-Teil und das Schema für den dienstebezogenen Teil ist "offensichtlich" oder leicht erratbar.

Damit fällt so ein managerloses Schema in sich zusammen und erlaubt Angreifern weitere deiner Konten anzugreifen.

Mit individuellen und zufälligen Passwörtern kann das nicht passieren und da managerverwaltet kannst du idR ohne Komforteinbußen lange Passwörter benutzen, Minimum 16, besser 20, aber 24 oder 32 Zeichen sind da auch kein Problem.


Aber, nicht ignorieren, ein Passwort-Manager ist dann immer auch ein sehr begehrtes Angriffsziel. Die wenigen guten Produkte stehen bei Bösewichten und deren potentieller Malware recht weit oben auf der Liste. Ich sähe hier einen bevorzugten Angriffsvektor über die bei Passwort-Managern übliche Browser-Integration.

Man kann hier nur hoffen, daß die Browser-Erweiterungen gescheit programmiert sind. Aber da Browser selbst kaum noch handhabbare Software-Ungetüme sind, dürften sich der eine oder andere Zero-Day-Bug immer wieder finden und ausnutzen lassen.

[cygan]

✂️

danke für diese doch sehr hilfreiche und auch nachvollziehbare meinung von dir!
damit ist bei mir nun der entschluss gekommen KeyPassXC auf meinem linux mint system nun mit neuen passwörtern zu füttern bzw. über diesen pw-manager mir neue passwörter für meine ganzen logins/accounts zu generieren
werde ich jetzt schritt für schritt ab der nächsten woche mir vornehmen