Passwörter sicher verwahren (gelöst)

Alles rund um sicherheitsrelevante Fragen und Probleme.
Antworten
Theophil T.
Beiträge: 394
Registriert: 22.10.2006 20:24:59
Lizenz eigener Beiträge: MIT Lizenz

Passwörter sicher verwahren (gelöst)

Beitrag von Theophil T. » 13.11.2017 14:19:21

Hallo,

meine Passwörter für Rechner, etc habe ich auf Papier notiert und so sicher, wie man es als Privatmensch kann, verwahrt. Nun könnten solche Notizen durch z.B. einen Brand verloren gehen.

Ich suche deswegen einen 2. Aufbewahrungsort, der auch einigermaßen praktikabel sein müsste: Ein Bankschliessfach z.B. wäre möglich, aber eher unpraktisch.

Als Alternative hatte ich jetzt den Gedanken, eine mit gpg verschlüsselte Passwort-Liste in einem davon unabhängig verschlüsselten Verzeichnis zu speichern (z.B. https://cryptomator.org/de/security/architecture/ und dieses per webdav bei einem Provider abzulegen.

Die Liste schreiben könnte ich auf einem komplett verschlüsselten Debian-System zuhause mit nur minimaler Software-Ausstattung und ohne Netzwerkverbindung, dort mit gpg verschlüsseln und das unverschlüsselte Original überschreiben. Dieses System würde für nichts anderes benutzt (ein alter Rechner, der sonst ungenutzt im Keller steht).

Was meint Ihr dazu? Trotz zweifacher Verschlüsselung zu unsicher? Zuviel Aufwand? Lieber eine 2. Mauerritze als Versteck suchen?

Theophil
Zuletzt geändert von Theophil T. am 17.11.2017 18:19:01, insgesamt 1-mal geändert.

Benutzeravatar
Lord_Carlos
Beiträge: 5578
Registriert: 30.04.2006 17:58:52
Lizenz eigener Beiträge: GNU Free Documentation License
Wohnort: Dänemark

Re: Passwörter sicher verwahren

Beitrag von Lord_Carlos » 13.11.2017 14:29:01

Was spricht gegen ein Passwortmanager? (Und die Datenbank dann bei einem provider ablegen)
Hat den vorteil das der auch dafuer gebaut ist und z.B. bestimmte Daten nicht im Ram und /tmp hinterlegt.

Gegen wen oder welche Angriffe willst du dich schuetzen? Random trojaner? Einbrecher? Gezielter hack? Staatsdienste?

Code: Alles auswählen

╔═╗┬ ┬┌─┐┌┬┐┌─┐┌┬┐╔╦╗
╚═╗└┬┘└─┐ │ ├┤ │││ ║║
╚═╝ ┴ └─┘ ┴ └─┘┴ ┴═╩╝ rockt das Forum!

Theophil T.
Beiträge: 394
Registriert: 22.10.2006 20:24:59
Lizenz eigener Beiträge: MIT Lizenz

Re: Passwörter sicher verwahren

Beitrag von Theophil T. » 13.11.2017 14:50:41

Mit Passwortmanagern habe ich bisher keine Erfahrung - vielleicht wäre das noch eine Alternative.

Das Verwahren mit EDV an einem 2. Ort soll, wie gesagt, bei Verlust der Papier-Notizen schützen und insgesamt kein höheres Risiko bedeuten als dass die Papier-Notizen entwendet/kompromittiert werden, z.B. bei einem Einbruch.

Viele Grüße, Theophil

Colttt
Beiträge: 2983
Registriert: 16.10.2008 23:25:34
Wohnort: Brandenburg
Kontaktdaten:

Re: Passwörter sicher verwahren

Beitrag von Colttt » 13.11.2017 16:25:21

es gibt meiner Meinung nach 2 dinge, entweder klickibunti und einfach, das wäre keepass, dann die keepass-db online irgendwo hinpacken und mit diversen geräten syncen oder aber pass, letzteres ist etwas schwerer zu bedienen
Debian-Nutzer :D

ZABBIX Certified Specialist

pferdefreund
Beiträge: 3791
Registriert: 26.02.2009 14:35:56

Re: Passwörter sicher verwahren

Beitrag von pferdefreund » 13.11.2017 19:19:39

passwortliste mit Editor erstellen, mit ccrypt verschlüsseln - auf Stick und dann bei der Verwandschaft in getrenntem Gebäude lagern - gut ist. Eventuell sogar dann mit cat passwort.... >> irgendeinbild.jpg und das aufs handy. Mit etwas Glück wird dann nur das Bild - am besten was aus der Famlie - angezeigt und ist absolut unverdächtig (natürlich nicht für Profis - aber die haben eh schon deine Daten). Ein Grund mehr, der dafür spricht keine Backups mehr zu machen. Ne Mail an Trump und du kriegst ne Adresse, wo du dir dein Backkup vom NSA runterladen kannst ....

geier22

Re: Passwörter sicher verwahren

Beitrag von geier22 » 13.11.2017 20:40:38

Vielleicht sollte zuerst einmal die Frage gestellt werden, welche Passwörter so schützenswert sind, dass man solchen Aufwand treiben will.
95 % meiner ca. 300 Passwörter sind Zugänge zu irgendwelchen Webseiten, Foren und Händlern.
Ich sehe diese allesamt als nicht schützenswert an (sind eh alle im Passwort- Manager und verschlüsselt) .
Ich würde ja irre werden, wenn ich die mir aufschreiben würde, und dann noch irgendwelche Krypt- Orgien damit zelebrieren müsste. :facepalm: :facepalm: :twisted:
Schützenswert für mich sind lediglich meine Bankdaten, und vielleicht der Zugang zu irgendwelchen Behörden.

Es stellt sich für mich dann die Frage:
Wie schütze ich die paar wirklich wichtigen Daten (und Passwörter) am besten, nicht so sehr vor dem physischen Klauen meines Rechners sondern vor dem Datendiebstahl im Netz. Ich sehe nämlich nicht ein, auf Internet- Shopping zu verzichten. Dies wäre eine für mich nicht hinnehmbare Einschränkung meiner Lebensqualität.

Gegen das Klauen des Rechners hilft eine Verschlüsselung dieser Daten (z.B. mit LibreOffice) und Gut ist.

Schwieriger wird es gegen den Datenklau im Netz sich zu schützen. Denn man hat keinen Einfluss darauf, wie der jeweilige Geschäftspartner mit den übermittelten Daten umgeht. Und Datenbanken werden wahrscheinlich jeden Tag irgendwo geknackt.
Um sich davor zu schützen hilft beim "Shoppen" eigentlich nur die sog. Vorkasse. Denn nur dann bin ich sicher, dass meine Daten nicht einem Dritten zur Verfügung stehen und bei der Bank bleiben. Das ist zwar etwas mühselig (man muss etwas länger warten) und "zu Fuss (=VM mit Banking Programm) " eine Überweisung tätigen,
aber aus meiner Sicht der beste Weg.

Für den täglichen Gebrauch (also für die 95% des Passwort Bestandes benutze ich auch einen Passwort- Manager.
Neben Debiankeepass2 ist mein jetziger Favorit;
Enpass. Deswegen weil das Programm mit allen Browsern und
Betriebssystemen, die ich nutze wunderbar funktioniert, was bei Keepass2 oder Debiankeepassx mit Nichten der Fall ist.
In diesen Managern sind meine sensiblen Daten nicht gespeichert.

Für meinen "extra Browser" um mal bei den Banken vorbei zuschauen benutze ich exklusiv Roboform light und zwar in der Version 3.9.2
da in späteren Versionen anscheinend kein lokales Speichern mehr möglich ist.
Nicht weil ich Angst hätte, dass mir da was geklaut wird, sondern weil ich mich zwingen will, einen extra gesicherten Browser zu öffnen.

Fazit: Da Aufschreiben von PW's ist archaisch und kein bisschen sicherer als ein Passwortmanager. An einen Passwortmanager stelle ich die Anforderung, das ohne irgendwelche Suchorgien, das Passwort auf der gewählten
Webseite automatisch oder aber höchstens durch einen einfachen Klick ( Vorschlag muss vom PW- Manager kommen) ausgefüllt wird. Vor allem darf er nicht die Zwischenablage füllen :!:
Die ich oben genannt habe machen das alle sehr zuverlässig.

Ach ja:
Natürlich hab ich Kopien der Daten auf einem Stick und verschiedenen Rechnern. Und solange ich nicht Alzheimer habe bekomme ich die drei Passwörter für die Datenbanken auch noch aus dem Kopf hin :wink: :THX:

Theophil T.
Beiträge: 394
Registriert: 22.10.2006 20:24:59
Lizenz eigener Beiträge: MIT Lizenz

Re: Passwörter sicher verwahren

Beitrag von Theophil T. » 14.11.2017 21:31:16

Danke für Eure Antworten!

Ich habe mir keepass2 angeschaut und probehalber installiert - es macht keinen schlechten Eindruck und die Bewertungen, auch hier im Forum, sind gut.

Nun geht es mir nicht nur um Passwörter zu unwichtigen Foren, sondern auch um wichtige wie solche für root auf verschiedenen Systemen, Kunden-Login beim Email/Web-Provider, Online-Banking, etc.
Vielleicht bin ich ja etwas altmodisch oder zu vorsichtig, aber ich mag diese noch nicht so richtig einem einzigen Programm anvertrauen, auf meinem Desktop-PC bearbeiten und dann so in die Cloud schieben.

Es ist natürlich praktischer und vielleicht gewinnt man am anderen Ende wieder Sicherheit, weil die Passwörter dann ohne Rücksicht auf Merkfähigkeit besser sein können.

Ich muss nochmal da drüber schlafen.

Theophil

uname
Beiträge: 12046
Registriert: 03.06.2008 09:33:02

Re: Passwörter sicher verwahren

Beitrag von uname » 15.11.2017 12:51:17

Falls man gerade nur einen Browser (auch offline) zur Verfügung hat kann man folgende Anwendung (eine HTML-Datei, natürlich zuvor gedownloadet) verwenden: https://github.com/rndme/nadafile . Der Trick ist die Daten im Browser zu verschlüsseln und anschließend in einer neuen HTML-Datei zu speichern, die dann wiederum über den Browser entschlüsselt werden kann.

Radfahrer

Re: Passwörter sicher verwahren

Beitrag von Radfahrer » 15.11.2017 14:42:44

uname hat geschrieben: ↑ zum Beitrag ↑
15.11.2017 12:51:17
...natürlich zuvor gedownloadet...
Man kann auch "heruntergeladen" sagen.
Ist besser für die Nackenhaare.
Das konnte ich mir jetzt nicht verkneifen. :mrgreen:

Theophil T.
Beiträge: 394
Registriert: 22.10.2006 20:24:59
Lizenz eigener Beiträge: MIT Lizenz

Re: Passwörter sicher verwahren

Beitrag von Theophil T. » 15.11.2017 19:26:23

uname hat geschrieben: ↑ zum Beitrag ↑
15.11.2017 12:51:17
... kann man folgende Anwendung ... verwenden: https://github.com/rndme/nadafile .
Das ist interessant, kannte ich nocht nicht.

Ich frage mich aber, ob nicht noch eine "Schicht" tiefer ein Problem liegt:
Wenn ich auf meinem "normalen" [1] Debian-Desktop-System sehr sensible Daten wie wichtige Passwörter verarbeite, wie relevant ist das Risiko, dass diese Daten kompromittiert werden? Ist sicher schwer zu beantworten. Darum kam mir der Gedanke, dafür ein System einzurichten, welches sonst für nichts benutzt wird (alte Hardware vorhanden, System könnte man mit nur minimaler Software und Netzwerk-mäßig weitgehend abgeschottet einrichten).
Vielleicht ist das ja zu vorsichtig gedacht, aber ich habe nicht die Kenntnisse, um das richtig einzuschätzen.

[1] Debian 9, Festplatten unverschlüsselt, Xfce, Firefox, Thunderbird, Textverarbeitung, Bilder, Multimedia

Theophil

uname
Beiträge: 12046
Registriert: 03.06.2008 09:33:02

Re: Passwörter sicher verwahren

Beitrag von uname » 15.11.2017 21:38:18

Vielleicht dann auch eine veraltete Betriebssystemversion verwenden, wo vielleicht Geheimdienste noch nicht mitprogrammiert haben.

justme2h
Beiträge: 249
Registriert: 01.04.2013 15:04:09

Re: Passwörter sicher verwahren

Beitrag von justme2h » 16.11.2017 00:03:27

Hallo,

erinnert mich leicht daran :mrgreen:
https://imgs.xkcd.com/comics/security.png

Aber Spaß beiseite. Bitte überlege dir nochmal genau, gegen wen oder was du dich eigentlich schützen willst. Und ab welchem Zeitpunkt es sinnfrei wird. Du schreibst z.B. das es dir unter anderem um Brand geht. Ein Rechner im Keller zuhause als Backup hört sich für mich da sinnfrei an, denn wenn das Haus brennt (rein theoretisch), wie sicher ist dann der Rechner im Keller? Selbes Thema Einbruch. Sollte es zu einem Einbruch kommen, wie wahrscheinlich ist es, dass der Rechner im Keller ebenfalls geklaut wird?

Ebenso hoffe ich dir ist bewusst, dass es nicht nur darum geht wie sicher du Passwörter speicherst, sondern auch, wie du mit ihnen dann umgehst. Es hilft wenig, wenn du einen mega großen Aufwand betreibst deine Passwörter zu sichern, und dann loggst du dich z.B. von einem fremden Rechner in dein Mail Konto ein.

Ich persönlich würde sagen, eine verschlüsselte Datei mit deinen Passwörtern verwahrt außerhalb deines Hauses sollte es tuen.

uname
Beiträge: 12046
Registriert: 03.06.2008 09:33:02

Re: Passwörter sicher verwahren

Beitrag von uname » 16.11.2017 13:27:34

Sehe ich ähnlich. Wahrscheinlich werden Zugangsdaten z.B. zu Linux-Systemen eher auf Windows-Systemen (putty.exe) entwendet. Da hilft dann nur noch OTP oder 2FA. Ein Passwort dann mehrfach gesicherten Verschlüsselungscontainern abzulegen macht dann wenig Sinn.

Theophil T.
Beiträge: 394
Registriert: 22.10.2006 20:24:59
Lizenz eigener Beiträge: MIT Lizenz

Re: Passwörter sicher verwahren (gelöst)

Beitrag von Theophil T. » 16.11.2017 14:04:40

uname hat geschrieben: ↑ zum Beitrag ↑
15.11.2017 21:38:18
Vielleicht dann auch eine veraltete Betriebssystemversion verwenden, wo vielleicht Geheimdienste noch nicht mitprogrammiert haben.
:lol: ..das wäre noch eine Steigerung! Aber wann war das zuletzt? Es ist schon klar, wenn man die Sache ganz zu Ende denkt, dürfte man theoretisch nur Soft- und Hardware verwenden, die man selbst geschrieben/kompiliert bzw. wenn man die Chips selbst konstruiert und gebaut hat. Der passende Kompromiss zwischen Aufwand und Sicherheit ist individuell, nur die Haustür würde sicher kein vernünftiger Mensch offen lassen, weil erfahrene Einbrecher sowieso ins Haus kommen.
justme2h hat geschrieben: ↑ zum Beitrag ↑
16.11.2017 00:03:27
... Du schreibst z.B. das es dir unter anderem um Brand geht. Ein Rechner im Keller zuhause als Backup hört sich für mich da sinnfrei an, denn wenn das Haus brennt (rein theoretisch), wie sicher ist dann der Rechner im Keller? ....
... dass es nicht nur darum geht wie sicher du Passwörter speicherst, sondern auch, wie du mit ihnen dann umgehst. ...
Ich persönlich würde sagen, eine verschlüsselte Datei mit deinen Passwörtern verwahrt außerhalb deines Hauses sollte es tuen.
Daten zum Schutz vor Verlust am gleichen Ort 2x abzulegen, empfinde ich auch als hochgradig sinnfrei. Das habe ich aber auch nicht gesagt.
Mir ging es um die Verarbeitung auf dem Alltags-Desktop-Rechner vor der Verschlüsselung und dem anschließenden Hochladen in die Cloud. Abgesehen von Malware-Problemen könnten, soweit ich weiß, auch nach Gebrauch von wipe oder shred zum Löschen unverschlüsselter Daten diese im Dateisystem-Journal, /tmp, swap oder sonst wo verbleiben. Das System hätte dann im Prinzip alle Passwörter im Klartext gespeichert, was, soweit ich es verstanden habe, evtl. ein Passwortmanager verhindern könnte.

Ich habe jetzt mal zur Probe auf der alten ungenutzten Hardware ein Debian-Minimal-System mit gpg, wipe, vim und less in einem verschlüsselten LVM installiert (Zeitaufwand max 1h, habe jetzt etwas bessere Routine mit LUKS und LVM und die Hardware ist nicht mehr so traurig, weil sie nutzlos ist :wink: )
Darauf schreibe die Daten in eine Textdatei und verschlüssele sie mit gpg.
Bei meinem Provider hatte ich sowieso einen Webdav-Zugang mit einem mit Cryptomator verschlüsselten Verzeichnis wo wichtige persönliche Unterlagen liegen. Da schiebe ich die Passwortliste hinein.
Cryptomator hatte ich ausgewählt, weil open source, gute Beurteilung der Verschlüsselung, Datei-basiert (muss also nicht jedesmal den ganzen Container hochladen) und für viele Betriebssysteme verfügbar. Nachteil: nur GUI, keine Kommandozeile
KeePass kommt als Alternative oder Ergänzung infrage.

Dass auch allgemein der Umgang mit Passwörtern relevant ist, ist schon klar.

Danke jedenfalls für Eure vielen Ideen und Infos!

Theophil

edit: Text ergänzt

Antworten