KeePass: использовать файл ключа или обычный пароль?

Question

Я настраиваю базу данных KeePass, и она предлагает возможность использовать файл ключа, который, по его словам, является более безопасным, поскольку он может использовать более длинный и более сложный пароль, но его легче взломать, потому что вам нужен только файл ключа, чтобы открыть база данных. Я буду использовать файл ключей только на 2 компьютерах (один настольный компьютер и один ноутбук), какой вариант лучше?

Обратите внимание, что для меня определенно более привлекательно использовать файл ключей, потому что мне трудно запомнить что-либо, близкое к случайному паролю.

Answer 1

Что касается возможности использовать « key files » с KeePass.

Для генерации 256-битного ключа для блочных шифров используется алгоритм Secure Hash SHA-256. Этот алгоритм сжимает пользовательский ключ, предоставленный пользователем (состоящий из пароля и / или файла ключа), в ключ фиксированного размера в 256 бит. Это преобразование является односторонним, то есть вычислительно невозможно инвертировать хеш-функцию или найти второе сообщение, которое сжимается в тот же хеш.

Недавно обнаруженная атака на SHA-1 не влияет на безопасность SHA-256. SHA-256 по- прежнему считается очень безопасным.

(есть еще одно недавнее обновление, но я думаю, что такие новости здесь не актуальны).
На данный момент,

Вывод ключа:
Если используется только пароль (т. Е. Отсутствует файл ключа), пароль плюс 128-битная случайная соль хэшируются с использованием SHA-256 для формирования окончательного ключа (но обратите внимание, что есть некоторая предварительная обработка: защита от атак по словарю). Случайная соль предотвращает атаки, основанные на предварительно вычисленных хэшах.

При использовании файла пароля и ключа окончательный ключ получается следующим образом: SHA-256 (SHA-256 (пароль), содержимое файла ключа), т. Е. Хэш мастер-пароля объединяется с байтами файла ключа и полученным байтом. строка снова хешируется с помощью SHA-256. Если файл ключа не содержит ровно 32 байта (256 бит), они также хэшируются с помощью SHA-256, чтобы сформировать 256-битный ключ. Затем приведенная выше формула изменяется на: SHA-256 (SHA-256 (пароль), SHA-256 (содержимое файла ключа)).

Если вы думаете, что ваш пароль будет немного слабее (и лучше для вашей памяти),
ключевой файл является хорошим вторым фактором.
Итак, используйте оба (вместе).

Answer 2

Все дело в том, чтобы сохранить ваши пароли в безопасности, так что это не просто: пароль. Если вы используете файл ключа и теряете контроль над базой паролей, все ваши пароли будут доступны.

Answer 3

Используйте оба. Храните файл ключа на флеш-накопителе и всегда имейте его с собой. Но не где-то на рабочем столе (это то же самое, что писать пароль на заметках). Я использую этот способ для моего зашифрованного раздела жесткого диска (с TrueCrypt). Так что, если кто-то еще каким-то образом получит ваш пароль, ему также понадобится ключевой файл.

Answer 4

Для новичка в управлении паролями:
Только пароль
Зачем?
Это сокращает ваши проблемы управления файлами (неправильно) в два раза и ограничивает его только одним файлом.
KeepassX .kdbx db может быть защищен смешанным паролем из 64 символов. Для создания длинного безопасного пароля достаточно возможностей.
Это помогает подчеркнуть, что (надежный) пароль (в вашей голове) является вашим основным направлением (а не там, где вы хранили ключевой файл и т.д.).
Если у вас есть проблемы с запоминанием паролей (конечно, мы все делаем), используйте менеджер паролей (например, KeepassX), и вам нужно будет запомнить только один хороший надежный.

Answer 5

Я выбрал использование ключевого файла. Я также создал учетную запись электронной почты, которая использовалась специально для хранения моего ключевого файла (мне не нравится, например, зависать с USB-флешкой каждый раз, когда я хочу получить доступ к своей учетной записи электронного банкинга).

Если компьютер, который я использую, не является моим личным, я просто войду в эту учетную запись электронной почты на компьютере, на котором я хотел бы использовать файл ключа, а затем войду в еще одну учетную запись электронной почты, которая имеет самую последнюю версию моего .kdbx файл.

Наконец, я загружаю KeePass и устанавливаю его на ПК, использую ключ и .kdbx вместе с моим паролем базы данных, и все!

Конечно, я стираю файл .kdbx и файл ключа на используемом ПК.