Lesspass: Frage: Mehr Klarheit über den Vergleich von KeePass und LessPass – FAQ

Aus den FAQ, KeePass vs LessPass :

Speichern Sie Konten/Passwörter in einer Datenbank, die mit Ihrem Master-Passwort verschlüsselt ist

vs

Berechnen Sie ein eindeutiges Passwort für jedes Konto basierend auf Ihrem Master-Passwort; Ihr generiertes Passwort wird nie gespeichert

Die verschlüsselte Datenbank nützt ohne das Master-Passwort zum Entschlüsseln wenig. Wenn der Angreifer das Master-Passwort hatte, benötigt er immer noch die verschlüsselte Datenbank, um die enthaltenen Passwörter zu erhalten, da sie nicht vom Master-Passwort abgeleitet werden.

Im Gegensatz dazu, obwohl LessPass keine Passwörter speichert, ist das Master-Passwort selbst eine Form der Speicherung. Sobald es bekannt ist, sind die Benutzerpasswörter nicht mehr gesichert. Profile zur Aufnahme von Diensten, die sie benötigen, werden wahrscheinlich nicht viel von den Mindestanforderungen der Dienste abweichen, wenn der Benutzer ausdrücklich davon abgewichen ist, kommt dies der Sicherheit zugute, Profilparameter wie Zähler weniger.

Profile werden jedoch wahrscheinlich gespeichert und damit vergleichbar mit dem Vergleich einer verschlüsselten Datenbankdatei. Ein Vorteil für LessPass besteht darin, dass Dienste bei der Passwortgenerierung deterministisch sein können, aber welche zusammen mit anderen Kontometadaten verwendet werden, ist wahrscheinlich nicht so offensichtlich. Wenn der Angreifer nicht nach einem bestimmten oder wahrscheinlichen Dienst sucht, um sich mit den Anmeldeinformationen des Ziels anzumelden, kann dies ein geringeres Risiko darstellen, kompromittiert zu werden.

Die Datenbank kann gestohlen und offline brutal erzwungen werden, Passwörter werden nicht einzeln verschlüsselt, sodass die gesamte Datenbank angreifbar ist

vs

Müsste Brute-Force-Websites verwenden, um Master-Passwörter zu erraten, die meisten Websites protokollieren und mildern dies (reCAPTCHA, Blockieren mehrerer Versuche usw.).

Unter der Annahme, dass ein richtiges Master-Passwort verwendet wurde, um die verschlüsselte Datenbank zu sichern, ist der Offline-Angriff nicht ganz durchführbar. Ich glaube, dass dies bei LastPass der Fall war, als es kompromittiert wurde, Angreifer hatten verschlüsselte Daten, aber es war ohne die Schlüssel zum Entschlüsseln effektiv nutzlos.

LessPass wird so beschrieben, dass es einen Angriff auf die Websites erfordert. Dies ermöglicht auch einen Offline-Angriff.

LessPass ist noch stärker in dem Sinne, dass der Angreifer nicht nur 100.000 Iterationen von PBKDF2 für das Erraten des Master-Passworts ausführen muss, sondern auch das generierte Passwort für das Website-Konto muss auch Slow-Hash/KDF durchlaufen. Kombiniert kann es die Berechnung pro Schätzung über die von KeePass erhöhen.

TL; DR:

• Das LessPass-Master-Passwort entspricht fast dem KeePass-Master-Passwort + verschlüsselter Datenbank. Das KeePass-Master-Passwort ist auch ohne Zugriff auf die verschlüsselte Datenbank nicht sinnvoll.
• LessPass kann Profildaten speichern, die zusammen mit einem Master-Passwort den Zugriff auf jeden Dienst ermöglichen, bei dem der Benutzer ein Konto hat . Das Master-Passwort zeigt jedoch nicht alle Dienste an, die der Benutzer mit von LessPass generierten Passwörtern registriert hat.
• LessPass kann das Master-Passwort auch offline angreifen lassen. Es erfordert nur den Zugriff auf eine Datenbank von einem Dienst, für den der Benutzer ein LessPass-Passwort hat, was es dem Angreifer im Erfolgsfall ermöglicht, Passwörter für andere Dienste deterministisch zu generieren.

Habe ich diesen Vergleich richtig verstanden?

Für die meisten Benutzer und ihre Passwörter entspricht ein LessPass-Master-Passwort allen abgeleiteten Passwörtern und ist für Angreifer leichter zugänglich als Cloud-Anbieter oder KeePass (oder ähnliche Apps), da ein einzelner Dienst verletzt wird und Passwort-Hashes preisgeben. Angriff zu beginnen?

Ich frage nicht nach Änderungen am Wiki, ich denke, es kann sicher sein, dass Vergleiche von einer Seite voreingenommen sein können (z. B. werden Nachteile wie das Ändern des Master-Passworts nicht erwähnt ).