Lesspass: Pregunta: Buscando claridad adicional sobre las preguntas frecuentes sobre la comparación de KeePass vs LessPass

De las preguntas frecuentes, KeePass vs LessPass :

Almacene cuentas / contraseñas en una base de datos cifrada con su contraseña maestra

vs

Calcule una contraseña única para cada cuenta basada en su contraseña maestra; su contraseña generada nunca se guarda

La base de datos cifrada es de poca utilidad sin la contraseña maestra para descifrarla. Si el atacante tenía la contraseña maestra, aún necesita la base de datos encriptada para obtener las contraseñas contenidas, ya que no se derivan de la contraseña maestra.

Por el contrario, aunque LessPass no almacena contraseñas, la contraseña maestra en sí misma es una forma de almacenamiento. Una vez que se conoce, las contraseñas de los usuarios ya no están protegidas. Es poco probable que los perfiles para acomodar los servicios que los necesitan se desvíen mucho de los requisitos mínimos de los servicios; si el usuario se ha desviado explícitamente de esto, sí beneficia la seguridad, los parámetros de perfil como el contador lo son menos.

Sin embargo, es probable que los perfiles se almacenen y, por lo tanto, sean similares a la comparación de un archivo de base de datos cifrado. Un beneficio para LessPass es que los servicios pueden ser deterministas en la generación de contraseñas, pero no es tan probable que sean obvios cuáles se usan junto con otros metadatos de la cuenta. Si el atacante no busca un servicio específico o probablemente para iniciar sesión con las credenciales de los objetivos, esto puede ser menos riesgoso de comprometer.

La base de datos puede ser robada y forzada sin conexión, las contraseñas no se cifran individualmente, por lo que toda la base de datos es vulnerable.

vs

Tendría que usar la fuerza bruta en sitios web para adivinar las contraseñas maestras, la mayoría de los sitios registran y mitigan esto (reCAPTCHA, bloqueo de múltiples intentos, etc.)

Suponiendo que se utilizó una contraseña maestra adecuada para proteger la base de datos cifrada, el ataque fuera de línea no es tan factible. Creo que este ha sido el caso de LastPass cuando se vio comprometido, los atacantes tenían datos cifrados, pero era efectivamente inútil sin las claves para descifrar.

Se describe que LessPass requiere atacar los sitios web ... un ataque más práctico sería contra un sitio web que tiene una brecha donde la base de datos con hashes de contraseña se ve comprometida. Esto también permite un ataque fuera de línea.

LessPass es aún más fuerte, en el sentido de que el atacante no solo necesita realizar 100k iteraciones de PBKDF2 para adivinar la contraseña maestra, sino que la contraseña generada para la cuenta del sitio web también debe pasar por esos servicios de hash lento / KDF. Combinado, puede elevar el cálculo por conjetura por encima del de KeePass.

TL; DR:

• La contraseña maestra de LessPass es casi equivalente a la contraseña maestra de KeePass + la base de datos cifrada. La contraseña maestra de KeePass no es útil sin acceso a la base de datos cifrada.
• LessPass puede tener datos de perfil almacenados, que junto con una contraseña maestra permite el acceso a cada servicio con el que el usuario tiene una cuenta . Sin embargo, tener la contraseña maestra no revela todos los servicios que el usuario ha registrado con contraseñas generadas por LessPass.
• LessPass también puede hacer que la contraseña maestra sea atacada sin conexión. Solo requiere acceso a una base de datos desde un servicio con el que el usuario tiene una contraseña LessPass, que si tiene éxito permite al atacante generar contraseñas para otros servicios de manera determinista.

¿He entendido esta comparación correctamente?

Para la mayoría de los usuarios y sus contraseñas, una contraseña maestra de LessPass es equivalente a tener todas las contraseñas derivadas, y es más accesible para los atacantes que los proveedores en la nube o KeePass (o aplicaciones similares), ya que un solo servicio violado y la filtración de hashes de contraseña permite atacando para empezar?

Sin pedir ningún cambio en la wiki, creo que puede ser seguro asumir que las comparaciones de una de las partes pueden estar sesgadas (por ejemplo, no se mencionan inconvenientes como cambiar la contraseña maestra ).