Lesspass: Question : Recherche de clarté supplémentaire sur la FAQ de comparaison KeePass vs LessPass

Dans la FAQ, KeePass vs LessPass :

Stockez les comptes/mots de passe dans une base de données cryptée avec votre mot de passe principal

vs

Calculez un mot de passe unique pour chaque compte en fonction de votre mot de passe principal ; votre mot de passe généré n'est jamais enregistré

La base de données cryptée est de peu d'utilité sans le mot de passe maître pour la décrypter. Si l'attaquant avait le mot de passe principal, il a toujours besoin de la base de données chiffrée pour obtenir les mots de passe contenus car ils ne sont pas dérivés du mot de passe principal.

En revanche, même si LessPass ne stocke pas les mots de passe, le mot de passe principal lui-même est une forme de stockage. Une fois connus, les mots de passe des utilisateurs ne sont plus sécurisés. Les profils pour accueillir les services qui en ont besoin ne sont pas susceptibles de s'écarter beaucoup des exigences minimales des services, si l'utilisateur s'en est explicitement écarté, il bénéficie de la sécurité, les paramètres de profil tels que le compteur le sont moins.

Les profils sont cependant susceptibles d'être stockés, et donc similaires à la comparaison d'un fichier de base de données crypté. L'un des avantages de LessPass est que les services peuvent être déterministes dans la génération de mots de passe, mais ceux qui sont utilisés avec d'autres métadonnées de compte ne sont probablement pas aussi évidents. Si l'attaquant ne recherche pas un service spécifique ou probablement pour se connecter avec les informations d'identification de la cible, cela peut être moins susceptible d'être compromis.

La base de données peut être volée et forcée hors ligne, les mots de passe ne sont pas cryptés individuellement, donc toute la base de données est vulnérable

vs

Devrait forcer les sites Web à deviner les mots de passe principaux, la plupart des sites enregistrent et atténuent cela (reCAPTCHA, blocage de plusieurs tentatives, etc.)

En supposant qu'un mot de passe maître approprié ait été utilisé pour sécuriser la base de données cryptée, l'attaque hors ligne n'est pas si possible. Je crois que cela a été le cas avec LastPass lorsqu'il a été compromis, les attaquants avaient des données chiffrées mais c'était effectivement inutile sans les clés pour déchiffrer.

LessPass est décrit comme exigeant d'attaquer les sites Web... une attaque plus pratique serait contre un site Web ayant une violation où la base de données avec les hachages de mot de passe a été compromise. Cela permet également une attaque hors ligne.

LessPass est encore plus fort, dans le sens où non seulement l'attaquant doit effectuer 100 000 itérations de PBKDF2 pour deviner le mot de passe principal, mais le mot de passe généré pour le compte du site Web doit également passer par ce service slow-hash/KDF. Combiné, cela peut augmenter le calcul par supposition au-dessus de celui de KeePass.

TL ; DR :

• Le mot de passe principal LessPass est presque équivalent au mot de passe principal KeePass + base de données cryptée. Le mot de passe principal KeePass n'est pas utile sans accès à la base de données cryptée également.
• LessPass peut avoir des données de profil stockées, qui, associées à un mot de passe principal, permettent d'accéder à chaque service avec lequel
• LessPass peut également faire attaquer le mot de passe principal hors ligne. Il nécessite uniquement l'accès à une base de données à partir d'un service avec lequel l'utilisateur dispose d'un mot de passe LessPass, qui, en cas de succès, permet à l'attaquant de générer des mots de passe pour d'autres services de manière déterministe.

Ai-je bien compris cette comparaison ?

Pour la plupart des utilisateurs et leurs mots de passe, un mot de passe principal LessPass équivaut à avoir tous les mots de passe qu'il dérive et est plus accessible aux attaquants que les fournisseurs de cloud ou KeePass (ou des applications similaires), dans la mesure où un seul service est violé et la fuite de hachages de mot de passe permet attaquer pour commencer ?

Ne demandant aucune modification au wiki, je pense qu'il peut être sûr de supposer que les comparaisons d'une partie peuvent être biaisées (par exemple, il n'y a aucune mention d' inconvénients comme le changement de mot de passe principal ).