Lesspass: प्रश्न: कीपास बनाम लेसपास तुलना पर अतिरिक्त स्पष्टता की मांग अक्सर पूछे जाने वाले प्रश्न

एफएक्यू से, कीपास बनाम लेसपास :

अपने मास्टर पासवर्ड से एन्क्रिप्ट किए गए डेटाबेस में खातों/पासवर्ड को स्टोर करें

बनाम

अपने मास्टर पासवर्ड के आधार पर प्रत्येक खाते के लिए एक अद्वितीय पासवर्ड की गणना करें; आपका जनरेट किया गया पासवर्ड कभी सेव नहीं होता

एन्क्रिप्टेड डेटाबेस को डिक्रिप्ट करने के लिए मास्टर पासवर्ड के बिना बहुत कम उपयोग होता है। यदि हमलावर के पास मास्टर पासवर्ड था, तब भी उन्हें निहित पासवर्ड प्राप्त करने के लिए एन्क्रिप्टेड डेटाबेस की आवश्यकता होती है क्योंकि वे मास्टर पासवर्ड से प्राप्त नहीं होते हैं।

इसके विपरीत, भले ही लेसपास पासवर्ड को स्टोर नहीं करता है, मास्टर पासवर्ड ही स्टोरेज का एक रूप है। एक बार यह ज्ञात हो जाने के बाद, उपयोगकर्ता पासवर्ड सुरक्षित नहीं रह जाते हैं। उन सेवाओं को समायोजित करने के लिए प्रोफ़ाइल जिनकी उन्हें आवश्यकता है, सेवाओं की न्यूनतम आवश्यकताओं से बहुत अधिक विचलित होने की संभावना नहीं है, यदि उपयोगकर्ता स्पष्ट रूप से इससे विचलित हो गया है तो इससे सुरक्षा, प्रोफ़ाइल पैरामीटर जैसे काउंटर कम लाभ होता है।

हालांकि प्रोफाइल को संग्रहीत किए जाने की संभावना है, और इस प्रकार एक एन्क्रिप्टेड डेटाबेस फ़ाइल की तुलना के समान है। लेसपास के लिए एक लाभ यह है कि पासवर्ड जनरेशन में सेवाएं नियतात्मक हो सकती हैं, लेकिन किसी अन्य खाते के मेटाडेटा के साथ किन लोगों का उपयोग किया जाता है, यह स्पष्ट होने की संभावना नहीं है। यदि हमलावर लक्ष्य क्रेडेंशियल के साथ लॉगिन करने के लिए किसी विशिष्ट या संभवतः सेवा के बाद नहीं है, तो इससे समझौता होने का जोखिम कम हो सकता है।

डेटाबेस को चुराया जा सकता है और क्रूर रूप से ऑफ़लाइन किया जा सकता है, पासवर्ड व्यक्तिगत रूप से एन्क्रिप्ट नहीं किए जाते हैं इसलिए संपूर्ण डेटाबेस असुरक्षित है

बनाम

वेबसाइटों को मास्टर पासवर्ड का अनुमान लगाने के लिए मजबूर करना होगा, अधिकांश साइटें लॉग इन करती हैं और इसे कम करती हैं (रीकैप्चा, कई प्रयासों को अवरुद्ध करना, आदि)

यह मानते हुए कि एन्क्रिप्टेड डेटाबेस को सुरक्षित करने के लिए एक उचित मास्टर पासवर्ड का उपयोग किया गया था, ऑफ़लाइन हमला संभव नहीं है। मेरा मानना ​​​​है कि लास्टपास के साथ ऐसा ही हुआ है जब इससे समझौता किया गया था, हमलावरों ने डेटा को एन्क्रिप्ट किया था लेकिन डिक्रिप्ट करने की चाबियों के बिना यह प्रभावी रूप से बेकार था।

लेसपास को वेबसाइटों पर हमला करने की आवश्यकता के रूप में वर्णित किया गया है ... एक अधिक व्यावहारिक हमला एक उल्लंघन वाली वेबसाइट के खिलाफ होगा जहां पासवर्ड हैश वाले डेटाबेस से समझौता किया गया था। यह एक ऑफ़लाइन हमले के लिए भी अनुमति देता है।

लेसपास अभी भी मजबूत है, इस अर्थ में कि न केवल हमलावर को मास्टर पासवर्ड अनुमान के लिए पीबीकेडीएफ 2 के 100k पुनरावृत्तियों को करने की आवश्यकता है, बल्कि वेबसाइट खाते के लिए जेनरेट किया गया पासवर्ड भी धीमी-हैश/केडीएफ सेवाओं के माध्यम से भी जाना चाहिए। संयुक्त रूप से यह KeePass के प्रति अनुमान से अधिक गणना बढ़ा सकता है।

टीएल; डॉ:

• लेसपास मास्टर पासवर्ड कीपास मास्टर पासवर्ड + एन्क्रिप्टेड डेटाबेस के लगभग बराबर है। कीपास मास्टर पासवर्ड एन्क्रिप्टेड डेटाबेस तक पहुंच के बिना भी उपयोगी नहीं है।
• लेसपास में प्रोफ़ाइल डेटा संग्रहीत किया जा सकता है, जो एक मास्टर पासवर्ड के साथ उपयोगकर्ता के खाते में प्रत्येक सेवा तक पहुंच को सक्षम बनाता है । हालाँकि मास्टर पासवर्ड होने से उन सभी सेवाओं का पता नहीं चलता है जिन्हें उपयोगकर्ता ने लेसपास जनरेटेड पासवर्ड के साथ पंजीकृत किया है।
• लेसपास में मास्टर पासवर्ड ऑफलाइन भी हो सकता है। इसके लिए केवल उस सेवा से एक डेटाबेस तक पहुंच की आवश्यकता होती है जिसके साथ उपयोगकर्ता के पास एक लेसपास पासवर्ड होता है, जो सफल होने पर हमलावर को अन्य सेवाओं के लिए निश्चित रूप से पासवर्ड उत्पन्न करने में सक्षम बनाता है।

क्या मैं इस तुलना को ठीक से समझ पाया हूँ?

अधिकांश उपयोगकर्ताओं और उनके पासवर्ड के लिए, एक लेसपास मास्टर पासवर्ड उसके द्वारा प्राप्त किए गए सभी पासवर्ड के बराबर होता है, और क्लाउड-प्रदाताओं या कीपास (या इसी तरह के ऐप) की तुलना में हमलावरों के लिए अधिक सुलभ होता है, जिसमें एक ही सेवा का उल्लंघन किया जाता है और पासवर्ड हैश को लीक करने में सक्षम बनाता है शुरू करने के लिए हमला?

विकी में किसी भी बदलाव के लिए नहीं पूछ रहा है, मुझे लगता है कि यह मान लेना सुरक्षित हो सकता है कि एक पार्टी से तुलना पक्षपाती हो सकती है (उदाहरण के लिए मास्टर पासवर्ड बदलने जैसे डाउनसाइड्स के बारे में कोई उल्लेख नहीं है)।