Lesspass: 질문: KeePass 대 LessPass 비교 FAQ에 대한 추가 명확성 찾기

FAQ에서 KeePass 대 LessPass :

마스터 비밀번호로 암호화된 데이터베이스에 계정/비밀번호 저장

대

마스터 암호를 기반으로 모든 계정에 대해 고유한 암호를 계산합니다. 생성된 비밀번호는 절대 저장되지 않습니다

암호화된 데이터베이스는 암호 해독을 위한 마스터 암호가 없으면 거의 사용되지 않습니다. 공격자가 마스터 암호를 가지고 있는 경우 마스터 암호에서 파생된 것이 아니므로 포함된 암호를 가져오기 위해 여전히 암호화된 데이터베이스가 필요합니다.

이에 반해 LessPass는 비밀번호를 저장하지 않지만 마스터 비밀번호 자체는 일종의 저장장치입니다. 일단 알려지면 사용자 암호는 더 이상 보호되지 않습니다. 서비스를 필요로 하는 서비스를 수용하기 위한 프로필은 서비스 최소 요구 사항에서 크게 벗어나지 않을 것입니다. 사용자가 명시적으로 이를 벗어난 경우 보안에 도움이 되며, 카운터와 같은 프로필 매개변수는 그렇게 적습니다.

그러나 프로필은 저장될 가능성이 높으므로 암호화된 데이터베이스 파일의 비교와 유사합니다. LessPass의 한 가지 이점은 서비스가 암호 생성에 있어 결정적일 수 있지만 다른 계정 메타데이터와 함께 사용되는 서비스가 명확하지 않다는 것입니다. 공격자가 대상 자격 증명으로 로그인하기 위해 특정 또는 아마도 서비스를 찾지 않는 경우 손상될 위험이 줄어들 수 있습니다.

데이터베이스를 도난당하고 오프라인에서 무차별 대입할 수 있으며 암호가 개별적으로 암호화되지 않으므로 전체 데이터베이스가 취약합니다.

대

마스터 비밀번호를 추측하기 위해 웹사이트를 무차별 대입해야 하며, 대부분의 사이트는 이를 기록하고 완화합니다(reCAPTCHA, 여러 시도 차단 등).

암호화된 데이터베이스를 보호하기 위해 적절한 마스터 암호가 사용되었다고 가정하면 오프라인 공격이 그렇게 실현 가능한 것은 아닙니다. LastPass가 손상되었을 때 공격자가 데이터를 암호화했지만 암호 해독 키가 없으면 사실상 쓸모가 없었습니다.

LessPass는 웹사이트를 공격해야 하는 것으로 설명되어 있습니다... 보다 실용적인 공격은 암호 해시가 있는 데이터베이스가 손상된 웹사이트에 대한 침해가 될 것입니다. 이것은 오프라인 공격도 허용합니다.

LessPass는 공격자가 마스터 암호 추측을 위해 100,000번의 PBKDF2 반복을 수행해야 할 뿐만 아니라 웹 사이트 계정에 대해 생성된 암호도 해당 서비스의 느린 해시/KDF를 통과해야 한다는 점에서 더 강력합니다. 결합하면 추측당 계산량이 KeePass보다 높을 수 있습니다.

TL;DR:

• LessPass 마스터 비밀번호는 KeePass 마스터 비밀번호 + 암호화된 데이터베이스와 거의 동일합니다. KeePass 마스터 비밀번호는 암호화된 데이터베이스에 액세스하지 않고는 유용하지 않습니다.
• LessPass는 프로필 데이터를 저장할 수 있으며 마스터 암호와 결합하면 사용자가 계정을 가진 각 서비스에 액세스할 수 있습니다 . 그러나 마스터 암호가 있다고 해서 사용자가 LessPass 생성 암호로 등록한 모든 서비스가 표시되는 것은 아닙니다.
• LessPass는 또한 오프라인에서 마스터 암호를 공격할 수 있습니다. 사용자가 LessPass 암호를 가지고 있는 서비스에서 하나의 데이터베이스에만 액세스하면 되며, 성공하면 공격자가 다른 서비스에 대한 암호를 결정적으로 생성할 수 있습니다.

이 비교를 올바르게 이해했습니까?

대부분의 사용자 및 암호의 경우 LessPass 마스터 암호는 파생된 모든 암호를 갖는 것과 동일하며 단일 서비스가 침해되고 암호 해시가 유출되면 공격 시작?

위키에 대한 변경을 요구하지 않고 한 당사자의 비교가 편향될 수 있다고 가정하는 것이 안전할 수 있다고 생각합니다(예: 마스터 암호 변경과 같은 단점 에 대한 언급 없음).