Utilizar correctamente los archivos que tienen claves

Personalmente, recomendaría almacenar la clave de archivo en algo que tenga protecciones en sí mismo, como un Apricorn FIPS 140-2 Nivel 3 validado unidad flash , muchas de las cuales le permiten configurar la protección de fuerza bruta, es decir, cuántos PIN incorrectos ingresados hasta que la unidad se borra.

La validación FIPS 140-2 Level 3 también indica que hay algunas protecciones contra el desmontaje físico para llegar a los parámetros críticos de seguridad.

Guárdela en un lugar seguro, y será lo mejor que pueda, a excepción de cualquier archivo que copie su propio sistema operativo que contenga KeePass / Veracrypt, por supuesto, pero ese siempre será el caso. Lo ideal es que la máquina KeePass esté 100% fuera de línea, como una Raspberry Pi2 con el conector Ethernet lleno de epoxi y que no se muevan los archivos (nuevamente, los dispositivos Apricorn se borraron a través de su teclado físico después de desconectarlos del trabajo).

Hay tres métodos utilizados para la autenticación: algo que sabes, algo que tienes y algo que eres. El primero es generalmente una contraseña. Un archivo clave es una instancia de la segunda, algo que tienes. Cuantos más métodos usen juntos, más segura será su base de datos.

Tu problema sería que un atacante robara el archivo clave. Tenerlo en un USB separado es un buen plan, pero un atacante aún podría robarlo. Siempre utilizo una contraseña y un archivo de clave.

Es posible que también desee invertir en un token de hardware, como Yubikey, si fuera realmente paranoico. Eso haría muy difícil que un atacante extraiga esa parte de la clave, incluso si se la robara.