aWallet Password Manager

Tenga en cuenta: esta publicación responde realmente a la (s) pregunta (s) en la pregunta y no comenta (mucho) sobre la seguridad de aWallet. Le sugiero que visite la versión de esta pregunta de Crypto.SE para una revisión de los detalles criptográficos.

  

¿Existe alguna herramienta / técnica que pueda usar para intentar descifrar el   ¿El archivo data.crypt usado por una aplicación de Wallet para probar su seguridad?

Una búsqueda rápida no reveló nada, por lo que supongo que este administrador de contraseñas no es lo suficientemente grande / no se ha investigado lo suficiente como para hacer que alguien más escriba una herramienta para atacar a este administrador de contraseñas.

  

aWallet no ofrece ningún almacenamiento en la nube propio y nos permite   (opcionalmente) haga una copia de seguridad del archivo data.crypt en Google Drive o Dropbox.   ¿Qué tan seguro sería eso si uso 2-Factor-Authentication para mi   Cuenta de Google?

Esto depende mucho.
Suponiendo que las medidas de seguridad de un Billetero sean realmente buenas y , utilice una contraseña segura y / o un archivo de clave local, luego cargar la base de datos de contraseñas cifradas en un servicio en la nube no afectará la seguridad, ya que su contraseña y / o El archivo de claves todavía protege las contraseñas. Por supuesto, la autenticación adicional y el control de acceso de estos servicios en la nube significa que es probable que solo usted y el proveedor tengan acceso y, por lo general, lo mejor para el proveedor es no filtrar los archivos de usuario.

  

En general, ¿es seguro almacenar credenciales de inicio de sesión o datos bancarios?   o ambos en un administrador de contraseñas?

Sí, mucho, si el administrador de contraseñas es decente.
El uso de un administrador de contraseñas le permite tener fácilmente contraseñas seguras y únicas para cada sitio web, lo que significa que se requiere un compromiso de su base de datos de contraseñas o de su cliente local. Como ya hemos establecido, la contraseña segura evita un compromiso de la copia de seguridad, por lo que el cliente queda comprometido como el vector para aprender la contraseña. Pero tan pronto como su cliente se vea comprometido, todas las apuestas se desactivarán de todos modos, ¡porque el atacante podría simplemente olfatear su teclado o monitorear / interceptar los datos de su red! Así que, en general, poco para perder y mucho para ganar al usar (buenos) administradores de contraseñas.

Si aWallet es un buen administrador de contraseñas, es una pregunta diferente (y se responde en Crypto.SE).

aWallet específicamente: no lo use. El creador obviamente no sabe lo que están haciendo. Solo seleccionaré una preocupación (hay varias que probablemente sean más obvias para People Smarter Than Me): podría encriptar su base de datos en modo ECB (a veces, pero no siempre).

El modo ECB es notablemente no seguro porque el mismo texto simple siempre se cifra al mismo texto cifrado. Por lo tanto, el modo BCE "no oculta los patrones de datos bien ... no proporciona una confidencialidad seria del mensaje, y es no se recomienda su uso en protocolos criptográficos en absoluto ".

Gestores de contraseñas en general: use uno. Pero elija uno bien conocido con buena reputación como 1Password, LastPass, KeePass, Dashlane, etc. O al menos use uno creado o recomendado por una empresa de seguridad o un investigador de seguridad conocido si no sabe dónde buscar. Un buen administrador de contraseñas con encriptación competente ( no al parecer, en un Wallet) es perfectamente seguro para guardar en la nube, siempre que su contraseña maestra sea segura.

Editar: Aceptar No puedo resistirme a elegir algunos otros puntos que saltan hacia mí para gritar "aléjate":

• Con respecto a la transformación de la contraseña maestra en una clave de cifrado: "SHA-256 ha procesado el resultado 1000 veces". Esto es ridículamente insuficiente. Si se hacen correctamente, como mínimo utilizarían PBKDF con 10,000 rondas o más, en lugar de un bucle hash personalizado de solo 1000. Incluso eso sería apenas suficiente, y se compararía mal con los administradores de contraseñas implementados correctamente. Cientos de miles o más rondas serían más como eso. O abandone el hashing de contraseña basado en SHA y use algo como bcrypt o argon2. Este software no se puede comparar con las herramientas modernas.
• "Es compatible con la destrucción automática del archivo de datos después de que se haya intentado un número predefinido de desbloqueos fallidos". Esto no afecta a un atacante en absoluto. La única persona que puede hacer daño es el usuario legítimo. Un atacante hará una copia de la base de datos o usará el software modificado para eliminar el límite de conjetura. Usted , por otro lado, puede perder accidentalmente todas sus contraseñas, y nunca volver a verlas, al activar el bloqueo de mayúsculas o una clave muerta, o algo por el estilo.