Solía tener mi base de datos configurada en 20,000,000 rondas de transformación clave y sería lo suficientemente rápida en mi PC, pero encontré que toma mucho tiempo en mis teléfonos, así que fui a bajarla y no pude notar esto:
Utilizo un archivo de clave como contraseña maestra, por lo que sé, ¿estoy seguro de los ataques de diccionario en mi contraseña maestra correctamente?
Si es así, ¿sería seguro configurar eso para algo así como 10.000 solo por conveniencia?
El punto de uso del archivo clave en KeePass es que puede mantener el archivo fuera del alcance (en medios externos) y conectarlo solo cuando necesite desbloquear la base de datos.
Al considerar los teléfonos, es probable que no tenga forma de mover el archivo clave fuera del sistema de archivos normal. Eso a su vez significa que no trae ningún beneficio de seguridad. Consulte esta guía , especialmente la sección "Ubicación".
Si usa el método compuesto: contraseña y archivo de clave, tener el archivo en su teléfono anula el valor agregado, por lo que supongo que " uso un archivo de clave [] Estoy a salvo de ataques de diccionario en mi contraseña maestra "es falso.
En efecto, la disminución del número de rondas para la contraseña tiene el mismo efecto, independientemente de si usas el archivo clave o no.
Si solo usas el archivo de clave, disminuir la cantidad de rondas no afecta tu seguridad, ya que ya es cero.
Técnicamente, de acuerdo con la documentación , el archivo de claves no está sujeto a las múltiples rondas de transformación de claves. , en cambio, su SHA-256 se calcula solo una vez:
Al usar tanto la contraseña como el archivo de clave, la clave final se deriva de la siguiente manera:
SHA-256(SHA-256(password), key file contents)(...)
Para generar la clave final de 256 bits que se usa para el cifrado de bloque, KeePass primero escribe la contraseña del usuario usando SHA-256, cifra el resultado N veces usando el algoritmo del Estándar de cifrado avanzado (AES) (llamado transformación de clave desde ahora), y luego lo vuelve a hacer hash usando SHA-256.
Lea otras preguntas en las etiquetas keepass