Ciertamente sería más conveniente almacenar mi base de datos KeePass en S3, Dropbox o, mejor aún, en SpiderOak. Mi temor es tener mi cuenta de almacenamiento en la nube comprometida y luego recuperar las credenciales por fuerza bruta o algún otro vector de ataque. ¿Qué tan seguro es esto? ¿Qué riesgos debo conocer?
Es difícil de cuantificar exactamente, pero si tiene la base de datos en un dispositivo móvil, entonces no diría que esto sea particularmente menos seguro. KeePass cifra la base de datos porque no se espera que el archivo que permanece seguro sea una garantía. Sin duda, es preferible que el archivo de base de datos no esté disponible, pero si su seguridad depende de que el archivo cifrado permanezca confidencial, tendrá más problemas que utilizar el almacenamiento en la nube o no.
Una contraseña maestra lo suficientemente fuerte debería evitar el uso de la fuerza bruta por lo menos el tiempo suficiente para que se detecte una violación y para que usted cambie las contraseñas dentro de ella. De esta manera, incluso puede ser un poco preferible tener una copia local en un dispositivo móvil, ya que alguien puede comprometer el archivo si sacas la vista de tu dispositivo aunque sea momentáneamente y sería mucho más difícil identificar que ocurrió la violación.
Si desea asegurarla aún más, puede agregar otra capa de seguridad cifrando el archivo que almacena en el almacenamiento en la nube en línea. La contraseña maestra proporciona una seguridad bastante buena siempre que elija una contraseña de fuerza bruta difícil de usar (larga y verdaderamente aleatoria), pero aún así no puede competir con una clave de cifrado realmente larga. Si cifra el archivo que almacena en línea y luego mantiene esa clave protegida con una contraseña maestra similar, ahora solo el componente en línea es mucho más difícil de descifrar (es probable que no se realice correctamente) y si su archivo de clave se ve comprometido, simplemente vuelve a cifrar su base de datos en línea de inmediato con una nueva clave. Aún estás en problemas si alguien puede comprometer tu cuenta de la nube primero y obtener el archivo, pero requiere dos puntos de compromiso en lugar de uno.
Personalmente, probablemente termine usando mi OwnCloud (que es auto hospedado), pero tengo la ventaja de tener mi propio servidor web personal y me doy cuenta de que esa no es una opción que todos puedan aprovechar. (La única razón por la que no lo tengo es que no tengo la necesidad particular de coordinar una base de datos clave de esa manera). Sin embargo, una solución pública basada en la nube debería funcionar como una buena segunda opción.
Puede aumentar la resistencia de su base de datos KeePass a fuerza bruta aumentando el número de iteraciones PBKDF2 al derivar la clave de cifrado de la base de datos de su contraseña. Puedes hacer esto en KeePass en Archivo > Configuración de la base de datos > Seguridad. Personalmente, uso alrededor de 5,000,000 rondas (1 s de retraso). Recuerda que los dispositivos móviles son más lentos.
Utilizo la combinación KeePass-Dropbox. La base de datos de contraseñas se cifra mediante una clave derivada de una contraseña maestra segura . Incluso si alguien adquiere su base de datos de contraseñas cifradas a través de su cuenta en la nube, una contraseña maestra lo suficientemente sólida hace que los ataques de fuerza bruta no sean factibles.
En pocas palabras: Use una contraseña maestra segura y deje de preocuparse por esto.
La nube es intrínsecamente indigna de confianza, y los archivos que se guardan en ella deben considerarse vulnerables, por lo que necesita un cifrado sólido para protegerse. KeePass ofrece eso. Sin embargo, debe poder confiar en cada cliente en el que ingrese su contraseña. Si los lees en un iPhone, ¿confías en la plataforma? ¿Protege su contraseña de las cámaras en el metro cada vez que ingresa? ¿Qué tal tu portátil?
También debe considerar el valor de lo que está protegiendo. ¿Esto es salvaguardar sus fondos de jubilación? ¿Tus puntuaciones en la liga de bolos de fantasía? ¿Disensión política que es ilegal en tu país? Para algunos casos, simplemente no vale la pena el riesgo de cometer un error.
Así que sí, siempre que confíe en KeePass y confíe en sus dispositivos, y confíe en su capacidad para mantener su clave maestra segura, no se preocupe por mantener la base de datos en Dropbox.
Incluso si su base de datos de KP se comprometiera con Dropbox, usando una contraseña segura y además un archivo de claves no almacenado en Dropbox debería brindarle seguridad más allá de cualquier medio conocido de ataque electrónico (siempre que como sus dispositivos no están ya comprometidos).
El archivo de claves debe almacenarse en una ubicación segura separada, como una unidad USB que pueda proteger físicamente. Esto proporciona 3 capas de protección:
Si bien un cifrado lo suficientemente fuerte debería ser capaz de resistir un ataque de fuerza bruta, considere que al almacenar su base de datos de contraseñas en la nube le da al posible atacante mucha más información de la que podría obtener de, por ejemplo. un teléfono perdido con la misma base de datos.
Cada vez que modifica una contraseña, el atacante obtiene una nueva base de datos, que puede usar junto con versiones anteriores en ataques de análisis diferencial . Necesitará un cifrado más sólido para resistir eso, en comparación con el simple COA . Si también tiene una de sus contraseñas (por ejemplo, al descifrar una base de datos de contraseñas mal protegida de uno de los sitios que visita), es posible que pueda identificar esa contraseña en su base de datos. Esto abriría las puertas para KPA que puede ser casi trivial en caso de que reutilice las contraseñas.
También le está dando información al atacante sobre su actividad relacionada con la contraseña. Él sabrá con qué frecuencia cambia sus contraseñas y puede deducir qué contraseñas cambia.
Por lo tanto, si decide almacenar su base de datos de contraseñas en una nube pública,
Elija un algoritmo de cifrado fuerte, resistente al criptoanálisis diferencial. Asegúrese de que todas las contraseñas de la base de datos tengan una sal individual.
Cambie la contraseña maestra regularmente, preferiblemente con la frecuencia con que lo haga con su contraseña más valiosa.
No reutilizar contraseñas.
Soy un fuerte creyente en la defensa en profundidad sobre esto.
No importa cuán segura sea su contraseña, también es una que no se puede cambiar.
Entonces, para proteger mi base de datos Keepass, estoy usando tres capas:
Por qué no se puede cambiar la contraseña: por supuesto, puede cambiar la contraseña, y en realidad volverá a cifrar la base de datos de Keepass, pero no podrá cambiarla retroactivamente en copias antiguas.
Especialmente (pero no solo) si almacena la base de datos en la nube, debe asumir que un adversario se apoderó de la base de datos en algún momento anterior, con una contraseña anterior. Eso puede darle la información que está buscando.
Si quieres ser realmente serio, ejecuta Boxcryptor junto con Dropbox. Boxcryptor encripta todo en su extremo ANTES de enviarlo a los servidores de Dropbox. Todo lo que está al final de Dropbox es una carga de cosas encriptadas. ¡Tu db keepass termina doblemente cifrada!
Sugeriría una solución que incluya lo siguiente:
Como todos mencionaron, tener una contraseña maestra fuerte para su archivo de base de datos es muy importante para frustrar los ataques de fuerza bruta. Pero si combinas eso con un archivo clave, entonces se vuelve prácticamente imposible la fuerza bruta.
Si Cloud Storage 1 está comprometido, entonces el archivo de base de datos sin el archivo clave será imposible de aplicar, a menos que exista una vulnerabilidad de seguridad grave en la implementación del cifrado de Keepass.
Si Cloud Storage 2 está comprometido, entonces el archivo de clave en sí mismo es inútil sin el archivo de base de datos. Es solo una extensión de su contraseña maestra, no contiene ningún dato.
Yo diría que sería altamente improbable que ambos Cloud Storages se vieran comprometidos al mismo tiempo por el mismo atacante. Tendrías que ser un individuo de alto perfil para eso (por ejemplo, político, multimillonario, agente secreto, etc.) :)
Si no eres uno de los anteriores y estás dispuesto a sacrificar un poco de seguridad a cambio de facilitar el acceso (por ejemplo, sigues olvidando dónde colocas el maldito disco USB), guarda el archivo de la base de datos y el archivo de la clave en la computadora local Sin embargo, en este caso, la computadora local se convierte en el punto débil; si se ve comprometido, el atacante tendrá acceso al archivo clave, por lo que solo tendrá que forzar la contraseña maestra en la base de datos, por lo que es mejor establecer una contraseña segura. Esto sería lo mismo que no usar un archivo clave en absoluto.
Otra opción: solo use la nube para transferir su base de datos al próximo dispositivo y luego elimínela del almacenamiento en la nube. Esto expondría su base de datos por un tiempo limitado. No es exactamente lo que estaba preguntando, sino una opción que puede considerarse dependiendo de su nivel de seguridad requerido.
Yo digo que vaya con la solución de nube "cifrada en el cliente" de su elección, cifre con la mayoría de las iteraciones de PBKDF2 con las que se sienta cómodo, el archivo de claves más grande con el que pueda vivir y, lo más importante, almacene la información que mantiene cerca de usted ( localmente) en una unidad de auto-codificación. Si es necesario, coloque un sistema de archivos cifrado, pero el cifrado de los datos que son propensos a la pérdida o el robo, como una unidad USB, debe ser automático.
Si un grupo puede comprometer un servicio en la nube lo suficiente como para descubrir que tiene un kdb para ser descifrado, es posible que tenga más motivación para plantar un registrador de claves / kit raíz en sus dispositivos personales. Por supuesto, si tal grupo puede ver que está descargando el software desde sourceforge o desde una tienda de aplicaciones, obtienen información similar. De hecho, esta publicación es un aviso mucho más fácil, por lo que la preocupación por este vector de ataque puede ser para personas más paranoicas que nosotros mismos.
Lea otras preguntas en las etiquetas passwords cloud-storage keepass