Hay una respuesta en superusuario a esta pregunta, pero prefiero tener una respuesta autorizada desde una perspectiva de seguridad.
¿Es generalmente seguro alojar un archivo de contraseña maestra cifrada (como la utilizada por 1Password) en un proveedor de almacenamiento en la nube (Dropbox, iCloud, etc.)? ¿Cuáles son los riesgos relativos inherentes al hacerlo? ¿Se pueden mitigar esos riesgos adicionales?
Divulgación: trabajo para AgileBits, los creadores de 1Password.
La seguridad de sus datos de 1Password en Dropbox depende de la calidad de su contraseña maestra de 1Password.
La respuesta larga es solo una explicación de la respuesta corta y un par de otras cosas.
Diseñamos 1Password bajo el supuesto de que a algunas personas se les robarían los datos cifrados de 1Password. Ya sea que sea robado de sus propias computadoras (alguien se aleja con una computadora portátil) o de algo como Dropbox realmente no importa. Es posible que los datos sean robados, y es por eso que se cifran con claves cifradas con claves derivadas de su Contraseña maestra.
Ahora hacemos un uso intensivo de PBKDF2 para ralentizar las adivinanzas de contraseña maestra automatizadas en caso de que se capturen los datos de 1Password, pero PBKDF2 y similares solo presenta un golpe de velocidad al atacante; No proporciona una barrera sólida. Por eso es importante que elijas una buena contraseña maestra.
Hace más de cinco años, ofrecimos algunos consejos para elegir una buena contraseña maestra en Hacia mejores contraseñas maestras . Este consejo fue recogido por XKCD y se hizo famoso, pero satisface lo que yo llamo el Principio de Kantian del consejo para la creación de contraseñas: El consejo para la creación de contraseñas debería seguir siendo un buen consejo, incluso si todos lo siguen .
No reutilice su contraseña maestra. En los tres casos conocidos (para nosotros) en los que se comprometió la información de 1Password de una persona, el usuario usó la misma contraseña que usaron en otros lugares para Dropbox y para su Contraseña maestra de 1Password. No seas como ellos.
A riesgo de descender a un argumento de venta, debo señalar que con una cuenta de 1Password, ya no es necesario administrar la sincronización a través de Dropbox. Incluso hemos diseñado esto con Derivación de clave secreta (2SKD) para que, incluso si sus datos son capturados desde nuestros servidores, un atacante no podría iniciar un intento de adivinación de contraseña contra esos datos capturados. Consulte nuestro documento técnico (PDF) para obtener información sobre cómo se gestiona.
Pero como la pregunta se refería específicamente a los datos de 1Password en Dropbox, permítame volver a eso ...
Dependiendo de cuándo comenzó a usar 1Password y en qué plataforma, puede estar usando el formato Agile Keychain en Dropbox. El formato de llavero ágil fue diseñado hace casi una década y tiene algunos defectos para el mundo de hoy. Expone mucho más "metadatos" de lo que es apropiado y no incluye ninguna detección de manipulación indebida.
Lo único que recomendaría a aquellos que sincronizan los datos de 1Password con Dropbox es que cambien su formato de sincronización a el formato OPVault . OPVault encripta muchos más metadatos y utiliza el cifrado autenticado para defenderse contra una amplia clase de ataques que involucran la manipulación de los datos.
Pero con cualquier formato de datos, la seguridad de los datos de 1Password depende de la calidad de su Contraseña maestra de 1Password. Hazlo único, fuerte y memorable. Y es posible que desee escribirlo y guardarlo en un lugar seguro porque no hay absolutamente nada que podamos hacer si olvida su Contraseña maestra.
Con una cuenta de 1Password, aún se necesita una buena contraseña maestra para protegerlo en caso de robo de datos de su máquina local, pero 2SKD lo protege si se nos roban datos.
Todos los administradores de contraseñas decentes utilizan tecnología de cifrado moderna, generalmente AES-256 en un modo apropiado, que simplemente no es atacable directamente sin conocer la clave. Por lo tanto, el punto débil es atacar la clave de cifrado, que se deriva de su contraseña maestra.
Si usa una contraseña débil, almacenar su base de datos en Dropbox es una mala idea (más precisamente, usar una contraseña débil es una mala idea si planea almacenar su base de datos en Dropbox). Las herramientas de craqueo tienen módulos para adivinar millones de contraseñas por segundo para 1Password , así como otros formatos de administrador de contraseñas. La cuestión es que, en realidad, es muy impresionante que 1Password pudo mantener ese número tan bajo . Un buen administrador de contraseñas como 1Password utiliza la tecnología para que las adivinanzas sean mucho más lentas; sin ella, las herramientas de craqueo pueden hacer cientos de miles de millones o incluso billones por segundo.
De todos modos, si el riesgo son los ataques a contraseñas débiles, la mitigación es una contraseña mensurablemente fuerte . El uso de una frase de contraseña de software de 8 palabras, la tecnología actual y las técnicas de descifrado tardarían miles de millones de años en adivinarlo.
Puede mitigar el riesgo aún más si su administrador de contraseñas admite la incorporación de datos adicionales que no se guardan en Dropbox, como los archivos clave de KeePass, además de su contraseña maestra segura.
En general, es menos seguro tener su llavero 1Password en Dropbox, pero si toma todas las precauciones necesarias, incluyendo tener una excelente contraseña maestra y tener Dropbox bloqueado, es bastante seguro. Sin embargo, hay otros métodos de sincronización entre dispositivos. Si está preocupado por eso, quizás utilice uno de estos otros métodos.
Si elige almacenar su archivo 1Password en Dropbox, debe tener una excelente contraseña en su cuenta de Dropbox, así como la autenticación de dos factores habilitada en Dropbox para que sea más difícil acceder. A partir de ahí, tener una contraseña maestra muy fuerte es esencial para garantizar la seguridad de su llavero. Cuanto más fuerte sea la contraseña maestra de 1Password, más difícil será descifrarla en caso de que su cuenta de Dropbox se vea comprometida. Según lo indicado por Jeffrey Goldberg, 1Password tiene medidas implementadas para dificultar el proceso de forzamiento de la contraseña, pero aún debe hacer su debida diligencia al elegir una contraseña segura.
Es más seguro no almacenarlo en Dropbox. Si lo almacena en su computadora y en su teléfono, hay dos puntos posibles de compromiso. (3 si incluye la conexión a través de la cual los sincroniza). Si agrega Dropbox a la lista, lo lleva a 3 (o más de 5 conexiones incluidas) Por lo tanto, debe haber menos puntos de compromiso y, por lo tanto, más seguridad, sin Dropbox.
@ciphercodes agrega un detalle útil en el riesgo de que compartas el archivo por error.
La buena seguridad no debe ser a expensas de la usabilidad. Dropbox ofrece disponibilidad y respaldo para sus datos, que puede ser lo que está buscando.
Si su contraseña maestra utiliza un cifrado fuerte, podría considerar aceptable el riesgo de que su llavero cifrado sea robado (véase la respuesta de Joeffrey). Sugiero usar la autenticación de 2 factores en Dropbox para reducir ese riesgo
El almacenamiento de cualquier archivo confidencial en cualquier sitio de alojamiento de archivos no es seguro.
La seguridad de su archivo 1password es tan buena como:
Cifrado del archivo 1password,
Dropbox seguridad y
Conocimiento de la seguridad del usuario y medidas tomadas.
Archivo de contraseña 1: El archivo 1password está cifrado y no es fácil de descifrar, pero aún es posible que se pueda descifrar si llega a manos de hackers. Hashcat admite el descifrado de archivos de 1 contraseña.
Seguridad de Dropbox: Dropbox es una conocida empresa de alojamiento de archivos, pero se ha comprometido en el pasado.
Conocimiento del usuario: Hay posibilidades de que el usuario pueda publicar o compartir accidentalmente la carpeta o el archivo. Si el usuario está utilizando la misma contraseña en Dropbox desde un sitio web no tan seguro y hay posibilidades de que los hackers ingresen a su cuenta de Dropbox. Si el usuario no cierra sesión o pierde su teléfono, etc., la cuenta de Dropbox está expuesta.
Lea otras preguntas en las etiquetas password-management