¿Con qué facilidad alguien podría descifrar mi archivo keepass .kdbx si esa persona roba el archivo pero nunca obtiene la Contraseña Maestra?
¿Es esta una amenaza seria o un ataque de fuerza bruta requeriría tiempo de computación masivo?
Suponga una contraseña de más de 10 caracteres con caracteres distribuidos al azar del conjunto, incluidas todas las letras, números y la mayoría de los símbolos del teclado no alfanuméricos.
KeePass utiliza un proceso de derivación de contraseña personalizado que incluye múltiples iteraciones de cifrado simétrico con una clave aleatoria (que luego sirve como sal), como se explica there . El número predeterminado de iteraciones es 6000, por lo que son 12000 invocaciones AES para procesar una contraseña (el cifrado se realiza en un valor de 256 bits, AES utiliza bloques de 128 bits, por lo que debe haber dos invocaciones AES al menos para cada ronda). Con un reciente PC de cuatro núcleos (aquellos con las instrucciones AES ), debería estar capaz de probar alrededor de 32000 contraseñas potenciales por segundo.
Con diez caracteres aleatorios elegidos de manera uniforme entre los cientos de caracteres que se pueden escribir en un teclado, hay 10 20 contraseñas potenciales, y la fuerza bruta probará la mitad de ellos. Te llevas 10 20 * 0.5 / 32000 segundos, también conocidos como 50 millones de años. Pero con dos PC, eso es solo 25 millones de años.
Esto supone que el proceso de derivación de contraseña no es defectuoso de alguna manera. En "proceso de derivación de contraseña personalizada", la "costumbre" es una palabra aterradora. Además, el número de iteraciones es configurable (6000 es solo el valor predeterminado).
Tienes razón, lleva mucho tiempo. Pero no olvide que no necesita probar todas las contraseñas combinadas. Si golpeas el correcto ya has terminado. Así que realmente no necesitas 50 millones de años. Y tienes muchas más opciones que usar 2 PCs de quadcore. Puede usar un clúster basado en la nube de Amazon y puede iniciar 5000 instancias de CPU alta. Por supuesto, esto es costoso, pero no es necesario comprar 5000 HighEnd Computer para que disminuya el precio drásticamente.
Pero no sé por cuánto tiempo harás fuerza bruta al usar un Cluster. Y, por supuesto, tiene razón, eso lleva mucho tiempo para una PC normal en la actualidad.
Lea otras preguntas en las etiquetas passwords password-management