Ja - Wenn die Malware beispielsweise einen Keylogger enthält, kann sie beim Eingeben einfach das Hauptkennwort lesen. Die einzige Möglichkeit, dies zu verhindern, besteht darin, dass KeePass die einzige Software ist, die auf einem überprüften sicheren Computer ausgeführt wird Computer (z. B. keine Hardware-Keylogger, keine VMs usw.), der den Zweck der Handhabung von Kennwörtern etwas zunichte macht.

Dieselbe Malware kann jedoch auch das Hauptkennwort für eine Cloud-Basis lesen Datenbank, als Sie es geöffnet haben. Es ist nicht spezifisch für lokale Datenbankdateien. In der Tat könnte es eine weniger invasive Malware erfordern, um dies zu tun. Wenn Sie eine zweifelhafte Browsererweiterung installiert haben und Ihre Passwörter über eine Website anzeigen, kann sie möglicherweise sehen, was Sie im Browser eingegeben haben, aber (wahrscheinlich) ) nicht das, was Sie in ein anderes Programm eingegeben haben.

Wenn Sie ein System verwenden, auf dem Malware installiert ist, gehen Sie davon aus, dass es alles kann, was Sie tun können - wenn Sie eine Datei lesen können, kann dies auch die Malware. Wenn Sie einen bestimmten Server kontaktieren können, kann dies auch die Malware tun. Wenn Sie Ihre AV-Software deaktivieren können, kann dies auch die Malware tun. Möglicherweise müssen Sie dazu Details abrufen (z. B. Kennwörter). Der Schlüssel besteht jedoch darin, zu vermeiden, dass diese auf das System übertragen werden, anstatt sicherzustellen, dass jede einzelne Software das Vorhandensein erkennt. P. >

Wenn Ihr Computer kompromittiert ist, sollte so ziemlich jede Verteidigung als defekt angesehen werden. Sicherheitsbedrohungsmodelle betrachten dies als ein Szenario außerhalb des Anwendungsbereichs - mit Ausnahme sehr weniger Ausnahmen (z. B. besteht der eigentliche Zweck Ihrer Software darin, die letzte Verteidigungslinie zu sein).

Passwortmanager (wie KeePass), die die Passwortdatenbank lokal speichern, widersetzen sich jedoch in gewissem Maße einem Kompromiss - indem sie die Datenbank mit strengen Maßnahmen verschlüsseln. Wenn Sie es wie beabsichtigt konfigurieren (z. B. ein sicheres Hauptkennwort + eine Schlüsseldatei verwenden, die Sie nicht lokal speichern), widersteht es Bruteforce- und Wörterbuchangriffen. Es wird sogar der Erfassung von Passwörtern aus der Zwischenablage widerstehen, wenn Sie nur die Funktion zur automatischen Eingabe verwenden. Die Belichtung der Zwischenablage kann auch auf den einmaligen Gebrauch und innerhalb weniger Sekunden beschränkt werden.

Es kann jedoch Keyloggern nicht widerstehen, da dies außerhalb von KeePass ein Umweltproblem darstellt. Die Umgebung wird KeePass übergeben - nicht etwas, das es steuern kann. Ein Keylogger kann das Hauptkennwort während der Eingabe erfassen und zu Hause anrufen, um es zu melden - zusammen mit der KDB / KDBX-Datei und allen zugehörigen Schlüsseldateien.

Ich würde nicht erwarten, dass jede Software jedem möglichen Angriff widersteht (ähnlich wie bei der Suche nach einem Allheilmittel). Ich würde Passwort-Manager - insbesondere KeePass / KeePassX - als sehr gut für das betrachten, was sie tun.

Es ist erwähnenswert, dass KeePass Einstellungen enthält, die die Möglichkeiten von Malware (und Ihnen) einschränken. Auf diese Weise können Sie beispielsweise verhindern, dass Malware einfach Ihre gesamte Datenbank exportiert, indem Sie einige Tastenanschläge eingeben.

Es ist nicht ausfallsicher, bietet Ihnen jedoch mehr Puffer zwischen dem Zeitpunkt Ihrer Infektion und dem tatsächlichen Zeitpunkt Stellen Sie fest, dass Sie infiziert wurden.

(Screenshot stammt aus KeePass 2.36)

Angriffe auf KeePass

Kann eine Malware, die Ihren lokalen Computer infiziert hat, eine lokal gespeicherte KeePass-Datenbank gefährden?

Wenn nicht Öffnen Sie es, sie können nur die Datenbankdatei entreißen und versuchen, das Kennwort brutal zu erzwingen ( nicht einfach) - es sei denn, es gelingt ihnen natürlich, das Hauptkennwort auf andere Weise zu erhalten.

Wenn Sie die Datei öffnen, können sie versuchen, das Hauptkennwort zu erhalten, wenn Sie es eingeben, um die Datenbank zu entsperren. Es gab mindestens eine Malware , die genau das getan hat.

Außerdem kann sich Malware in den KeePass-Prozess einfügen und die in der Datenbank gespeicherten Kennwörter extrahieren. Eine Proof-of-Concept-Malware, die dies tut, wurde 2015 veröffentlicht.

Warum einen Passwort-Manager verwenden?

Wenn ja, Was bringt es KeePass, so starke Sicherheitsmechanismen zu haben, wenn es diesem Szenario nicht widerstehen kann?

Nun, sich gegen alle anderen möglichen Szenarien zu verteidigen, in denen Ihre Passwörter funktionieren können natürlich kompromittiert werden! Was ist die Alternative zu einem Passwort-Manager? Passwörter in ein Notizbuch schreiben? Wiederverwenden des gleichen Passworts für mehrere Konten, weil Sie sich nicht an Hunderte von Passwörtern erinnern können?

Ja, es ist theoretisch möglich, auf diese Weise auf Ihre Kennwortdatenbank zuzugreifen, aber aufgrund der folgenden Gründe, ein „cleveres“ Schema zur Kennworterstellung zu entwickeln, das zu unterschiedlichen, aber vollständig vorhersehbaren Kennwörtern führt Schutz KeePass bietet, es ist nur möglich, Ihre Passwörter auf diese Weise zu gefährden. (Okay, es gibt einen anderen Weg.)

Es gibt jedoch viele Möglichkeiten, wie Ihre Passwörter nicht kompromittiert werden, z. B.:

• Ein neugieriger Kollege, der mit Ihren Passwörtern in das Notizbuch schaut;
• Die Datei, in der sich Ihre Passwörter befinden, wird in ein Backup aufgenommen und an einem unsicheren Ort gespeichert.

Wenn Sie Ihre Datenbank lokal halten, ist dieses Szenario nicht die Hauptbedrohung, die besteht?

Nein. Ich bin mir sicher, dass es in den oben genannten Szenarien mehrere gibt, die weitaus häufiger auftreten als Malware, die speziell nach KeePass ausgeführt wird. Risiko Nr. 1 besteht wahrscheinlich darin, ein Kennwort für alle Websites erneut zu verwenden und diese Website zu gefährden. (Zum Beispiel gibt es derzeit 3.805.757.030 verletzte Konten in Wurde ich pwned? .)

Verteidigung

Obwohl , wie der Entwickler von KeePass zustimmt, es letztendlich keine Möglichkeit gibt, Angriffe abzuwehren, die speziell auf KeePass abzielen, ist es sicherlich möglich, die Messlatte für einen Angreifer höher zu legen. Zum Beispiel gibt es eine Funktion zum Schutz gegen Keylogger, die beim Entsperren der Datenbank das Hauptkennwort erhalten, eine Funktion zum Sperren Ihrer Kennwortdatenbank, wenn Sie sie nicht verwenden und so weiter.

Es lohnt sich zu untersuchen, ob Sie einige dieser Funktionen aktivieren möchten, aber ich würde nicht empfehlen, einige oder alle dieser Funktionen ohne nachzudenken einzuschalten. Es gibt einen nicht zu vernachlässigenden Einfluss auf die Benutzerfreundlichkeit, und die potenziellen Vorteile können gering sein, je nachdem, was Sie erwartet. Beachten Sie, dass ein Angreifer nicht unbedingt Ihr Kennwort von KeePass abrufen muss, sondern auch das Programm, in das Sie das Kennwort eingeben, angreifen kann. P. >

Fazit

Zur Ergänzung der Antwort von @matthew: Eine verschlüsselte Kennwortdatenbank muss vor Offline-Angriffen geschützt werden. Beispielsweise kann es die Datenbank schützen, wenn Sie sie auf einen USB-Stick stecken und verlieren oder wenn Ihr ausgeschalteter Computer gestohlen wird. Sie können auch sicher einen Sicherungsdienst oder einen Cloud-basierten Synchronisierungsdienst mit Ihrer Kennwortdatenbank verwenden. (Dies gilt nur, wenn Sie eine starke Passphrase verwenden und Ihre Schlüsseldatei nicht synchronisieren.)