Es gibt keine Möglichkeit, diesen zu beschönigen. Ein auf Ihrem Computer installierter Malware / Keylogger bedeutet, dass Ihre Passwörter offengelegt werden. Das ist es, daran führt kein Weg vorbei.

Ein Malware / Keylogger protokolliert Ihr Hauptkennwort, fängt die Zwischenablage ab, greift irgendwie auf die entschlüsselte Datenbank im Speicher zu usw.

Es gibt Möglichkeiten, das Abrufen des KeePass-Hauptkennworts zu erschweren, z. B. das Festlegen, dass nur auf dem sicheren Desktop eingegeben werden darf.

Um zu verhindern, dass jemand Ihre KeePass-Datenbankdatei abruft und Brute Force ausführt Daraufhin können Sie auch die Anzahl der AES-Iterationen erhöhen, die KeePass während des Ableitungsprozesses des Hauptkennworts ausführt, um den Aufwand für das brutale Erzwingen des Hauptschlüssels zu erhöhen, falls Ihre Datenbank exfiltriert wird.

Es gibt auch Eine Option zum Festlegen der Zweikanalverschleierung während der automatischen Eingabe, wenn KeePass den Benutzernamen und das Kennwort für Sie eingibt. Es sollte verhindern, dass grobe Schlüsselprotokollierer das spezifische Kennwort abrufen, das Sie für diese Site verwenden.

Um böswilligen Zugriff auf die KeePass-Datenbank (und Ihre Entschlüsselungspassphrase) zu verhindern, da Sie es irgendwie im Klartext eingeben müssen ... und das kann abgefangen werden, wenn Ihr Computer kompromittiert ist.) Halten Sie Ihren Computer in erster Linie sicher. Sie kennen den Drill: Installieren und aktualisieren Sie Ihre AV-Software, halten Sie das Betriebssystem und die Software Ihres Computers auf dem neuesten Stand, verfügen Sie über eine Firewall, überprüfen Sie regelmäßig die Protokolle usw.

Erhöhen Sie schließlich die Entropie und Länge des verwendeten Hauptkennworts. Wie wäre es mit 13+ anstelle von 9 Zeichen? Anstatt nur nur Kleinbuchstaben zu verwenden, können Sie auch Großbuchstaben und sogar ein oder zwei Sonderzeichen einfügen. Je unvorhersehbarer und länger Ihr Kennwort ist, desto länger dauert es, bis Ihr Angreifer den Datenbankhauptschlüssel brutal erzwingt.

Sie könnten versuchen, zusätzlich zu dem Passwort, das Sie in keepass oder als Ersatz speichern, eine Art OTP-Lösung einzurichten.

Eine ziemlich erschwingliche Lösung könnte yubikey sein ( http: // www .yubico.com / products / yubikey-hardware / yubikey /).

Sie können beispielsweise eine Linux-PAM gegen eine yubico-PAM austauschen und sich mit einem yubikey bei einer Linux-Box anmelden und usw. ...

Dies ist keine Werbung, sondern ein erschwingliches Beispiel. Vielleicht keine Lösung für jeden Keepass-Anwendungsfall, aber wenn Sie Systemanmeldeinformationen in Keepass speichern, können Sie ihnen eine Sicherheitsebene hinzufügen ...

Bearbeiten: Verwenden Sie auch, wie erwähnt, viel mehr als 9 Ziffern. Verwenden Sie etwas Langes und Komplexes, das immer noch gut zu tippen ist, wie einen langen Satz mit einigen besonderen Sonderzeichen. Machen Sie keine einfachen Dinge wie das Tauschen eines E gegen eine 3. Es gibt Bruteforce-Plugins für solche Dinge. Fügen Sie einfach zufällige Sings am Ende / Anfang und / oder in der Mitte hinzu ...

Edit2: habe gerade Folgendes gefunden: http://keepass.info/help/kb/yubikey.html siehe den otp-Teil am Ende. Ich kann Ihnen nicht versprechen, dass dies eine ordnungsgemäße und sichere otp-Implementierung ist und dass das Plugin fehlerfrei ist. Die Theorie klingt jedoch gut und ist ein guter Ausgangspunkt, um etwas darüber zu recherchieren oder nach solchen Alternativen zu suchen.

Edit3: Eine kostenlose Alternative zu yubikey wäre die Google Authenticator App für iOS oder Android, die laut http://mx.thirdvisit.co.uk/2014/ mit dem Keepass OtpKeyProv-Plugin gut funktionieren sollte. 01/02 / das otpkeyprov-hotp-plug-in-zur-arbeit-mit-google-authenitcator /

(wieder kann ich nicht versprechen, dass die OtpKeyProv-Implementierung fehlerfrei ist .. ..)

Einer der Angriffe ist die Registrierung eines Debuggers für KeePass.exe, der KeePass.exe vollständig durch etwas anderes ersetzen würde, möglicherweise eine sehr gute Kopie, die ich nicht erkenne. Andere sind Tastaturlogger.

Ich habe Folgendes getan, um den Zugriff auf die Haupt-KeePass-Datenbank zu verhindern:

• Laden Sie die KeePass-Quelle herunter
• Entfernen Sie die mobile Version (weil dieser nicht auf meinem PC kompiliert wurde)
• nehmen Sie einige Änderungen vor, z Ändern Sie die Hintergrundfarbe und fügen Sie ein Symbol hinzu, damit ich meine eigene Version von anderen unterscheiden kann.
• benennen Sie die ausführbare Datei um, damit sie nicht von einem generischen Debugger-Angriff betroffen ist.
• Fügen Sie einige Zeichen hinzu des Kennworts im Code, sodass ein Keylogger nie das vollständige Kennwort erhält.
• Ändern Sie die Dateierweiterung von .kdbx so, dass jemand, der Dateizugriffe überwacht, nicht herausfinden kann, dass es sich um eine KeePass-Variante handelt, und dass jemand die Festplatte scannt Finden Sie es auch nicht.
• Ersetzen Sie alle "KeePass" -Strings im Code.
• Kompilieren Sie die neue Version.
• Installieren Sie sie nicht, verwenden Sie nur eine tragbare USB-Version
• Eingabeaufforderung für sicheres Passwort aktivieren

Obwohl ich KeePass nicht mehr einfach aktualisieren kann, denke ich immer noch, dass ich eine sicherere Version habe, die weniger angreifbar ist. Jemand müsste einen Angriff nur für meine eigene Version erstellen, was unwahrscheinlich ist.

Sie können auch:

• das Dateiformat ein wenig ändern, z. Schreiben Sie am Anfang zusätzliche Bytes, damit die Datei von Signaturscannern schwerer zu erkennen ist.

Jetzt ist das Hauptkennwort der KeePass-Datenbank ziemlich sicher. Es ist weiterhin möglich, auf kopierte Kennwörter zuzugreifen von KeePass in andere Anwendungen. Ein Angreifer kann schnell ein unsichtbares Fenster öffnen und dann KeePass erneut aktivieren. KeePass verwendet dann das unsichtbare Fenster, in das das Kennwort eingefügt wird. Selbst ein Zweikanal-Autotyp kann diesen Angriff kaum verhindern, insbesondere wenn das unsichtbare Fenster die Daten an das richtige Fenster weiterleitet, sodass Sie es nicht bemerken.

Obwohl ich dafür keine Gegenmaßnahme implementiert habe, würde ich wahrscheinlich Folgendes tun:

• den Fenstertitel des Fensters ausgeben, in das KeePass Kennwörter einfügt
• Erkennen Sie kurze Zeiträume, in denen KeePass in den Hintergrund tritt. Selbst wenn Sie zweimal sehr schnell Alt-Tab drücken, sollte zwischen einer Deaktivierung und einer Aktivierung von KeePass ~ 100 ms liegen.

Eine Idee, die wahrscheinlich Administratorrechte benötigt und mehr Windows Internals-Kenntnisse benötigt als Ich habe derzeit:

• Alle Programme anhalten (oder fast alle, möglicherweise einige ausführbare Windows-Dateien laufen lassen), außer Ihrem geänderten KeePass und dem Zielprogramm. Deaktivieren Sie das Kennwort nach dem Einfügen. Angreifer, die z.B. Abfrage Die Zwischenablage sollte umgangen werden. Nicht sicher für andere Benachrichtigungstypen wie Tastatur-Hooks.

Welches ist Ihre Hauptbedrohung?

Für die meisten könnte es mir Trojaner / Keylogger-Software sein, die nach einfachem Geld sucht. Einige Keylogger erkennen, wenn Sie Keepass öffnen und dann Kennwort und Datenbank stehlen.

• Sichern Sie Ihren Computer. Ein Offline-Gerät / Telefon könnte eine Option sein.
• Vermeiden Sie es, Informationen zu schreiben, an die Sie sich erinnern werden. Sie können E-Mail1 oder Companyemail2 anstelle Ihrer eigentlichen E-Mail schreiben.
• Schreiben Sie das Passwort immer mit der Maus und in falscher Reihenfolge. Dadurch wird ein einfacher Keylogger blockiert.
• Eine Schlüsseldatei blockiert möglicherweise einfache Keylogger.
• Keepass und Datenbank in einer virtuellen Offline-Maschine verhindern, dass ein durchschnittlicher Keylogger die Datenbank stiehlt.

Jemand möchte sich bemühen, Ihre Datenbank oder Datenbank öffentlich zu erzwingen.

• Wählen Sie ein langes zufälliges Passwort und verwenden Sie die Schlüsseldatei.

Nasrus hat ziemlich gute Vorschläge gemacht.

Zusätzlich; Ich weiß nicht, ob Sie dies bereits tun, aber Sie können KeePass auf einem Linux-Computer verwenden, der sicherer wäre.

Ubuntu oder Debian wären in Ordnung, aber wenn Sie sehr besorgt sind, können Sie dies Versuchen Sie Tails, um Ihre Privatsphäre und Anonymität zu wahren, indem Sie sich auf die Sicherheit konzentrieren.