Sconfigge lo scopo di un file chiave per memorizzarlo nella stessa posizione del database delle password? Cosa succede se è necessaria anche una password principale?
Ad esempio, salvo il mio .kdbx su dropbox come metodo per eseguire il backup, mi chiedevo se potevo salvare anche il file chiave, ma se l'account Dropbox è stato compromesso, avrebbero entrambi. Ha senso avere il file chiave e .kdbx localmente sullo stesso computer, o è come avere entrambi su Dropbox?
Penso che la risposta sia meglio sintetizzata da una citazione dal Un altro plug-in di backup per le domande frequenti su KeePass :
Q: Should I back up my key file the same way I back up my password database?
Short answer: No, no, no! (What part of this answer don't you understand?)
La documentazione di KeePass indica inoltre:
Do not backup the key file to the same location as the database
E in seguito andrà più nel dettaglio:
Location. The point of a key file is that you have something to authenticate with (in contrast to master passwords, where you know something), for example a file on a USB stick. The key file content (i.e. the key data contained within the key file) needs to be kept secret. The point is not to keep the location of the key file secret – selecting a file out of thousands existing on your hard disk basically doesn't increase security at all, because it's very easy for malware/attackers to find out the correct file
Anche se può sembrare confortante pensare che tutte le password siano crittografate e quindi sicure, la memorizzazione del file di chiavi con il database aggiunge davvero poca sicurezza. Quindi, utilizzare solo un file chiave vicino al database non è sicuro e utilizzare sia un file chiave vicino al database che una password master con la stessa quantità di sicurezza di una semplice password master.
Le Domande frequenti hanno un'ulteriore discussione su questo se desideri approfondire ulteriormente.
Leggi altre domande sui tag password-management attack-vector keepass