In che modo le suite di password memorizzano e crittografano i metadati e prevengono gli attacchi in base a tale conoscenza?

Question

In che modo le suite di password memorizzano e crittografano i metadati e prevengono gli attacchi in base a tale conoscenza?

#1 da (4 voti)
#2 da (0 voti)

1

Se qualcuno usa un gestore di password e prova a organizzare bene le credenziali, non rende gli attacchi più facili?

Supponiamo che un utente malintenzionato abbia le credenziali crittografate disponibili per gli attacchi offline, e l'utente malintenzionato sa quale software è stato utilizzato per salvare i dati e sa anche a cosa servono le credenziali (siti Web come Google, Facebook, Amazon, ecc.).

Questa conoscenza rende l'attacco più facile? Può essere prevenuto o quantomeno reso molto più difficile? In tal caso, in che modo le suite di password cercano di impedirlo?

Un esempio semplificato: ho un account Amazon e memorizzo le mie credenziali in un gestore di password. Sono ben organizzati e denominati, ovvero "Amazon" , che si trova in cima all'elenco perché è ordinato alfabeticamente. Un utente malintenzionato ora ruba il mio archivio di credenziali crittografato e inizia un attacco a forza bruta.

Se i primi pochi byte (ad es. header + 30) non risultano includere la stringa "Amazon" in aggiunta a qualunque cosa la suite di password usi come delimitatore, l'utente malintenzionato potrebbe smettere di provare a decrittografare la mia password con la sua attuale ipotesi . Questo potenzialmente riduce il tempo necessario per decifrare la password, anche se solo in modo lineare.

Non so molto sulla crittografia. Ogni consiglio sulla mia scelta di parole è apprezzato. Anche ortografia e grammatica.

encryption password-management

posta danielcw 18.04.2014 - 10:08

fonte

2 risposte

Leggi altre domande sui tag encryption password-management

Cosa mi impedisce di usare l'avvelenamento ARP per forzare un client a usare HTTP? Le reti WPA / WPA2 rompono i metodi

score 4 · Answer 1

Uso Password KeePass sicura . Questo gestore password memorizza tutte le password (e i relativi metadati) in un database crittografato AES-256. Quando vengono fornite le chiavi corrette, il database intero viene decifrato e pronto per l'uso.

Quindi, oltre a un codice di qualità, è fondamentale utilizzare chiavi sufficientemente forti. In questo caso, il tempo necessario per eseguire una forza bruta o un attacco di dizionario aumenta in modo esponenziale con la lunghezza della / e chiave / i.

KeePass rende il brute-forzare più duramente il database delle password (impiega più tempo) crittografando i round N della chiave. Il consiglio è di scegliere il valore N in modo che la decrittografia impieghi circa 1 secondo sull'hardware tipicamente usato, il che rende gli attacchi brute-force e dizionario impiegano N più tempo per il completamento. Su un hardware recente, N è in genere più grande di 10 milioni.

Vedi KeePass Security per ulteriori informazioni.

score 0 · Answer 2

[Divulgazione: lavoro per AgileBits, i creatori di 1Password]

Poiché Steven ha sottolineato correttamente, alcuni gestori di password crittografano l'intero database nel suo insieme, quindi praticamente nessun metadato è disponibile per un attaccante che lo cattura. Ci sono due limitazioni di quel tipo di design

È difficile fornire l'integrazione con il browser

Non è possibile trovare facilmente quale elemento è necessario fino alla decrittografia dell'intero database
La sincronizzazione diventa difficile, in quanto potrebbe essere necessario crittografare nuovamente tutto quando un singolo elemento cambia.

how do password suites try to prevent [attacks based on revealed titles and URLs]?

Metadati in 1Password versione N, dove N < 4

Tradizionalmente i gestori di password che fornivano l'integrazione del browser o un'efficace sincronizzazione dei dati in genere lasciavano cose come il titolo e l'URL associati a un elemento non crittografato. 1Password 3 (e precedente) ha fatto questo e abbiamo documentato questo fatto fin dall'inizio.

Non posso davvero parlare di come altri gestori di password siano riusciti a gestirlo, ma suggerirò che non tutti sono stati così disponibili nella loro documentazione come lo siamo stati noi.

Metadati in 1Password 4

Abbiamo risolto questo problema. Codifichiamo le informazioni di "panoramica" (compresi il titolo dell'articolo e l'URL) con un set di chiavi, mentre i dettagli di ogni singolo articolo rimangono crittografati con chiavi univoche per articolo. Vi sono ancora dei metadati molto limitati che sono esposti, e questo, ancora, è completamente documentato .