Also, eines mal vorab:
Ich glaube auch, dass wir hier zumindest teilweise aneinander vorbei reden. Zum einen habe ich nicht die Sicherheit von 1Password in Frage gestellt, sondern die von Dropbox. Was auch noch nicht heisst, dass ich behaupte Dropbox wäre total unsicher, aber man wird es ja mal hinterfragen dürfen
(25.01.2011, 07:36)gado schrieb: Verstehe das Problem nicht wirklich. 1Password hat entschieden den Ort nicht zu verschlüsseln, da es relativ unwichtig ist.
Ich sehe darin auch kein großes Problem. Es würde nur einen Angreifer die Arbeit ein wenig erleichtern, wenn er die Keychain in die Hand bekommt, da er dann wüsste welche Seiten er versuchen müsste zu attackieren.
Was ich aber auch für eher unwahrscheinlich halte.
(25.01.2011, 07:36)gado schrieb: Klingt so, als wäre das mit etwas mehr Aufwand möglich gewesen. Das ist bei einem 128Bit AES Schlüssel aber nicht der Fall. Ist auch nicht mal eben Brute-Forced, siehe Seite oben. Falls es mal wichtig sein wird, wird einfach auf 256Bit umgestellt.
Ich weiß auch, dass selbst ein 128-Bit-Schlüssel nicht mit Brute-Force-Attacken zu knacken ist, wenn das zur Verschlüsselung verwendete Passwort stark genug ist und auch nur dann.
Daher beschränkte sich mein Aufwand darauf die Dateien mit einem Editor zu öffnen.
(25.01.2011, 07:36)gado schrieb: Das heißt, dass der Schlüsselbund verschlüsselt auf der Platte liegt und nicht im Klartext. Außerdem kann man 1Password auch über WLAN syncen und muss nicht über Dropbox gehen. Dropbox bräuchte man nur, wenn man unterwegs viele Passwörter ändert und die auch sofort auf allen anderen Geräten haben will. Den meisten sollte auch der lokale Sync reichen.
Naja, ich brauche eben irgendwas im Internet, da zwischen meinem Büro und daheim keine WLAN-Verbindung besteht. Allerdings gibt es versch. Möglichkeiten einen Dienst in der Cloud zu nutzen oder - was mir lieber wäre - einen eigenen Storage auf meinem Server.
(25.01.2011, 08:30)gado schrieb: Lokal wird es nicht verschlüsselt, aber die Übertragung zu Dropbox und Dropbox selbst ist verschlüsselt. Die Mitarbeiter haben keinen Zugriff auf deine Daten, nur Zugriff auf deine Metadaten, wie z.B Dateinamen. Der Speicher selbst liegt bei Amazon S3. Dein Passwort ist auch gleich der Key zum entschlüsseln. Klar hier ist wieder Vertrauen nötig.
Klar ist hier Vertrauen notwendig und wenn man das nicht hat, dann zieht man so einen Dienst auch nicht in Erwägung. Es geht mir auch weniger um die Daten auf dem Server in der Cloud, denn hier verschlüsseln alle mir bekannten Dienste die Daten und (fast) alle sogar mit 256-Bit.
Es geht mir eher darum falls das Gerät auf dem die Daten liegen mal verloren geht oder gestohlen wird. Wenn dann die Daten unverschlüsselt auf der Platte liegen, dann bringt mir die ganze Verschlüsselung auf dem Server auch nichts. Klar, ich könnte auch die Platte an sich verschlüsseln, aber beim iPhone wüsste ich nicht, ob und wie das geht.
(25.01.2011, 08:30)gado schrieb: Wer regelmäßig sein WLAN Passwort ändert und auf WPA2 setzt ist auch hier sicher. Keine 100% da immer alles gebruteforced werden kann, aber da stellst du die Verschlüsselung an sich in Frage.
Richtig, eine 100%ige Sicherheit gibt es nicht, denn letztlich kann jede Sicherheitsvorrichtung umgangen werden - es ist immer nur eine Frage des Aufwandes und des Ertrags. WPA2 wird meines Wissens nach mit 256-Bit verschlüsselt und ist somit per Bruteforce nur zu knacken, wenn man ein sehr schwaches, kurzes Passwort dafür hat.
(25.01.2011, 08:30)gado schrieb: Wie läuft der Sync denn bei Lastpass ab? Die nutzen eigene Server? Da kann man dann wieder streiten, was sicherer ist.
LastPass nutzt eigene Server und garantiert wie die anderen Dienste auch, dass die Daten dort verschlüsselt abgelegt werden, die Mitarbeiter darauf keinen Zugriff haben und man die Daten nur mit seinem Master-Passwort erfolgen kann.
Der meiner Meinung nach entscheidende Unterschied zur Kombi 1Password und Dropbox ist aber, dass die Daten komplett verschlüsselt auf meinen Geräten liegen, und damit schon verschlüsselt in die Cloud übertragen werden.
Bei Dropbox (nicht 1Password) werden die Daten erst nach der der Übertragung auf dem Server verschlüsselt und die Übertragung selbst erfolgt unverschlüsselt durch einen SSL-Tunnel. Der SSL-Tunnel ist zwar auch verschlüsselt, aber wenn beispielsweise ein Trojaner oder ähnliches auf dem Rechner wäre, dann könnte dieser den Verkehr zwischen Gerät und Cloud mitschneiden. Sicher, er könnte dann evtl. noch viel mehr auf dem Rechner tun.
(25.01.2011, 08:55)submariner schrieb: Ich glaube, er bezog sich auf Tronic's Aussage, dass die bereitgestellte Datei keine komplette Keychain sei, sondern nur ein Passwort für eine Beispielseite beinhalte.
Und mit dem schwarzen Brett meinte er die hiesige Öffentlichkeit…
So habe ich das auch verstanden.
Noch ein kleines Fazit am Schluss:
Trotz der kleinen Schwäche mit den Seiten im Klartext, halte ich auch 1Password für sicher. Für mich war der entscheidende Faktor allerdings eh die fehlende Linux-Unterstützung, denn 1Password Anywhere sehe ich nicht wirklich als Alternative.
