id: Гость   вход   регистрация
текущее время 17:51 28/03/2024
создать
просмотр
ссылки

Хранитель паролей KeePassX


На просторах интернет обнаружил свободную программу с открытыми исходными текстами KeePassX. Это хранитель паролей для систем на базе Linux. Возможно окажется полезной в повседневной работе. Возможно кто-либо из участников форума может дать какие-либо комментарии по поводу этой программы, если уже приходилось с ней сталкиваться.
Программа имеет русский и интуитивно понятный интерфейс, а так же довольно приятна в работе.



 
На страницу: 1, 2, 3 След.
Комментарии
— SATtva (23/12/2009 19:45)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Писали как аналог PasswordSafe для KDE. С точки зрения пользователя, программа нормальная. Но использую её большей частью просто как записную книжку, так что в безопасность особенно не вдавался.
— Genosse (24/12/2009 03:13)   профиль/связь   <#>
комментариев: 101   документов: 0   редакций: 3
Да нет же, это версия Keepass для Linux. База паролей, созданная мной с помощью Keepass 1.хх под Windows, была корректно ею "смонтирована".
— Kent (03/01/2010 01:19)   профиль/связь   <#>
комментариев: 437   документов: 30   редакций: 15
Использую эту программу. К KDE она отношения не имеет, использует библиотеки Qt4.
Виндовый KeePass открывает базу паролей KeePassX.
— neverever (08/05/2013 20:11)   профиль/связь   <#>
комментариев: 6   документов: 0   редакций: 0
прошу прощения за некропостинг, озаботился проблемой межплатформенного хранения паролей. По всем параметрам понравилась эта програма. Смущает то, что за все годы она как-то медленно развиваеться и реже чем прототип обновляется. Есть ли какая-либо положительная или отрицательная статистика по данному продукту?
— Гость (10/05/2013 13:17)   <#>
В последнее время они активно готовят релиз 2, на днях вышла уже 4 альфа. Видимо это связано с тем, что старший брат KeePass начиная с версии 2 стал кроссплатформенным.
— Гость (12/05/2013 04:29)   <#>
А как вообще правильно хранить пароли? Если профиль узявим, всё равно украдут их все. Можно менять права на доступ к файлу перед получением пароля из него, а затем снова восстанавливать их обратно, но это всё равно не даёт 100%ой защиты. Нужен какой-то интерфейс доступа к паролям, работающий по сетевым запросам, да ещё такой, чтобы авторизация на выдачу была из-под другого пользователя (из других иксов, другой текстовой консоли).

Как работают хранители паролей? Чем обеспечивается безопасность при взломе профиля? Что мешает злонамеренному коду перехватить пароль на открытие базы хранителя паролей?
— SATtva (12/05/2013 13:43)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Как работают хранители паролей?

Работают так, что система пользователя считается безопасной. Если у Вас там рассадник троянов, то поможет разве что отдельный ноутбук без подключения к сети.
— Вий (12/05/2013 13:57)   профиль/связь   <#>
комментариев: 510   документов: 110   редакций: 75
Если профиль узявим, всё равно украдут их все. Можно менять права на доступ к файлу перед получением пароля из него, а затем снова восстанавливать их обратно, но это всё равно не даёт 100%ой защиты.

Видимо поэтому я и не использую KeePassX, поскольку вводя пароль к базе я одномоментно открываю хранилище на все пароли, хотя программа сама по себе мне нравится. У меня каждый пароль хранится в своем персональном текстовом файле, каждый файл по отдельности шифрую с использованием gpg. Это конечно все равно не исключает атаки на главный пароль, с помощью которого я провожу шифрование и который у меня только в голове, но из двух зол стараюсь выбирать меньшее.
— neverever (12/05/2013 14:59)   профиль/связь   <#>
комментариев: 6   документов: 0   редакций: 0
Что же это за троян такой который как только вы вскрыли базу утащил отдельными запросами все пароли из нее? Вы под админом сидите? Это эксклюзив писанный под вас? На мой взгляд самый большой риск таких программ если кто-то (либо сами создатели) сделали закладку. Главное что сама база к которой обращается программа по моим запросам лежит на шифрованном диске. Ну и еще меня немного смущают порты на мобильные устройства. Их сорсов я нигде не нашел да и кто их делал мне не понятно.
— neverever (12/05/2013 15:07, исправлен 12/05/2013 15:08)   профиль/связь   <#>
комментариев: 6   документов: 0   редакций: 0

Кстати на шифрованный диск положил так как основной пароль могут всетаки украсть самым простым трояном. Ну а остальные только по мере запросов к ним, я ничего не путаю?

— unknown (12/05/2013 17:15)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Большинство уязвимостей, например браузеров, связаны с чтением произвольного пользователського файла. Реже бывает возможность записи, а запуск произвольного кода — это уже совсем катастрофично, рассчитывать на какую-то защиту от самой программы в этом случае почти бесполезно.

В то же время, часто приходиться пользоваться множеством веб-ресурсов, требующих пароль, логин и какие-то учётные данные. Лучше, чтобы они все были уникальными, в то время как их сохранность не слишком критична — такие пароли все не запомнить, зато можно выбрать компромисс между безопасностью и удобством хранения.
— Гость (13/05/2013 00:42)   <#>

Тогда складываем все пароли в текстовый файл и не паримся, получается?


Не обязательно. К примеру, трой строит список всех файлов в директории, а потом сливает их атакующему. Дальше атакующий сам подумает, что из этого надо бы перелить к себе на диск.


Нет, зачем же под админом? Да и нет у меня на ПК такого пользователя. root есть, админа нет. Самый простой пример — трой встраивается в какой-нибудь неуинонный процесс, не привлекающий внимания. Без тщательного аудита системы вы не заметите ничего подозрительного. Этот процесс постоянно висит и в цикле отслеживает момент, когда база с паролями будет доступна на чтение. Как только наступает нужный момент, всё читается и позже сливается в сеть. Методы доставки трояна — через уязвимости в закрытом коде или экспуатация уязвимости браузера: адфыр, ылнзу, ашкуащчю.
— SATtva (13/05/2013 07:45)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Этот процесс постоянно висит и в цикле отслеживает момент, когда база с паролями будет доступна на чтение.

Файл БД — не криптоконтейнер, открываемый на произвольный доступ. Расшифрование производится в памяти, так что троян должен либо иметь возможность чтения памяти из произвольного процесса, либо логгировать ввод пароля к БД.
— Гость (13/05/2013 09:02)   <#>
Тогда складываем все пароли в текстовый файл и не паримся, получается?

От простых троянов и для хранения базы на внешних и сетевых дисках не помешает, не так-ли?

К примеру, трой строит список всех файлов в директории

Стоит хранить базу построже чем бросить просто в домашнюю директорию.
Более сложный троян как вы описали да еще и на системе где под рутом сидят будет означать, что конкретно ваш фаил с паролями комуто очень сдался. Тогда да скорее всего они его получат тем или иным способом.

Методы доставки трояна — через уязвимости в закрытом коде или экспуатация уязвимости браузера: адфыр, ылнзу, ашкуащчю.

если вы что-то делаете в интернете, что может выделить вас из более чем милиарда и сделать интересным залезть на ваш компьютер что бы сперепть фаил ключей который валяеться просто в домашней папке. И при всем при этом если вы делали привлекающие внимания операции в открытую под своим IP да и черес уязвимый браузер с включенным флешем, джавой, одновременно болтая по скайпу, да еще и ник с почтой оставили такиеже как скажем в фейсбуке. Ну чтож... храните тогда пароли лучше в текстовом виде в файле на рабочем столе. Даже проще сделайте везде пароль Qwerty.
Заранее простите за сарказм, но мне кажеться, что первой линией защиты от спирания фаила ключей просто быть неуловимым Джо который yf[hty никому не нужен.
P.S. Как человек я могу жестоко ошибаться, а вы наоборот все верно сказали.
— Гость (18/05/2013 17:49)   <#>

Если речь идёт о
запуск произвольного кода,
то что помешает трояну, запущенному с правами текущего пользователя, прочитать память другого процесса, запущенного от имени этого же пользователя? Или всё не так просто?


Не сидят.


Хожу на pgpru.com.


Да, запускал Tor.


Могу объяснить чуть подробней. Пользователь, под которым запускается, например, браузер с флэшом, можно считать заведомо скомпрометированым, поскольку до исполнения произвольного кода тут рукой подать. То же самое касается браузера с джавой или скайпом. То есть, по-хорошему, такие программы должны запускаться под отдельным пользователем и отдельными иксами, что не очень-то удобно. Допустим, зловред типа флэша запускается под основным пользователем, под которым находится, в том числе, и база данных паролей. Что можно легко предпринять для защиты от кражи паролей, если делать быстро и на коленке? Залогиниться в консоли под рутом и убрать права на чтение БД этим пользователем. Защита прекрасная, но только как потом оттуда пароли тягать? Если делать тупо и глупо, то вот так: логинимся под рутом, меняем права, потом под основным пользователем извлекаем пароль или обновляем существующий, после чего снова возвращаем права на исходные. Да, это криво, неудобно, да и защита очень сомнительная. Вот я и хотел спросить у местных гуру, насколько всё запущено и насколько легко эта схема взламывается (подозреваю, что при данных предположениях — элементарно).
На страницу: 1, 2, 3 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3