KeePass: AES-256 užšifruota duomenų bazė ir raktų failų sąranka

Jei tvarkote dešimtis paskyrų ir paslaugų, žinote, kad atmintis nebespės suspėti; todėl tokia tvarkyklė kaip „KeePass“ yra grynas auksas. Ji centralizuoja jūsų slaptažodžius užšifruotoje duomenų bazėje ir jai atrakinti tereikia vieno „rakto“: pagrindinio slaptažodžio (ir pasirinktinai rakto failo).

Šiame vadove surinkome naudingiausią ir naujausią informaciją iš įvairių informacijos šaltinių, kad viskas būtų vienoje vietoje. Sužinosite, kaip įdiegti, konfigūruoti ir išnaudoti visas „KeePass“ (ir jos ekosistemos) galimybes, kaip sustiprinti KDF (AES-KDF ir Argon2), kada naudoti rakto failą, kaip importuoti iš „Excel“ / „Chrome“, kaip saugiai sinchronizuoti ir ką daryti mobiliajame įrenginyje, taip pat rasite patarimų ir gudrybių , tokių kaip automatinis teksto rašymas, saugus darbalaukis, paleidikliai ir kt.

Kas yra „KeePass“ ir kaip jis apsaugo jūsų duomenų bazę?

„KeePass“ yra nemokama ir atvirojo kodo slaptažodžių tvarkyklė , kuri saugo visus jūsų prisijungimo duomenis saugiame .kdbx faile. Duomenų bazė yra užšifruota nuo galo iki galo ir ją galima atidaryti tik naudojant jūsų nustatytą derinį: pagrindinį slaptažodį, rakto failą ir (arba) jūsų „Windows“ paskyrą (pastarasis variantas nėra pats lanksčiausias).

Kalbant apie šifravimą, „KeePass 2.x“ palaiko plačiai audituojamus AES-256 („Rijndael“), „ChaCha20“ ir „Twofish“ algoritmus. Jis taip pat patvirtina vientisumą naudodamas HMAC-SHA-256 („Encrypt-then-MAC“ schemą), užkirsdamas kelią klastojimui be jūsų žinios.

Be disko šifravimo, jis apsaugo atmintį vykdymo metu naudodamas DPAPI sistemoje „Windows“ (arba „ChaCha20“, kai DPAPI nepasiekiamas) ir ištrina jautrias sritis, kai jų nebereikia. Faile nerodomi paprasto teksto vartotojo vardai ar URL; visas turinys taip pat yra užšifruojamas.

Svarbiausia detalė yra rakto išvedimas prieš turinio šifravimą: pirmiausia atrakinimo veiksniai (slaptažodis / rakto failas ir kt.) sumaišomi su SHA-256, kad būtų gautas K; tada K transformuojamas su KDF, kad jį būtų sunku atspėti.

Diegimas „Windows“, „Linux“, „macOS“ ir mobiliosiose sistemose

Darbalaukyje atsisiųskite programą iš oficialios svetainės ir pasirinkite diegimo arba nešiojamąją versiją. „Professional 2.x“ versija yra išsamiausia (papildiniai, pasirinktiniai laukai, atidarymas pagal URL, išplėstinė sinchronizacija ir kt.). 1.x versija vis dar prieinama, bet labiau ribota.

„Windows“ sistemoje vedlys yra toks pat kaip visada: kalba, licencija, kelias, komponentai ir papildomos užduotys. Galite įjungti naujinimų tikrinimą , kad gautumėte informaciją apie saugumo ir našumo patobulinimus.

Oficialios mobiliosios programėlės nėra, tačiau yra puikūs klientai: „Keepass2Android“ ir „KeePassDroid“ išsiskiria „Android“ sistemoje ; „Strongbox“ ir „KeePassium“ – „iOS“ . Jos leidžia atidaryti .kdbx failus, integruoti automatinį pildymą, „Face ID“ / pirštų atspaudų autentifikavimą ir TOTP.

Jei pageidaujate gimtosios kelių platformų patirties su modernia sąsaja, išbandykite „KeePassXC“ – „KeePass“ atšaką, skirtą „Linux“ / „macOS“ / „Windows“, kuri, be kitų patobulinimų, prideda naršyklės integraciją ir TOTP.

Pirmosios duomenų bazės kūrimas: saugumas ir parinktys

Kuriant .kdbx failą, „KeePass“ paprašys apibrėžti atrakinimo būdą . Labiausiai subalansuotas variantas yra stiprus pagrindinis slaptažodis , o jei norite padidinti saugumą, galite pridėti rakto failą atskirame įrenginyje.

Jūsų pagrindinis slaptažodis turėtų būti ilgas ir nenuspėjamas; ilga frazė puikiai tinka. Venkite šablonų ir pakartotinio naudojimo , taip pat nelaikykite jo ten, kur jis gali patekti į netinkamas rankas. Galite atsispausdinti atsarginę kopiją, bet laikykite ją saugiai.

„Saugumo“ skiltyje pasirinkite šifravimą (AES-256 arba ChaCha20) ir KDF. AES-KDF leidžia reguliuoti iteracijų skaičių (daugiau = lėtesnė ataka), o „Argon2“ prideda nuo atminties priklausomą apsaugą nuo GPU/ASIC atakų. Nustatykite „1 sekundės uždelsimą“ kaip atskaitos tašką savo sistemai.

Kiti naudingi skirtukai: „Glaudinimas“ (GZip beveik neturi įtakos ir padeda), „Šiukšlinė“ (apsaugo nuo mirtinų ištrynimų) ir „Išplėstiniai“ (istorija, maksimalūs dydžiai, priminimai pakeisti pagrindinį raktą ir kt.).

Išsaugokite ir naudokite savo pirmuosius prisijungimo duomenis

„KeePass“ sukuria numatytąsias grupes (internetas, el. paštas, „Windows“ ir kt.), kurias galite tinkinti. Norėdami pridėti įrašą , naudokite „Pridėti įrašą“ ir įveskite pavadinimą, vartotojo vardą, slaptažodį (galite jį sugeneruoti), URL ir pastabas.

Norėdami naudoti slaptažodį, turite kelias parinktis: dukart spustelėkite, kad laikinai nukopijuotumėte jį į iškarpinę (jis baigs galioti po kelių sekundžių), atidarykite įrašą ir jį parodykite arba automatiškai įveskite , kad „KeePass“ aktyviame lange įvestų vartotojo vardą ir slaptažodį naudodami klavišų seką.

Jei prisijungimo duomenyse yra papildomų laukų, pakoreguokite automatinio įvedimo seką kiekvienam įrašui (pvz., {USERNAME}{TAB}{PASSWORD}{TAB}{ENTER} ). Taip pat yra „Dviejų kanalų automatinio įvedimo maskavimas“, skirtas maskuoti paprastus klavišų registratorius.

Galingas triukas: „URL schemos nepaisymas“. Leidžia paleisti tokias programas kaip „PuTTY“ ar „MSTSC“ su parametrais ir prisijungimo duomenimis tiesiai iš įvesties arba atidaryti URL naudodami mėgstamą naršyklę, naudodami schemą.

Importuoti iš „Excel“ ir „Google Chrome“

Jei naudojate „Excel“ failą, pirmiausia konvertuokite jį į CSV formatą su atitinkamu skirtuku (vietinėse sistemose dažniausiai tai yra kabliataškis). Naudokite „Generic CSV Importer “, susiekite stulpelius su „KeePass“ laukais ir peržiūrėkite prieš užbaigdami. Tada galėsite pertvarkyti į grupes.

Iš „Chrome“ eksportuokite slaptažodžius į CSV failą (pastaba: jie liks nešifruoti tol, kol egzistuos). „KeePass“ eikite į „Importuoti“ → pasirinkite formatą „Google Chrome slaptažodžiai CSV“ , pasirinkite failą ir viskas. Nepamirškite saugiai ištrinti CSV failo, įskaitant ir iš šiukšliadėžės.

Šifravimas, KDF ir parametrai: AES‑256, ChaCha20, Twofish, AES‑KDF ir Argon2

„KeePass“ šifravimas apsaugo visą turinį (vartotojus, URL, pastabas, priedus) naudodamas AES-256, „ChaCha20“ arba „Twofish“ . CBC režimas ir atsitiktinis IV kiekvienam išsaugojimui apsaugo nuo šabloninių kopijų.

Prieš šifravimą sudėtinis raktas sumažinamas iki 256 bitų naudojant SHA-256, o tada taikomas KDF. AES-KDF keičiamas tiesiškai su iteracijomis (lengva derinti, mažiau atsparus GPU). „Argon2“ užtikrina daug atminties reikalaujantį standumą ir konfigūruojamą lygiagretumą.

„Argon2d“ ar „Argon2id“? „KeePass“ teikia pirmenybę „Argon2d“ kliento pusės GPU/ASIC atsparumui . „Argon2id“ yra hibridas ir prideda šoninio kanalo apsaugą; jei bazę naudojate bendrai naudojamuose arba nepatikimuose įrenginiuose, „Argon2id“ gali būti subalansuotas pasirinkimas.

Praktinis patarimas: pagrindiniame įrenginyje nustatykite apėjimo mygtuką „1 sekundė“ ir patikrinkite, ar laikas yra priimtinas kituose įrenginiuose (įskaitant mobilųjį telefoną). Dar geriau, jei galite skirti 1–2 sekundes vienam atidarymui.

„Keyfile“ ir „Master Password“: kuris slaptažodis teisingas ir kaip jį naudoti?

Rakto failas prideda antrą, neprisijungus pasiekiamą saugumo veiksnį, kurio užpuolikas negali atspėti naudodamas žodyną. Jis yra stipresnis nei vien slaptažodis , tačiau kelia pavojų: jei jį pamesite arba pasikeis bent vienas jo bitas, būsite užrakinti savo saugykloje.

Geriausios praktikos pavyzdžiai dirbant su pagrindiniais failais: saugokite juos atskirame įrenginyje (USB diske) , sukurkite užšifruotas kopijas, neįkelkite jų į tą pačią debesies paslaugą kaip ir .kdbx failas ir venkite akivaizdžių kelių. Mobiliuosiuose įrenginiuose saugokite juos sistemos užšifruotoje vidinėje atmintyje , o ne SD kortelėje.

Ar rakto failas yra vienintelis autentifikavimo veiksnys? Tai įmanoma, tačiau sumažina atsparumą gedimams. Pagrindinio slaptažodžio ir rakto failo derinys suteikia daugiasluoksnį saugumą ir leidžia tęsti prisijungimą, net jei rakto failo kopija nepavyksta.

Dėl dydžio: „KeePass .key“ failai yra maži pagal savo struktūrą; jų efektyvi entropija priklauso ne nuo KB dydžio , o nuo atsitiktinių bitų. Jums nereikia „padaryti jo 10 KB dydžio“, kad jis būtų saugus.

Sinchronizavimas ir atsarginių kopijų kūrimas: debesis, WebDAV/FTP, USB ir „Triggers“

.kdbx failą galite išsaugoti tokiose paslaugose kaip „Drive“, „Dropbox“, „OneDrive“, „iCloud“ arba „WebDAV/FTP“ serveryje . Failas yra užšifruotas nuo galo iki galo , todėl prisijungiant prie debesies saugyklos jo turinys nebus atskleistas be sudėtinio rakto.

Rizika ir jos mažinimas: naudokite 2FA debesyje, nebendrinkite nuorodų ir apsvarstykite galimybę užšifruoti ZIP failą skirtingu raktu, jei transportuojate kelias duomenų bazes / priedus. Venkite redaguoti tą pačią duomenų bazę vienu metu dviejuose įrenginiuose.

Jei nenorite pasikliauti internetu, labai praktiška yra USB atmintinė su nešiojama versija ir baze. „KeePass“ leidžia atidaryti failus per URL ir naudojant tokius papildinius kaip „KeeCloud“ / „Sync for S3“ / „Dropbox“, tačiau reikia atidžiai jį sukonfigūruoti.

Automatizuokite užduotis naudodami „Triggerių“ sistemą: išsaugodami galite eksportuoti kopiją , inicijuoti sinchronizavimą arba vykdyti scenarijus. Tai naudinga norint išsaugoti istoriją arba siųsti atsargines kopijas į saugią vietą.

Išplėstinės funkcijos: saugus darbalaukis, atmintis, atsitiktinumas ir automatinis rašymas

Įjunkite pagrindinio rakto laukelį „Saugus darbalaukis“ (Įrankiai → Parinktys → Sauga), kad sumažintumėte klavišų paspaudimų registratorių riziką atrakinimo seansuose; jis yra išjungtas dėl suderinamumo.

Kad sugeneruotų patikimus prisijungimo duomenis, „KeePass“ renka sistemos entropiją (laiką, judesius, GUID ir kt.) ir naudoja CSPRNG, pagrįstą SHA-256/SHA-512 ir ChaCha20 . Jei norite, galite pridėti rankinę entropiją.

Atmintyje programa užšifruoja slaptus duomenis ir juos išvalo, kai jų nebereikia, naudodama „Windows“ DPAPI/ProtectedMemory . Tačiau jei ekrane rodote arba nukopijuojate slaptažodį, operacinė sistema gali išsaugoti laikinas kopijas.

Integracija „Auto-Type“ taupo rašymą ir sumažina klaidų skaičių; ji pritaiko sekas kiekvienai paslaugai , prideda vėlavimus ({DELAY 1000}) ir, jei įmanoma, naudoja dviejų kanalų kodavimą. Taip pat galite paleisti RDP/SSH ryšius naudodami šablonus.

„KeePass“ mobiliuosiuose įrenginiuose ir palaikomose versijose

„Android“ sistemose „KeePass2Android“ ir „KeePassDroid“ atidaro .kdbx failus naudodami „Argon2“ / AES-KDF, generuoja slaptažodžius, integruoja automatinį pildymą ir gali sinchronizuoti su debesimi . „iOS“ sistemose „Strongbox“ ir „KeePassium“ palaiko „Face ID“ / „Touch ID“, TOTP ir „iCloud“ / failų saugyklą.

„KeePassium“ išsiskiria nemokamu režimu su pagrindinėmis funkcijomis ir „Premium“ parinktimi, skirta papildomai funkcijai. Abi platformos siūlo integruotą TOTP , leidžiantį išsaugoti pradinę frazę ir laikinai generuoti kodus nenaudojant kitos programėlės.

„KeePass 1.x“ ir „2.x“ skirtumai

1.x šaka yra lengva, bet joje mažiau funkcijų: nėra pilno Unicode, nėra URL atidarymo ar sinchronizavimo , ribotas spausdinimas ir mažiau išplečiamumo galimybių. 2.x versijoje pridėti pasirinktiniai laukai, papildiniai, patobulintas automatinis rašymas ir geresnis palaikymas keliose platformose (per Mono/.NET).

Abu yra nešiojami, atvirojo kodo ir naudoja patikimą šifravimą. Jei pradedate šiandien, rinkitės 2.x, nebent turite labai konkrečią priežastį naudoti 1.x.

KeePassXC: vietinė alternatyva kelioms platformoms

„KeePassXC“ perima .kdbx formatą ir suderinamą su „Linux“ / „macOS“ / „Windows“, siūlydama naršyklės integraciją („Chrome“ / „Firefox“ / „Edge“), TOTP ir modernesnę sąsają. Pagal numatytuosius nustatymus jis veikia neprisijungus , bet galite sinchronizuoti naudodami įprastą debesies paslaugą, išsaugodami .kdbx failą.

Įprastas procesas paprastas: sukurkite duomenų bazę, apibrėžkite stiprų pagrindinį raktą , aktyvuokite naršyklės integraciją, pridėkite įrašų ir, jei norite, tame pačiame įraše išsaugokite TOTP, kad užbaigtumėte 2FA prisijungimus.

Ekosistemos privalumai, trūkumai ir alternatyvos

„KeePass“ privalumai: audituojamas saugumas, perkeliamumas, įskiepių lankstumas , priklausomybės nuo centrinio serverio nebuvimas ir pažangios automatizavimo bei integravimo parinktys.

Trūkumai: paprasta sąsaja, nėra vietinės sinchronizacijos (nors debesyje tai lengva) ir daugiau parinkčių reiškia statesnę mokymosi kreivę nei uždari „viskas viename“ sprendimai.

Populiarios alternatyvos yra „1Password“, „Keeper“, „Enpass“, „Bitwarden“ ir „LastPass“ . Jos siūlo integruotą debesies saugyklą ir puikią naudotojo patirtį, mainais už saugyklos perdavimą trečiosioms šalims arba mokamų modelių naudojimą.

Problemų sprendimas ir geroji praktika

Jei duomenų bazė neatsidaro, patikrinkite didžiųjų raidžių rašymą, teisingą rakto failą ir, jei naudojote „Windows“ paskyrą, ar jūsų SID / raktai nepasikeitė. Atkurti neįmanoma be teisingos informacijos.

Reguliariai kurkite .kdbx failo ir rakto failo atsargines kopijas; prieš išjungdami programą „KeePass“ uždarykite ją ir venkite vienu metu redaguoti failus. Naudokite duomenų bazės šiukšlinę, kad sumažintumėte žalą dėl atsitiktinio ištrynimo.

Spausdinant apribokite, kurie laukai spausdinami paprastu tekstu, ir reikalaukite pagrindinio slaptažodžio spausdinimui. Niekada nepalikite eksportuotų CSV failų be priežiūros ; saugiai juos ištrinkite po importavimo.

Realus scenarijus: ar mano debesies duomenų bazė gali būti nulaužta?

Tarkime, kad kažkas pavagia jūsų .kdbx failą iš „WebDAV“ serverio arba jūsų debesies. Jei naudojate „Argon2“ su maždaug 1 sekundės išvedimo laiku ir pagrindiniu raktu, pvz., ilga fraze arba 25 ir daugiau atsitiktinių simbolių, GPU/ASIC ataka šiandien yra nepraktiška.

Silpnoji vieta paprastai yra trumpi arba nuspėjami pagrindiniai slaptažodžiai. Tikrai stiprus slaptažodis + gerai apsaugotas KDF + (nebūtina) rakto failas atskirame įrenginyje atakos laiką pailgina nuo „galbūt“ iki „neprotingo“.

Tolesnis atsarginių kopijų kūrimas debesyje yra pagrįstas, jei įdiegiate 2FA, nebendrinate nuorodų ir palaikote aukštą KDF (žinių gedimų rodiklį). Tie, kurie nerimauja dėl ekstremalių scenarijų, gali tai derinti su papildomu užšifruotu konteineriu arba naudoti tik užšifruotą USB kaip sinchronizavimo kanalą.

Svarbiausia , kad žodynas nenaudingas, jei frazė / raktinis žodis nėra koreliuojamas, o KDF sulėtina kiekvieną bandymą. Investicijos, reikalingos norint sugriauti nusistovėjusią bazę, staiga išauga.

Prieš paleisdami, skirkite laiko apibrėžti atsarginių kopijų kūrimo politiką (vietinę ir ne vietoje), KDF konfigūraciją ir tai, ar kaip antrąjį veiksnį naudosite rakto failą . Tikrasis jūsų saugyklos saugumas priklauso nuo šio derinio.

„KeePass“ suteikia jums visišką kontrolę, kad galėtumėte saugiai, perkeliamai ir savo nuožiūra valdyti slaptažodžius. Naudodami kelis protingus nustatymus (AES-256/ChaCha20, tinkamai sukalibruotą Argon2, ilgą pagrindinį raktą ir, jei reikia, rakto failą) , sklandų importavimą iš „Excel“ / „Chrome“, įjungtą automatinį teksto įvedimą ir kruopštų atsarginių kopijų kūrimą, turėsite patikimą ir patogią saugyklą tiek savo kompiuteryje, tiek mobiliajame įrenginyje.