Ein erster Blick auf die 1Password 4 Beta

[Don]

<p><img src="/images/stories/galleries/reviews/2013/1password4/1password4-logo.jpg" width="100" height="100" alt="1password4-logo" style="margin: 10px; float: left;" /><strong>In Anbetracht der aktuellen Diskussion über den Datenmitschnitt einiger Geheimdienste, allen voran in den USA, rückt auch Software in den Vordergrund, die sich mit der sicheren Ablage der Daten beschäftigt. Um dem Wust von Accounts, Anmeldenamen und Passwörtern Herr zur werden, hat sich hier vor allem Agilebits mit 1Password hervorgetan. Derzeit arbeitet man im kanadischen Entwicklerstudio an der vierten Version für OS X. Diese konnten wir uns nun in einer recht frühen Beta-Version etwas genauer anschauen.</strong></p>
<p>Welches Problem geht 1Password an? Viele von uns haben unzählige Benutzerkonten auf...<br /><br /><a href="/index.php/news/software/anwendungsprogramme/27202-ein-erster-blick-auf-die-1password-4-beta.html" style="font-weight:bold;">... weiterlesen</a></p>

 

[Tallum]

Bin ich der einzige der kein Vertrauen in solche Programme hat ?

 

[L0rd_Helmchen]

Nein. Mir würde nie in den Sinn kommen, meine Passwörter an einem anderen Ort als meinem Kopf zu lagern.

 

[P!X3l]

Irgendwie muss man ja seine 1xx Logins verwalten (ohne immer die gleichen Passwörter zu verwenden).
Ich verwende 1Password wegen der schönen iPhone Umsetzung. Keypass ist zwar für den Rechner ganz ok, doch die iPhone Version haut mich nicht wirklich um (auch wenn es dank open source sicherer sein sollte).

 

[MC_CHEMICAL]

Wie wäre es mit ein paar Worten zu Keepass. Aber hey das sieht so Retro aus und kostet ja nichts und scheint auch noch opensource zu sein. Also nichts für die Allgemeinheit.

Lächerlich Geld für eine Software zu verlangen die weniger bietet als Keepass. Keypass bietet z.b. eine 256bit Verschlüsselung.

Weitere Infos für interessierte hier: KeePass Password Safe

 

[wohtan]

ich weis zwar nicht wie die meisten passwörter verwalten. sofern man kein masterpasswort hat was man für die jeweiligen dinge abändert. ist der gute alte blatt + stift methode der beste passwort speicher den es gibt. vorallding ne app für ein us unternehmen das mit der nsa zusammenarbeitet soll ich vertrauen ? ... da kann ich es gleich an die pinnwand von fb heften und schreiben hier bitte

 

[Don]

Ich schaue mir die Tage auch noch Alternativen an. Als nächstes steht Keychain2Go auf dem Programm, dass die Keychain von OS X und iOS miteinander synchronisiert.

 

[P!X3l]

@wohtan
Privat sind es bei mir über 100 Logins und beruflich habe ich auch noch mal ca. 50/60, die teilweise geteilt werden müssen / ablaufen. Da wird es schwer mit Blatt + Papier (bzw. ist nicht erlaubt).
Da zücke ich lieber mein iPhone kurz raus.

 

[sonnyboy]

"Sicher durch, für militärische Zwecke geeignete, 256-Bit AES Verschlüsselung" -- Information der iOS-Version des Programms
Also mir gefällt es ziemlich gut. Danke für die Vorstellung und den Test!

 

[Don]

"Sicher durch, für militärische Zwecke geeignete, 256-Bit AES Verschlüsselung" -- Information der iOS-Version des Programms

Je nach Version (ob für iOS, Windows oder OS X) sind es eben 128 oder 256 Bit. Wie das Rechenbeispiel aber darlegt, macht das aktuell noch keinen Unterschied, da selbst 128 Bit nicht zu knacken sind.

vorallding ne app für ein us unternehmen das mit der nsa zusammenarbeitet soll ich vertrauen ? ... da kann ich es gleich an die pinnwand von fb heften und schreiben hier bitte

Du läds ja nichts unverschlüsselt hoch und bei der Verschlüsselung tut sich auch die NSA sicher schwer

 

[sonnyboy]

Da hast Du allerdings recht.

 

[Novastar]

Ich persönlich benutze KeePass mit einem Plugin für den Twofish-Algorithmus. Das ist eine Alternative zu AES, angeblich etwas sicherer und seltener verwendet. Fühle ich mich damit sicherer.
Dass KeePass Open-Source und kostenlos ist, ist für mich auch schon ein großer Sicherheitsvorteil bei solchen Programmen.
Ich benutze immer 256 Bit für den Schlüssel: Warum 128 nehmen, wenn man mehr Sicherheit für einen vernachlässigbaren Preis bekommt? Klar, auch 128 ist für einen Normal-Nutzer so gut wie unknackbar und auch für Organisationen unfassbar schwer. Aber ob ich jetzt 0,1 Sekunde länger für die Ent- und Verschlüsselung der Daten brauche, ist bei einer solchen Sache unwichtig.

Aber ein wichtiger Hinweis für alle Nutzer von Passwort-Managern: Speichert unter allen Umständen ein Backup auf einen öffentlichen Server, für den ihr kein Manager-Passwort benutzt! Falls ihr mal alle lokalen Kopien verliert (Hausbrand oder so), habt ihr es dann wenigstens noch auf dem Server.
(Da die Passwörter verschlüsselt sind, braucht ihr euch keine Sorgen machen, wenn jemand das Programm in die Finger kriegt. Alles praktisch sicher verschlüsselt.)

Damit aber nicht jedes Kennwort auch den gleichen 128-Bit-Key erzeugt, werden mehrere tausend Iterationen verwendet.

Das hat nichts miteinander zu tun. Die tausend Iterationen sind dafür da, um das Knacken per Brute Force (alle Möglichkeiten ausprobieren) zu erschweren.

 

[Bzzz]

Irgendwie muss man ja seine 1xx Logins verwalten (ohne immer die gleichen Passwörter zu verwenden).

7xx (KeePassX zeigt leider nicht die Gesamtzahl an, ich seh das nur alle Jubeljahre mal, wenn ich ne aktuelle Datenbank mit KeePass unter Windows aufmache)

Ich benutze immer 256 Bit für den Schlüssel: Warum 128 nehmen, wenn man mehr Sicherheit für einen vernachlässigbaren Preis bekommt? Klar, auch 128 ist für einen Normal-Nutzer so gut wie unknackbar und auch für Organisationen unfassbar schwer.

Naja oder auch nicht, aber a) kenn ich mich da auch nicht so hundertprozentig aus, und b) sind alle AES-Längen ne recht sichere Sache

https://cryptolux.org/FAQ_on_the_attacks

Q.: Does it mean that AES-256 is weaker than AES-128?

A.: Theoretically, yes. Practically, they both still provide a comfortable level of security.

Aber schön, dass Obstsoftware als Nonplusultra beworben wird, und lange erhältlicher "iiih, eckig"-Multiplattformkram wie KeePass gar nicht erwähnt wird.

 

[Darkwonder]

Und was nützt KeePass wenn es nicht Benutzerfreundlich etc. ist?
Hier wurde eine App, ein Programm getestet und eben kein xy oder z.
Was eben evtl. irgendwann für sich getestet wird.

Würde eher warten mit Maverick wird wohl etwas Apple eigenes kommen
Ansonsten LastPass ist eigentlich so die einzige schnell und einfach benutzbare Alternative.

 

[Bzzz]

Wo genau ist KeePass nun nicht benutzerfreundlich? Was kanns nicht und wo ist es umständlich?

 

[P!X3l]

Ohne jetzt tief ins detail zu gehen (nur iphone zur hand) ist die 1password app deutlicher besser fuer ios umgesetzt als alles andere. Ich habe vor 1password auch alternativen getestet.
Ich weiss net ob win mobile berueckschtigt wurde doch ansonsten wird alles abfedeckt: os x, windows, android und ios.

Natuerlich ist open source bei sicherheitssoftware "besser" und nichts zu bezahlen ist auch nicht verkehrt doch meinen win + 2x ios kauf bereue ich nicht.

 

[Lebedev]

Ich würde nie im Leben meine Passwörter einem Programm anvertrauen. Schon gar nicht wenn ich nicht die Hersteller-Firma, geschweige denn dessen Intentionen und Ideologien kenne.
Niemand kann die Sicherheit des Programms wirklich überprüfen, oder herausfinden ob da eine Backdoor etc. ist. Open Source ist die einzige Lösung.
Ich halte es für am Sinnvollsten Passwörter auf einem verschlüsselten USB Stick zu speichern, der nur angeschlossen wird wenn ein Passwort benötigt wird. Mit Automount bei Truecrypt klappt das relativ bequem.

 

[Novastar]

@Bzzz: Joar, spezielle Angriffe sind etwas anderes. Selbst Schlüssellängen wie 512 Bit sind nicht sicher, wenn der zugrunde liegenden Algorithmus schwach ist. Aber im Grunde ist eine längere Schlüssellänge gleichzusetzen mit einer höheren Sicherheit. (Beispielsweise bei Bruteforce) (Man muss die Schlüssellänge aber auch ausnutzen.)
Ich möchte übrigens erwähnen, dass der Angriff (falls die Angaben der Wahrheit entsprechen) immer noch praktisch nicht durchführbar ist.

Das beste daran ist ja aber, dass ich eh nicht AES benutze, sondern Twofish. AES hat nämlich zwar den Vorteil, dass mehr Leute ihn untersucht haben, allerdings wird deswegen auch fast die ganze Kraft zum Knacken auf ihn angewendet. Andere Verfahren werden kaum beachtet. (Gleiches Prinzip bei Viren und Linux: Linux wird weniger verwendet und allein dadurch gibt es, neben anderen Gründen, weniger Viren dafür.)
Hinzu kommen persönliche Merkmale, wie beispielsweise dass ich Bruce Schneier (Mitentwickler von Twofish) sympatischer finde. Sicherheit ist eben auch eine Sache des Vertrauens. ^^

 

[Don]

Niemand kann die Sicherheit des Programms wirklich überprüfen, oder herausfinden ob da eine Backdoor etc. ist. Open Source ist die einzige Lösung.

Das in Linux und Android gefundene Code, der von der NSA stammen soll, ist für mich aber auch nicht gerade ein Beispiel für vertrauensvoller Code. Bewiesen ist in der Hinsicht nichts, aber ich kann dem Hersteller der Software hier auch nicht beweisen, was er tut und was nicht.

 

[Sharif]

und wo her habt ihr die sicherheit das diese Tool nicht von NSA Finanziert worden ist.

Dann haben die bequem alle euere Passwörter beste schutz ist immer noch mein Kopf

Ich würde keine Tool benutzen schreibt eine World Datei alle euere Accounts + passwörter Druck das aus lernt das auswendig und tut diese Doku sicher aufbewahren fertig aus.

 

[P!X3l]

Ist zwar leicht paranoid aber man kann auch die Login Namen abkuerzen (wie ich es tue) oder ganz weglassen. Dann fehlt natuerlich die Komfort Funktion der automatischen Anmeldung im Browser.

 

[Darkwonder]

Ehrlich gesagt ist es mir doch piep egal was die nsa macht, was fängt die mit meinen pws an?
Solanoge da nicht noch mehr so leute wie der piep rum laufen die Sachen machen für die sie nicht zuständig ist, gibt es da keinen der sich auch nur einen scheiß um die pws kümmert bzw. Damit was anfangen kann.
Was haben die von meinen Online Konten, Privat Bildern oder was auch immer?
Nix, ist schlicht nicht relevant, solange ich nicht gerade irgendwelche Spionage, Terror oder sonstige Kake betreibe.

Don hat es schon gesagt, in Open Source ist es vermutlich noch einfache BackDoors ein zu bauen oder kontrolliert ihr den kompletten Quelltext? Nur weil man das theoretisch kann macht das einer? Nein mehr Sicherheit,,hat man nur wenn man sie selbst schreibt.

@Bzzz
Alleine die App für iOS entweder veraltet oder sonst wie nicht direkt zu nutzen oder x Sachen machen zu müssen.
1Password hat dagegen z.B, direkt Browser etc. Integriert, Einrichtung ist schnell und einfach gemacht, iCloud Unterstützung.
Dazu die Optik von KeePass, keine Anpassung ans System und nichts.
Wie gesagt, ich nutze aber kein 1Password, mir reicht der Online Service von LastPass.

 

[Bzzz]

Alleine die App für iOS entweder veraltet oder sonst wie nicht direkt zu nutzen oder x Sachen machen zu müssen.

Das klingt jetzt nicht nach ausprobiert, sondern aus deiner Macmini-, AirportExtreme-, Eipäd-, MBP und Eifon-Ausstattung abgeleitet. Wurde nicht speziell dafür gemacht, kann ja nix taugen.
Aber glücklicherweise ist iOS ja nicht die goldene Kuh, um die alle tanzen. Und 1Password gibts z.B. nicht für Maemo und normales Linux, hat sich daher für mich zu 100% erledigt - und wenns noch so toll wäre.