Keepass: der freie Password-Manager - welche Plugins setzt ihr denn ein!?

[chiemsee]

Keepass - der freie Password-Manager - bietet viele Möglichkeiten; und via Plugins werden die vielen Features nochmals stark erweitert.

die Entwicklerseite: https://keepass.info/help/v2/sync.html

welche Keepass-Addons /Plugins verwendet ihr!? Es gibt ja sehr viele Plugnis / Addons die die Funktionalitäten erweitern: welche verwendet ihr denn!?


Plugins - KeePass: - die Übersicht auf die Plugins: https://keepass.info/plugins.html

-Backup & Synchronization & IO
-Utilities
-Integration & Transfer
-Import
-Export
-Cryptography & Key Providers
-Automation & Scripting
-Ressources


Welche Plugins verwendet ihr denn - welche sind euch wichtig?

Einrichten - Betrieb, Synchronisation und Backup.

zum Szenario: ich installiere keepass einfach mal u. vergebe dann ein masterpassword: Damit ist Keepass zunächst mal eingerichtet - wenn auch noch leer. Dann kommt der nächste Schritt. Danach gebe ich die DATEN meiner Accounts da der Reihe nach in die Keepass-DB ein - man kann auch mittels eines CSV-Datei importieren.

Einschub: Masterpasswd / Keyfile: - wo auf dem Rechner oder (überhaupt) legt ihr euer keepass-File ab? Darüber hinaus: wie aufwändig ist euer masterpasswd - sehr oder nicht so sehr? Es ist ja so: KeePass bringt mit Keyfiles schon viel viel mehr sicherheit: Frage aber - wo legt ihr denn das file ab!? es ist ja so: Sollte das Masterpasswort abhandenkommen, lässt sich mit der Datenbank nichts anfangen, solange nämlich die Schlüsseldatei fehlt. [mehr dazu unten]


Einrichtung und Passworte:

Lasst ihr euch denn dann ggf. gleich neue Passworte für Eure Accounts erstellen - denn Keepass kommt ja auch mit einem Passwortgenerator.
https://keepass.info/help/base/pwgenerator.html :: Password Generator: Details about the built-in password generator of KeePass.
Es ist ja zu empfehlen - wobei manche Webseiten auch Obergrenzen haben - was die Länge der Passworte anbelangt: - Ich stelle meine Passwörter schrittweise um, neue Accounts erstelle ich dann gleich mit dem Generator.

Plugins: Auf der Browserseite kommt Passifox (bzw ChromPass für mich in Frage). Denn da ich Chrome verwende, würde ich lieber ein chrome-Spezifischen Plugin nehmen - also z.B; chromeIPass.

-KeePassHttp - sollte ggf. auch in Betracht gezogen werden: KeePassHttp ( https://github.com/pfn/keepasshttp/ ) provides a secure means of exposing KeePass entries via HTTP for clients to consume.
For example, KeePassHelper, Dash and NotesIPass are using KeePassHttp.


der laufende Betrieb:

Über die Synchronisierung: ... es gibt hier viele Optionen
- Ich kann das ungefähr einmal im Monat tun - mit anderen Worten, alle Datenbanken einmal im Monat synchronisieren;
- Ich kann die Datenbank über die meisten Dienste auf allen Arten von Geräten synchronisieren. Aber welche ist hier die beste Methode?! Sicher die die keine Cloudloesungen einbezieht - denn das ist ja im Grunde auch wieder unsicher!?!?

sicher bleiben:
- Zum Beispiel könnte ich meine Datenbank über Dropbox synchronisieren und von einem Linux-Computer, einem Windows-Computer und (sogar dem Handy) darauf zugreifen.
- Da es sich bei der Datenbank jedoch nur um eine einzelne Datei handelt, können wir auch lokale Kopien verwenden.
- Und bei dieser Methode muss ich keine Dropbox in der Cloud mit ins System aufnehmen. Wenn ich nur die Datenbankdatei auf das Gerät kopiere - zB. meinen PC, auf den ich zugreifen möchte, und dann bin ich mit diesem Schritt fertig. Auf diese Weise erreicht meine Datenbank niemals das Internet. Ich denke, dass diese Methode ziemlich sicher ist.

Backup: Was mir sehr, sehr wichtig erscheint, ist das Backup.

Wichtige, Adressen, Texte, Artikel, HowTos Quellen und interessante Diskussionen rund um das Thema Keepass:

- die Entwicklerseite: https://keepass.info/help/v2/sync.html
- die Übersicht auf die Plugins: https://keepass.info/plugins.html
- das Forum: https://sourceforge.net/p/keepass/discussion/

- Synchronization: Merge changes made in multiple copies of a database: https://keepass.info/help/v2/sync.html

- Where to store a Keepass password file? https://askubuntu.com/questions/562879/where-to-store-a-keepass-password-file

- Where to store the database, where to store the keyfile? https://sourceforge.net/p/keepass/discussion/329220/thread/01265b22/

- Is keeping a KeePass file in Dropbox safe? https://superuser.com/questions/351525/is-keeping-a-keepass-file-in-dropbox-safe

- I have my Keeppass on the cloud but from different computers with the same password find cannot find the same data https://sourceforge.net/p/keepass/discussion/329221/thread/007bd9a9/


Zum Einrichtungs-Thema: Masterpasswd / Keyfile: - wo auf dem Rechner oder (überhaupt) legt ihr euer keepass-File ab? Darüber hinaus: wie aufwändig ist euer masterpasswd - sehr oder nicht so sehr? Es ist ja so: KeePass bringt mit Keyfiles schon viel viel mehr sicherheit: Frage aber - wo legt ihr denn das file ab!? es ist ja so: Sollte das Masterpasswort abhandenkommen, lässt sich mit der Datenbank nichts anfangen, solange nämlich die Schlüsseldatei fehlt. Also - gehen wir mal von dem Fall aus - man will mehr Sicherheit: Wenn man mit Keyfile arbeitet, dann ist das so, dasst also immer die Kombination aus Datenbank, Schlüsseldatei und Masterpasswort erforderlich ist.

Dennoch: Das oben gesagte, das bedeutet natürlich nicht, dass das gewählte Masterpasswort dadurch unwichtiger wird. Ich denke, dass man trotz Keyfile ein extrem sicheres Passwort wählen sollte. Also - Fazit: Schließlich sollen damit alle anderen Passwörter geschützt werden. Und Verschlüsselung ist immer nur so gut wie das gewählte Passwort. Nun kommt die Frage: welche Methode verwendet ihr
a. bei der Generierung eines Masterpassworts
b. bei der Ablage der Keyfile!?

Welche Risiken bezieht ihr mit ein:
- Datenverlust
- gehackter Passswortfile
- oder andere Risiken mehr...!?

auf der Wikiseite über Keepass steht das folgende: https://de.wikipedia.org/wiki/KeePass

 

[Ickewars]

Nun kommt die Frage: welche Methode verwendet ihr
a. bei der Generierung eines Masterpassworts
b. bei der Ablage der Keyfile!?

Nutze zwar KeePassXC, kommt aber aufs Gleiche raus.

a. Da habe ich ein individuell-abstraktes mit 21 Zeichen/Zahlen, welches für mich über eine Eselsbrücke (je erste zwei Buchstaben eines erfundenen/angepassten Satzes + 5 Ziffern) sehr gut merkbar ist.
b. Keyfile liegt in einem tief verschachtelten Ordner auf meinem NAS. Die DB liegt natürlich in einem völlig anderen Ordner. Vom kompletten NAS gibt es allerdings nicht nur lokale Backups, sondern auch ein komplett verschlüsseltes in meine Hetzner Storage Box.

Synchronisiere gar nicht (da Inhouse alles aufs NAS zugreift) - Handy bekommt nur alle paar Monate mal manuell ne aktuelle DB, dort ist das Keyfile auch kaum erkennbar "versteckt", sprich in nem Android-Systemordner. Das reicht mir so völlig hinsichtlich Sicherheit aus.
KP-XC Plugins nutze ich gar keine, bzw. nur jeweils die FF Addons für die komfortable Browserintegration.

Habe das Gefühl, Du machst Dir fast schon zu viele Gedanken zum Thema. Hauptsache Du nutzt überhaupt nen PW-Manager und unterschiedliche PWs - damit biste ja schon weit vorne. 😅

 

[AliManali]

Nutze Keepass 2 ohne Plugin Klimbim. Die DB wird per copy & paste manchmal hin und her geschoben bzw. gesichert. Das reicht für meinen Anwendungsfall.

Das Masterpasswort kenne ich natürlich auswendig. Das ist wie alle meine Passwörter extrem kryptisch, da gibt es auch kein System/Eselsbrücke dahinter. Kann mir sehr viele von den kryptischen Passwörten merken, habe da ein ausgezeichnetes Gedächtnis in der Hinsicht. Hoffe kriege nie Alzheimer, und vergesse die wichtigsten.

Mein Kumpel hält mich immer für paranoid mit meinen Passwörtern. Aber da ich nicht nur meine eigene IT betreue, habe ich die Daten gerne möglichst sicher. Geht aber auch nicht um Atomwaffenpläne, oder sowas.

Was ich mal machen sollte, ist das Masterpasswort einer vertrauenswürdigen Person versiegelt überreichen, falls ich mal unerwartet ableben sollte. Damit man mein digitales Erbe noch aufdröseln kann. Wäre schade, wenn alles ohne mich einfach so stehen bleiben würde.

 

[Shihatsu]

KeePassXC ohne Addons. Addons bei KeyPass würd ich mir dreimal überlegen, erst Recht wenns an sowas wie Browserintegration geht. Global Autotype und gut ist.

 

[Ickewars]

erst Recht wenns an sowas wie Browserintegration geht. Global Autotype und gut ist.

Autotype war mir etwas zu mühsam, bzw. zu unzuverlässig. Empfinde das Risiko der Browserintergration als überschaubar, da die wirklich wichtigen Accounts alle 2FA haben. Aber klar, grundlegend haste natürlich Recht.

Werde glaub meine DB demnächst mal in wichtig (Bank & Co) und unwichtig in zwei DBs splitten. Die wichtige dann nur mit Autotype nutzen.

 

[chiemsee]

hi und guten Tag

vielen Dank für Eure Rückmeldungen - für das Teilen eurer Erfarhungen u. Eure Ideen zum Setup.


Hab schon oft gehoert, dass man KeePassXC ohne Addons sehr sehr gut verwenden kann. bzw. einfach auf Addons zu verzichten, so wie du das machst, Shihatsu.

Danke für Eure tollen Tipps u. Anregungen!


VG Chiemsee

 

[Senator Wurstbein]

KeePassRPC für die Firefox Integration, mehr nutze ich nicht an plugins. Damit sind wohl so 95% meines use cases abgedeckt. Und ja, meine DB liegt in der cloud, damit ich zwischen PC daheim, im Büro und mobil permanent synchronisiere.

Davon ab gibt es noch diverses in den settings zu konfigurieren, um ein laufendes keepass weiter abzusichern, wenn man an Keylogger und ähnliches denkt. Als Basis bin ich dem hier gefolgt: https://avantguard.io/en/blog/attacking-and-hardening-keepass

 

[toscdesign]

Ich habe KeepassXC folgendes Argument zum starten mitgegeben

-platform xcb

Somit hat man auch funktionierendes Autofill unter Plasma Wayland

 

[flyingjoker]

ich nutze KeepassXC auf Opensuse 15,6 und nutze das Firefox Plug-in.
Derzeit experimentieren wir noch mit Bitwarden als Alternative.

 

[Zeitmangel]

Ich frag mich manchmal - jetzt in dem Fall ist das ja nicht so arg - ob das der Sache zuträglich ist sich in Foren auszutauschen wie man seine security gestaltet Aber ja. Es geht nichts über KeePass. Ohne plugins. Da es (hier) bis zur eigentlichen Auswahl auch komplett über Tasta geht, ist es auch so schnell zu machen, daß ich noch über keine Plugins nachdachte.Über Auto-Type hab ich noch nie nachgedacht.Das geht auch so schnell genug.
Ich nutz sogar den 1.x. Da bedarf es auch einen Vorgesprächs den weiter leben zu lassen

Was die Konfigtipps angeht: Wer sich Gedanken über Keylogger macht... Leute, wenn ihr einen Keylogger drauf habt, seid ihr bereits gef.... Das ist kein Sichehitsgedanke, zu überlegen, wie man einen Keylogger austrickst

Es gibt kein Leben ohne KeePass Die Datenbank ist außer in der Bude auch an 2 verschiedenen Orten gesichert. Die darf niemals hops gehen

PS:
Warum das Tool welches es für so viele Platformen gibt, in einer Linuxecke besprochen werden muss und nicht hier https://www.hardwareluxx.de/community/forums/netzwerke-security-und-internet.67/ wird sich aber wahrscheinlich nicht mehr klären lassen...
So ähnlich wie unsere guten Netzwerke nicht im Unterforum für Netzwerk mit ihren Netzwerkthemen unterwegs sind, sondern im Homeserver/Homeworkstation Unterforum

 

[Shihatsu]

Ja, es ist zuträglich sich in Foren darüber zu unterhalten. Immer und grundsätzlich. Wenn das "persönliche Sicherheitskonzept" auf "Security by Obscurity" basiert ist das ziemlich dümmlich.

 

[Zeitmangel]

An sich ja. Wenn man zufällig abgegraben weden sollte, dann ist es eh egal. Wenn es aber wirklich irgendwas gibt wo einer naschauen möchte... Ich weiß auch nicht warum das wer wissen sollte welchen Router (Gateway) mit welcher Softwareversion man fährt. Soll er erstmal auch das bitte herausfinden und nicht schon halb vorbereitet kommen.

Vielleicht steck ich da schon zu tief drin und kann das garnicht mehr so gut trennen, zwischen privat und beruflich. Das war aber eh nur ein einziger Satz unter zig

 

[Shihatsu]

Die restlichen Sätze waren keines Kommentars wert, dieser jedoch war es. Need 2 Know ist Teil des Datenschutzes und als solches sicherlich auch richtig, aber darf nie Teil des Sicherheitskonzepts sein im sinne eines potentiellen thread actors bzw. vectors.

 

[Zeitmangel]

Die restlichen Sätze waren keines Kommentars wert

Hab eigentlich grad das gleiche Gedacht, nachdem ich drauf antwortete, aber manchmal merkt man es auch erst hinterher, daß man grad dem gleichen pavlovschen Impuls erlag wie der Vorredner.

Need 2 Know ist Teil des Datenschutzes und als solches sicherlich auch richtig

aber darf nie Teil des Sicherheitskonzepts sein im sinne eines potentiellen thread actors bzw. vectors.

Na also. Eine Art doppelte Verninung mit einer versteckten Bejahung. Ich glaub an der Stelle können wir glücklciherweise auch aufhören (da an sich eh OT).

Danke für deine Zeit

 

[AliManali]

Naja, vielleicht wird ein Angreifer auch abgeschreckt wenn er erfährt, dass man ein Sicherheitskonzept hat.

 

[Zeitmangel]

@AliManali
Hab ich schon mal auf dem Symposium vorgeschlagen gehabt, daß z.B. Router mit der Ping Antwort als opt-in 24 Zeichen Klartext senden können sollte

 

[AliManali]

Wenn Du meine IP raus kriegst, gibt es einen Keks.

 

[Zeitmangel]

Ich glaub das nennt sich Derailing oder?

Und nein. Es reicht.

 

[AliManali]

Mein Sandbox Hobby Server Rig ist immer wieder witzig. Unglaublich, was die dauernd alles versuchen. Gibt auch Fälle, da kommen sie durch. Dümmer wurde ich dabei auf jeden Fall nicht. Von der Ausstattung her könnte sich mancher Dachdeckerbetrieb was abschauen.

Läuft aber seit bald 20 Jahren im Laborbetrieb. Vielleicht gehe ich dann doch mal noch produktiv online.