Passwortmanager - welchen bei welchem OS?

[robbitop]

Hallo,

da ich Schwierigkeiten habe, mir Passwörter auszudenken und zu merken, nutze ich praktisch überall das gleiche Passwort. Besonders sicher ist das auch nicht, da nicht sehr lang. Und selbst wenn es sicher wäre - es muss ja nur die Datenbank einer Webseite, auf der ich angemeldet bin, geknackt werden und schon kommen die Jungs überall rein.

Also dachte ich: "Aufrüsten!!".

Bevor ich weiter frage: machen Passwortmanager Sinn? Sind sie halbwegs sicher?

Ich möchte ein Passwortmanager, der auf Windows, iOS und MacOS funktioniert (bzw. brauchbare Clients für diese OS hat). Idealerweise kostenlos. Aber ich hätte auch kein großes Problem, wenn ein PW Manager besonders gut ist, einen kleineren Betrag zu zahlen.

Natürlich soll das alles synchron laufen.

Bitte die entsprechenden Clients benennen. Was empfiehlt man da heute so?

[urpils]

keine Frage. Unangefochten: https://agilebits.com/onepassword (1Password).
gibt es schon lange - ist extrem gut abgehangen und funktioniert zuverlässig und sicher. Gibt es für deine Wunschplattformen und ist jeden einzelnen Cent wert - ich nutze es und könnte nicht mehr drauf verzichten...
(gibt auch regelmäßig neue Versionen und Features... gerade aktuell Hinweise welche Passwörter von Heartbleed betroffen sein können, etc... Browsererweiterungen, Suche, Passworterzeugung, verschlüsselte Synchronisation über Dropbox, etc..)

kenne keine sinnvolle vergleichbare Alternative.

[robbitop]

Puh das ist ja nicht gerade günstig und dann auch noch für jede Plattform einzeln latzen... Gibts da keine Alternativen? Z.B KeePass?

[urpils]

Puh das ist ja nicht gerade günstig und dann auch noch für jede Plattform einzeln latzen... Gibts da keine Alternativen? Z.B KeePass?

so sehr wird es nicht eilen - 1Password kommt öfters mal in Sonderangeboten. dafür lohnt es sich etwas zu warten... Es gibt Alternativen - allerdings bin ich immer zu 1Password zurückgekehrt und habe auch bisher noch keine negativen Erfahrungen gemacht.. ich bereue das Geld dafür nicht...
tut mir leid, dass ich dir keine andere Empfehlung aussprechen kann... vielleicht hat ja noch jemand anderes etwas, das ich noch nicht kenne :)

[sei laut]

Gibts da keine Alternativen? Z.B KeePass?
KeePassX ist das, was du suchst. Was du vielleicht auch meintest.

Ich nutzte es zwar nur unter Linux, aber gibt es für alle Plattformen. (bei den Linux Systemen findet man es in den Paketmanagern)
Der "Nachteil" ist halt, dass man die Passwort-Datei syncen muss (da nix mit Cloud), irgendwo zentral. Könnte man auch über btsync lösen oder die Passwortdatei halt zentral ablegen.

Edit: Nicht KeepassX 2 nehmen, das ist noch in Entwicklung.

[robbitop]

Das klingt ein wenig benutzerunfreundlich. Geht das ggf. auch über Dropbox oder so?

edit:

wie ist das eigentlich bei 1password - bekommt man da kostenlos Updates oder heißt es alle paar Jahre eine neue Version kaufen?

[Fairy]

Ich glaub bei 1password muss man immer die vollen Versionen bezahlen, also z.B. 4.x.x -> 5.0.0. Bin mir da aber auch nicht ganz sicher. Der Support hilft dir da weiter.
Sowohl bei 1p als auch KP kannst du die Datei über Dropbox syncen.

Hatte auch erst KP(X), aber auf dem Mac finde ich das schlecht. Habe deswegen auf 1p umgerüstet und bin sehr zufrieden.

[klutob]

Hallo,

da ich Schwierigkeiten habe, mir Passwörter auszudenken und zu merken, nutze ich praktisch überall das gleiche Passwort. Besonders sicher ist das auch nicht, da nicht sehr lang. Und selbst wenn es sicher wäre - es muss ja nur die Datenbank einer Webseite, auf der ich angemeldet bin, geknackt werden und schon kommen die Jungs überall rein.

Also dachte ich: "Aufrüsten!!".

Bevor ich weiter frage: machen Passwortmanager Sinn? Sind sie halbwegs sicher?

Ich möchte ein Passwortmanager, der auf Windows, iOS und MacOS funktioniert (bzw. brauchbare Clients für diese OS hat). Idealerweise kostenlos. Aber ich hätte auch kein großes Problem, wenn ein PW Manager besonders gut ist, einen kleineren Betrag zu zahlen.

Natürlich soll das alles synchron laufen.

Bitte die entsprechenden Clients benennen. Was empfiehlt man da heute so?
Würde Lastpass empfehlen, läuft auf allen Plattformen inkl. Smartphone.

[sei laut]

Das klingt ein wenig benutzerunfreundlich. Geht das ggf. auch über Dropbox oder so?
Klar, die Passwortdatei kann man überall abspeichern. (sofern man ein Passwort setzt)
Wenns um Passwörter geht, sollte man aber nicht darauf vertrauen, dass sie im Internet sicher aufgehoben sind. Niemals! Aber nur meine Meinung.

[patermatrix]

Hatte auch erst KP(X), aber auf dem Mac finde ich das schlecht. Habe deswegen auf 1p umgerüstet und bin sehr zufrieden.
Kann ich bestätigen. Unter Windows ist Keepass fast ebenbürtig, unter OSX oder auf dem iPhone sehen die *.kdb/*.kdbx kompatiblen Clients allesamt kein Land gegen 1Passwort.

Mir ist es mein Geld wert. (y)

[sloth9]

keepass 2 u. auf dem handy keepass2android. letzteres bringt sogar eine eigene Tastatur mit, um die Zwischenablage zu schützen.
natürlich open source.

oh, IOS. Mensch finde den Fehler.

[drmaniac]

keine Frage. Unangefochten: https://agilebits.com/onepassword (1Password).
gibt es schon lange - ist extrem gut abgehangen und funktioniert zuverlässig und sicher. Gibt es für deine Wunschplattformen und ist jeden einzelnen Cent wert - ich nutze es und könnte nicht mehr drauf verzichten...
(gibt auch regelmäßig neue Versionen und Features... gerade aktuell Hinweise welche Passwörter von Heartbleed betroffen sein können, etc... Browsererweiterungen, Suche, Passworterzeugung, verschlüsselte Synchronisation über Dropbox, etc..)

kenne keine sinnvolle vergleichbare Alternative.


ganz ehrlich? Bei DEM Thema (Sicherheit) war es mir das Wert!

Ich habe viel gestestet und bin dann bei 1Password gelandet auf dem iphone3 damals.


Heute nutze ich 1Passwort auf meinen Windows Rechnern und meinem Tablet Galaxy Note Pro 12.2 und meinem Handy Galaxy Note3.

Ich habe mir die Mühe gemacht vor 2 Jahren ALLE meine Internet Accounts zu sammeln und zu bearbeiten. Ich hatte bis dato 2 eMail Adressen über die 15 Jahre alles lief.

Konzept war:

Dutzend neue eMail Adressen (bei gmail gelandet) in Kategorien also z.B.

blabla.Forum@gmail.com
blabla.Privat
blabla.Games (für z.B. Blizzard, Steam, Xbox und PS Account usw)
usw
und eine "Master" eMail Adresse, in der alle Mails der o.g. Fächer landen. Von dieser Adresse aus schreibe ich niemals raus! Habe aber dort alle Mails komplett und auch in gmail sortiert nach Labels (also Ordner).

Dann habe ich meine eMails (sau arbeit) nach gmail in die entsprechenden kategorie-eMail-Postfächer exportiert

und war danach auf JEDER mir jemals bekannten besuchten Webseite, wo ich einen Account habe (Alter Schwede: ich habe über 300 Accounts angesammelt, das meiste Foren ;D). Und habe meine eMail Adressse angepasst und ein Passwort vergeben. 1Password generiert tolle lange und kryptische Passwörter ;)

Ergo: wenn ich mich wo einlogge, dann zentral über (im Firefox ist ein kleines 1Passwort addon icon) 1Password. Jede Webseite/Shop/Game hat ein individuelles Passwort. Und wenn eine eMail adresse mal zu bekannt sein sollte, oder zuviel spam erhält, dann weis ich ungefähr wo es herkommt und muss nicht mehr überall meine email adresse austauschen.


1Password läuft über Dropbox, so dass überall immer der selbe Stand ist.

Wir gesagt: ich zahle gerne dafür (ist ja nur einmalig gewesen) dafür kommen auch immer Updates, ich kann es auf win,Mac,iOS,Android nutzen und fühle mich zumindest ETWAS sicherer :)

[robbitop]

Ich wollte mal KeePass testen (weil Open Source) - aber der beste KeePass Client namens "MiniKeePass" ist im deutschen Appstore nicht erhältlich. Ist das normal? Auf Google finde ich etliche deutsche Tests zu MiniKeePass und niemand schreibt etwas darüber, dass es das im deutschen Store nicht gibt. Ist das erst seit Kurzem so? Wißt ihr, was da los ist?

Zu 1Password:

1. Wie gut ist deren Windows Client? Ich habe gelesen, dass der der Mac-Version deutlich hinterherhinkt.
2. Muss ich Version für iPad und iPhone separat bezahlen?

[Fairy]

MiniKeePass gab es bis vor kurzem noch im App Store, nun ist es verschwunden. Keine Ahnung warum.

Zu deinen Fragen:
1. Installier dir doch einfach mal die 30 Tage Testversion? Ist halt erst Version 1.irgendwas aber von den Funktionen sollte es nahezu identisch sein.
2. Ja.
Hier die Seite des Herstellers, mit Shop. https://agilebits.com/

[robbitop]

Hm also ich finde agilebits ganz schön greedy. Das macht es für mich unsympatisch, deren Produkt zu nutzen.

Ich muss nicht nur für jedes OS bezahlen sondern praktisch für jedes Gerät (in meinem Falle, da PC, MacBook, iPhone und iPad) und dann das ganze nochmal beim nächsten Major Release. Das ist ganz schön happig.

Ich denke, dass ich erstmal warte, bis MiniKeePass wieder verfügbar ist und die OpenSource Lösung teste.

Achja: Holt 1passwort sich durch Mausbewegung und zufällige Eingabe des Users zusätzliche Entropy in deren Verschlüsselung des Keyfiles?

[Fairy]

1Password für iPhone + iPad zahlst du nur ein mal und für Windows + Mac gibt es auch ein Bundle. Agilebits macht auch oft Angebote. Dann gibts das Bundle für ich glaube 36 Euro und die App ist auch 50% billiger.

[robbitop]

Das klingt schon deutlich besser als 50 + 50 + 20 + 20 €. Wo bekommt man denn Wind davon, wann es solche Angebote gibt?

[Julius]

Ich habe KeepassX länger genutzt. Bin auf 1Password bei einer Rabattaktion gewechselt. Möchte es auch nicht mehr missen. Ist es wirklich Wert.

[robbitop]

Kein Wunder KeePassX ist zumindest (für KP2) auf dem Mac noch tiefste Alpha...

[Annator]

Benutze Keepass 2 auf Windows und KyPass 2.4.2 auf iOS. Die Key File liegt in der Dropbox. Egal wo ich was ändere es ist überall aktuell. Läuft in der Konfiguration schon gut 2 Jahre.

Bei Keepass sollte man aber ein Passwort wählen mit Wörtern die nicht so einfach durch Bruteforce geknackt werden können.

PS. Sehe gerade, dass es im Appstore nur noch Kypass 3 gibt. Zu der Version kann ich leider nichts sagen.

[Fairy]

Das klingt schon deutlich besser als 50 + 50 + 20 + 20 €. Wo bekommt man denn Wind davon, wann es solche Angebote gibt?
Wenn du es jetzt kaufen würdest, wären es ca. 51 Euro + 15,99 Euro. Einfach immer mal wieder die Preise checken oder auf Webseiten schauen, die über App-Angebote informieren.

[urpils]

Das klingt schon deutlich besser als 50 + 50 + 20 + 20 €. Wo bekommt man denn Wind davon, wann es solche Angebote gibt?

in der Regel dauert es nicht SOOO lange.. allerdings ist der letzte Sale an den ich mich erinnere nicht so furchtbar lange her... mir ist schon klar, dass das am Anfang für Appstore-verwöhnte Preise viel klingt, aber das ist schon eine zentrale Sicherheitsangelegenheit.. Pflege, Bugfixes, usw kostet nunmal leider wirklich Geld, wenn man es richtig machen möchte... 100% Sicherheit hat man natürlich nie, aber ich habe ein besseres Gefühl bei einer Firma, die es schon lange (erfolgreich) gibt und die vor kurzem ihre Mitarbeiter aufgestockt hat und wirklich gute Arbeit macht, als bei eventuellen kostenlosen Lösungen...

ich möchte die Kosten nicht klein reden - aber ich kann reinen Gewissens aktuell keine bessere/billigere Alternative wirklich empfehlen. Da du es ja auch schon lange ohne ausgehalten hast, würde ich erstmal 2-3 Monate auf den nächsten Sale warten... im Zweifel kannst du ja mit dem wichtigsten Device anfangen oder auch erstmal kostenlos antasten wie du klarkommst..

[Fairy]

Der letzte Sale war als Heartbleed-Bug bekannt wurde. ;)

[robbitop]

Hier übrigens der Grund dafür, dass MiniKeyPass im Moment nicht im Appstore ist:


We've temporarily pulled MiniKeePass from the App Store after reports of lost database files after updating. We'll try to get a fix out ASAP

---------------------

We've found the issue that is causing data loss. Waiting on App Store approval now. If you haven't opened MKP 1.5 yet, wait for the update.

Also sollte in Kürze wieder für iOS verfügbar sein.

Ich habe jetzt mal Keepass 2 für Windows und KeePassX für MacOS probiert und jeweils über Dropbox synchronisiert. Ich kann nicht meckern. Macht genau was es soll und kostet nichts.

[Milton]

Nutze auch Keepass. Wuerde ich heute nochmal neu anfangen, wuerde ich aber Bruce Schneier's Loesung waehlen:

http://pwsafe.org/index.shtml

[robbitop]

Warum?

[Darkman.X]

Nutze auch Keepass. Wuerde ich heute nochmal neu anfangen, wuerde ich aber Bruce Schneier's Loesung waehlen:

http://pwsafe.org/index.shtml


+1

Nutze ich selber. Bei mir hatte es zu Anfang keinen besonderen Grund. Als ich nach einem PW-Manager suchte, stieß ich zuerst auf den "Password Safe". Für meine Zwecke reicht es.
Ich kann aber nichts über den MAC- oder iPhone-Client (z.B. pwSafe (https://itunes.apple.com/de/app/pwsafe-password-safe-kompatibel/id440783112?mt=8)) sagen. Ich nutze den Windows- und Android-Client. Der Android-Client soll auch Dropbox-kompatibel sein.

Und für die Paranoiker unter uns: Es nutzt ausnahmsweise kein AES, sondern Twofish als Verschlüsselung. Twofisch soll wie AES auch sehr stark sein (oder sogar stärker?). Wer weiß ob die NSA nicht ihre Finger in AES hat? Bei neuen Hash-Funktionen versuchen sie ja auch Schwächen einzubauen. Und AES gibt es fast überall, da hätte die NSA bestimmt ein großes Interesse an geheimen Schwächen.
Unabhängig davon: Von den ganzen guten Verschlüsselungen wird sicherlich AES als erstes geknackt. Man muss nur mal an das Prestige dafür denken, dadurch das AES so eine Verbreitung hat.

Aber wie geschrieben: Das sind nur sehr paranoide Gedanken ;)


EDIT:
KeePass kann zwar per Plugin auch mit Twofish ausgerüstet werden, aber bei meinen damaligen Tests konnte der Android-Client nur mit AES umgehen. Vielleicht hat es sich ja mittlerweile geändert.

[Milton]

Warum?

Weil Bruce Schneier "The Man" ist. Das ist mit Sicherheit die am saubersten implementierte Kryptographie. Ich kann allen Lesern dieses Subforums seinen Blog sehr ans Herz legen: https://www.schneier.com/

[Godmode]

Hier übrigens der Grund dafür, dass MiniKeyPass im Moment nicht im Appstore ist:



Also sollte in Kürze wieder für iOS verfügbar sein.

Ich habe jetzt mal Keepass 2 für Windows und KeePassX für MacOS probiert und jeweils über Dropbox synchronisiert. Ich kann nicht meckern. Macht genau was es soll und kostet nichts.

Verwende auch Keepass für Win und Mac und finde es von der Usabilty teilweise nicht so gut. Ich habe die Passwort DB in der Dropbox. Die Schlüsseldatei habe ich dann auf dem USB-Stick, der nur bei Bedarf angesteckt wird. Zusätzlich muss man noch das Passwort wissen.

Auf iOS verwende ich es nicht, weil ich dann die Schlüsseldatei auf dem Telefon haben müsste und das will ich nicht, bzw. geht auf iOS nicht so einfach, da man ja keine Stick, etc. anstecken kann.

[robbitop]

Weil Bruce Schneier "The Man" ist. Das ist mit Sicherheit die am saubersten implementierte Kryptographie. Ich kann allen Lesern dieses Subforums seinen Blog sehr ans Herz legen: https://www.schneier.com/
Kann schon sein. KeePass ist wie AES OpenSource und ist für jeden einsehbar. Sicherheitslücken gibt es auf diese Art und Weise wenn dann nicht lange. Es kann halt jeder prüfen.
Was Sicherheit angeht, würde ich bei keiner der Lösungen Angst haben.

Und selbst wenn ein Tool ein wenig sicherer ist als das andere. Nur ein winziger Bruchteil

- nutzt überhaupt verschiedene Passwörter auf jeder Seite
- hat Passwörter mit einer Entropy von >100 bit (oder auch deutlich mehr!)
- verschlüsselt (und salted!) seine Passwörter

Wenn es Accountklau gibt und es sind von 1.000 oder 10.000 Usern nur 1 der überhaupt auch nur annähernd sich so absichert, was meint ihr, wen die Accountdiebe beklauen? Die einfache Beute oder euch? ;)

Verwende auch Keepass für Win und Mac und finde es von der Usabilty teilweise nicht so gut. Ich habe die Passwort DB in der Dropbox. Die Schlüsseldatei habe ich dann auf dem USB-Stick, der nur bei Bedarf angesteckt wird. Zusätzlich muss man noch das Passwort wissen.

Auf iOS verwende ich es nicht, weil ich dann die Schlüsseldatei auf dem Telefon haben müsste und das will ich nicht, bzw. geht auf iOS nicht so einfach, da man ja keine Stick, etc. anstecken kann.

Usability? Kann ich jetzt nicht nachvollziehen. Man öffnet Keypass/KeepassX, gibt sein MasterPW ein und doppelklickt auf den Account, für den man das PW haben will. Zack ist das PW für einige Sekunden in der Zwischenablage. Und schon kann man es in das PW Feld rein-pasten.

Was soll man da denn noch besser machen?

Auf iOS kannst du genauso per Dropbox auf deine Schlüsseldatei zugreifen mit MiniKeyPass. Sicherheitsrisken sind IMO gering, da ja das Archiv ja verschlüsselt und doppelt gesalzen ist...

[alkorithmus]

Was mich in diesem Kontext interessiert: Wie stellt sich euer Masterpasswort zusammen? Ich will nicht euer Passwort wissen. Die Zusammensetzung viel mehr interessiert mich hier. Ich benutze seit Jahren einen kleinen Algorithmus ganz ohne Passwort-Manager und fahre damit ganz gut.

Camelcase Platfom Name, Sonderzeichen auf Basis der Platform ersten Buchstabe (shift+alt) und anschließend eine lange Zahlenreihe, die sich ich mir ausgedacht habe (8-stellig).

Für Skype sieht das dann also so aus: "SkypeÍxxxxxxxx" ("x" ist die Zahlenfolge)

Die Zahlenfolge ändert sich auf den letzten beiden Stellen jedes Jahr um n+1. Dieses Jahr also: "14"

Manchmal kommt es vor, dass die ein oder andere Plattform das Sonderzeichen nicht verträgt. Da unterlasse ich die Anmeldung einfach - weil was soll das?

[robbitop]

Wenn du dir sowas merken kannst, ist das doch toll. Dann brauchst du vermutlich keinen PW Manager. Spätestens mit Zahlenfolgen und Sonderzeichen käme ich nicht klar.

Lieber überlege ich mir 1x pro Jahr ein langes Passwort als Masterpasswort und generiere über den PW Generator die Passwörter.

Was sehr gut funktionieren soll sind mehrere Wörter hintereinander zu nennen, die aber in einem normalen Satz keinen Sinn ergeben.

So z.B.

http://imgs.xkcd.com/comics/password_strength.png

[Milton]

Was sehr gut funktionieren soll sind mehrere Wörter hintereinander zu nennen, die aber in einem normalen Satz keinen Sinn ergeben.

Naja: https://www.schneier.com/blog/archives/2013/06/a_really_good_a.html

[Fairy]

Man öffnet Keypass/KeepassX, gibt sein MasterPW ein und doppelklickt auf den Account, für den man das PW haben will. Zack ist das PW für einige Sekunden in der Zwischenablage. Und schon kann man es in das PW Feld rein-pasten.

Was soll man da denn noch besser machen?
Eine vernünftige Browserintegration hat KeePass doch schon mal nicht, oder? Bei 1P gehe ich einfach auf Twitter.com, drücke im Browser auf meinen Schlüssel und 1 Sek. später bin ich eingeloggt.
KeePass ist mag nicht schlecht sein aber es geht einfach noch geiler. Automatische Sicherung des Tresors. Nicht nur PW speichern, sondern auch Lizenzen, Kreditkarten, Notizen und allen möglichen Kram. Dies dann in Kategorien und mit Tags. Informationen darüber, ob ein Passwort zu alt oder schlecht gewählt ist usw.

[urpils]

Usability? Kann ich jetzt nicht nachvollziehen. Man öffnet Keypass/KeepassX, gibt sein MasterPW ein und doppelklickt auf den Account, für den man das PW haben will. Zack ist das PW für einige Sekunden in der Zwischenablage. Und schon kann man es in das PW Feld rein-pasten.

Was soll man da denn noch besser machen?

Auf iOS kannst du genauso per Dropbox auf deine Schlüsseldatei zugreifen mit MiniKeyPass. Sicherheitsrisken sind IMO gering, da ja das Archiv ja verschlüsselt und doppelt gesalzen ist...

wenn man darüber nachdenkt gibt es eine ganze Reihe sinnvoller Funktionen:

(ich habe jetzt nicht nachgesehen was davon andere Manager tun, aber das sind Dinge, die ich jeden Tag benutze, bzw. extrem froh bin, dass sie integriert sind, weil sie sinnvoll sind.)

- Ablegen nicht nur von Passwörtern, sondern von Softwarelizenzen (inklusive dazugehörigen Infos), Kreditkarten, verschlüsselten Notizen, etc...
- automatisches Speichern der Passwörter, die ich im Browser eingebe, ohne dass ich dies händisch extra abspeichern muss, sodass er auf den Webseiten per Knopfdruck meine Passwörter automatisch ausfüllt
- Anzeige von seit langem nicht mehr geänderten oder doppelten Passwörtern, sodass man diese ändern kann (https://agilebits.com/onepassword/mac#securityaudit)
- "Watchtower" ist eine Funktion von 1 Password, die mich über Webseiten informiert, bei denen Bugs zu Passwortverlust geführt haben, sodass ich diese gezielt ändern kann.. irgendwann verliert man selbst dabei die Übersicht. Und bei hunderten Passwörtern und Webseiten wird eine solche Funkion irgendwann nicht mehr sinnvoll manuell umzusetzen sein...
- gemeinsame Passworttresore für Freunde/Kollegen, in denen man nur ausgewählte Passwörter/Lizenzen/Notizen/etc. teilt..

Was ich sagen möchte: es gibt schon sinnvolle Features, die über ein reines "Masterpasswort eingeben und Passwort bekommen") hinausgehen

[Actionhank]

Eine vernünftige Browserintegration hat KeePass doch schon mal nicht, oder? Bei 1P gehe ich einfach auf Twitter.com, drücke im Browser auf meinen Schlüssel und 1 Sek. später bin ich eingeloggt.
KeePass ist mag nicht schlecht sein aber es geht einfach noch geiler. Automatische Sicherung des Tresors. Nicht nur PW speichern, sondern auch Lizenzen, Kreditkarten, Notizen und allen möglichen Kram. Dies dann in Kategorien und mit Tags. Informationen darüber, ob ein Passwort zu alt oder schlecht gewählt ist usw.

Bis auf das Browser Plugin gibts auch alles bei keepass. Starte keepass und im Browser mit shortcut dann Auto Login.

[drmaniac]

Was mich in diesem Kontext interessiert: Wie stellt sich euer Masterpasswort zusammen? Ich will nicht euer Passwort wissen. Die Zusammensetzung viel mehr interessiert mich hier. Ich benutze seit Jahren einen kleinen Algorithmus ganz ohne Passwort-Manager und fahre damit ganz gut.

Camelcase Platfom Name, Sonderzeichen auf Basis der Platform ersten Buchstabe (shift+alt) und anschließend eine lange Zahlenreihe, die sich ich mir ausgedacht habe (8-stellig).

Für Skype sieht das dann also so aus: "SkypeÍxxxxxxxx" ("x" ist die Zahlenfolge)

Die Zahlenfolge ändert sich auf den letzten beiden Stellen jedes Jahr um n+1. Dieses Jahr also: "14"




Das habe ich auch mal gemacht. Aber wenn jemand eine Seite knackt und das Passwort im Klartext bekommt, könnte er dann nicht für alle anderen Seiten dein Passwort nachbauen?

Angenommen ich nehme für Ebay

€b@y2014!123456

als Dieb würde ich dann auf Amazon folgendes Passwort bei Dir probieren

@m@zon2014!123456


Deswegen: jede Seite eigenes, anderes, total kryptisches Passwort bei mir. Und auch verschiedene eMail Adressen (welche meist das Login sind bei vielen Seiten).


Wegen Komfort: mich würde es nerven, wenn ich eine Webseite über ein Passworttool aufrufen muss. Also ohne Browser Plugin würde ich irre werden ^^

[robbitop]

MiniKeePass ist auf iOS wieder verfügbar. Bug wurde gefixt. Erstmal funktioniert alles soweit.

Aber: Browserintegration wäre schon irgendwie nett. Ich werde wohl mal die Demo von 1password probieren. Gibt 1Password die gute Browserintegration auf für Windows her?

edit:
zumindest für KeePass scheint es ein Browserplugin für Chrome zu geben:
https://chrome.google.com/webstore/detail/chromeipass/ompiailgknfdndiefoaoiligalphfdae

edit2:
es gibt auch für andere Browser bereits Plugins

edit3:
es gibt sogar für MacOS für Safari ein Plugin
http://www.kyuran.be/blog/2013/03/03/kypass-companion-beta-0-1/


Offensichtlich hat sich im Opensourcebereich der PW Manager eine Menge getan die letzten Jahre...

[robbitop]

ChromeIPass ausprobiert. Mit ein paar Settings in Keeypass funktioniert das richtig gut. :up:

[sloth9]

Eine vernünftige Browserintegration hat KeePass doch schon mal nicht, oder? Bei 1P gehe ich einfach auf Twitter.com, drücke im Browser auf meinen Schlüssel und 1 Sek. später bin ich eingeloggt.
KeePass ist mag nicht schlecht sein aber es geht einfach noch geiler. Automatische Sicherung des Tresors. Nicht nur PW speichern, sondern auch Lizenzen, Kreditkarten, Notizen und allen möglichen Kram. Dies dann in Kategorien und mit Tags. Informationen darüber, ob ein Passwort zu alt oder schlecht gewählt ist usw.

strg-alt-a und Keepass fügt das Password, Benutzernamen und frei konfigurierbare Sequenzen vollautomatisch in jedes beliege Fenster ein, welches es am Namen erkennt.

Browser-Integration ist für Noobs.
Keepass funktioniert in jedem Browser und z.B. im Battle.Net-Client.

Aber zahlt schön weiter...

Bis auf das Browser Plugin gibts auch alles bei keepass. Starte keepass und im Browser mit shortcut dann Auto Login.

Wer nich lesen mag, darf ruhig zahlen... (http://keepass.info/plugins.html)

Krasse Abzocke, dieses Iphone-Gedöns?
50 Tacken?

[LordDeath]

1Password gibt es in deren Student-Store (https://agilebits.com/store/educational) für etwas weniger Geld. Nach einem Nachweis wird man dort afair nicht gefragt.
Den Preis kann man nochmals drücken, in dem man Coupon-Code "MacPowerUsers" angibt. So kostet eine Lizenz für Windows + Mac nur 39,99$ was dann ~30€ entspricht.

Die Windows-Version ist aktuell noch nicht auf dem Stand der Mac Version aber ich nutze die Beta der kommenden 4er Version und diese hat eigentlich alle Features wie in der Mac-Version. Neu ist z.B. dass 1PW jetzt sehr alte Passwörter bemängelt und bei Seiten, die vom Heartbleed-Bug betroffen waren, ebenfalls dazu rät, diese Passwörter neu zu setzen.

Neben der Windows-Version war auch die Android-Version immer deutlich hinter dem Stand der Mac/iOS-Version aber auch dort läuft eine entsprechende Beta, die dann überall für Feature-Gleichheit sorgen sollte.

Die Browser-Integration ist gut gelöst und sowohl in Firefox und Chrome sollte es da keine Probleme geben. Nutzer von Firefox Beta, Aurora oder Nightly sollten aber aufpassen, da AgileBits neue Kompatibilitätsprobleme erst dann fixt, wenn diese im Stable-Channel landen werden. Die Vorabversionen von Firefox wollen sie nicht aktiv supporten. Beim Chrome ist diese Angelegenheit evtl. nicht so heikel.
Zu den IE- und Safari-Plugins kann ich nichts sagen, da ich keine "Single-OS-Browser" verwende. :)

Meiner Meinung nach ist der Preis für diese Software nicht überhöht gewesen und solange man keinen Passwortmanager mit Linux-Unterstützung braucht, bleibt für mich 1PW die erste Wahl auf Windows, Mac und Android.

Mit der iOS-Version habe ich persönlich keine Erfahrungen gemacht, aber ich gehe stark davon aus, dass auch diese recht ordentlich ist.

[Curunir]

Bin auch KeePass-Nutzer. Seit ich neulich meinen Server auf Mint umgestellt habe, die Hälfte der Zeit nun mit KeePassX. Ich weiß nicht, ob es an Cinnamon liegt, aber KeePassX hat einen merkwürdigen Anzeigefehler. Funktionen sind aber alle da.

Ich mag besonders den Dialog zur Paßwort-Generierung, und eben das insgesamt recht einfache und vollständige Interface. Letzten Endes ist es wohl Geschmacksache. Ich bin zufrieden.
Zu mobilen Geräten kann ich nichts sagen, weil ich keine besitze.

[alkorithmus]

Das habe ich auch mal gemacht. Aber wenn jemand eine Seite knackt und das Passwort im Klartext bekommt, könnte er dann nicht für alle anderen Seiten dein Passwort nachbauen?

Darüber habe ich auch nachgedacht. Es bedarf aber letzendlich ein Mensch, der diese Logik nachvollziehen und umsetzen kann. Ich vermute allerdings, dass in den meisten Fällen irgendwelche Automatismen profane Abläufe ausführen. (Passwort gefunden, testen auf anderen Seiten, geht nicht, meh)

Jetzt habe ich das ganze natürlich schön breit erklärt und man kann auf Basis der Erkenntnisse einen neuen Algorithmus schreiben. Wer das macht, muss jedoch immer noch die Zahlenreihe wissen.

[Curunir]

Das Verfahren, sich Paßwörter nach bestimtmen Merkmalen relativ zum verwendeten Dienst zu generieren, nennt man auch Template-/Vorlageverfahren. Das ist sicher besser als überall dasselbe Paßwort zu verwenden, aber Templates können erraten werden, und dann ist die ganze Entropie futsch.
Die beste Variante besteht m.E. darin, einen Generator zu verwenden, wie der z.B. in KeePass integriert ist. Wenn man schon einen Paßwort-Manager verwendet, dann sollte man die Möglichkeiten auch ausschöpfen und wirklich zufällige Paßwörter generieren lassen - man wird sie dann ja ohnehin per copy/paste einsetzen.

[alkorithmus]

Die Sache mit den generierten Schlüsseln, in einer Software gespeichert ist halt auch nur begrenzt komfortable. Ich bin viel unterwegs und nutze beruflich und privat verschiedene Rechnersysteme mit verschiedenen OS. Es wäre dann wohl Dropbox als Speicherort? (lulz)

[sloth9]

Genau.
Die Datenbank wird ja auf dem System entschlüsselt, das Haupt-Passwort verlässt nie den Rechner.
Also rein mit der Datenbank ins persönliche Backup u. in die Cloud.

[Wilhelm]

1Password hat sicher den Vorteil das es komfortabler ist als z.B. Keepass hat aber in meinen Augen den Nachteil das ich nicht weiß wie gut die Crypto ist. Viel zu viele Entwickler haben hier viel zu viele Fehler gemacht.
Ich verwende Keepass und nutze Cloudhoster zum Sync.

[Curunir]

Ich persönlich verwende eine SD-Karte für meine Paßwortdatenbank. Einen SD-Leser bekomme ich noch unter jedem herkömmlichen System ans Laufen.

Mobiltelefon habe ich keins, die Frage stellt sich bei mir nicht.

[Wilhelm]

Naja wie sieht denn dein Backup aus?

[urpils]

Die Sache mit den generierten Schlüsseln, in einer Software gespeichert ist halt auch nur begrenzt komfortable. Ich bin viel unterwegs und nutze beruflich und privat verschiedene Rechnersysteme mit verschiedenen OS. Es wäre dann wohl Dropbox als Speicherort? (lulz)

wo soll das das Problem sein? die Passwörter liegen ja verschlüsselt auf der Dropbox - ich könnte die auch direkt ins Netz legen oder auf USB-Sticks verteilen- ohne mein Masterpasswort nutzt der Datenhaufen nun ja nicht viel ;)

[Curunir]

Naja wie sieht denn dein Backup aus?
Eine zweite SD-Karte. Und eine Kopie ganz simpel auf der Festplatte.
Ich hätte auch kein grundsätzliches Problem damit, die Datei auf Dropbox abzulegen. Aber da mir das keine Vorteile bringt, lasse ich es sein.

[drmaniac]

http://winfuture.de/news,81875.html

1Password 4 für Android fast fertig, erscheint am 10. Juni

Die nächste große Aktualisierung für den Passwort-Manager 1Password für Android steht an. Wie das Entwickler-Studio Agile Bits nun heute bekannt gab, soll 1Password 4.0 am 10. Juni erscheinen. Die App kann dann mit allen neuen Funktionen zeitbegrenzt kostenlos ausprobiert werden.

Als kleine Hausmarke kann man allerdings die Preise für die iOS-App von 1Password nehmen - dort kostet die App einmalig 15,99 Euro als Universal-App für iPhone, iPod touch und iPad.

1Password bietet einen recht großen Funktionsumfang, inklusive Browser-Plugins, die praktische Funktionen wie einen Passwort-Generator gleich im Browser der Wahl verfügbar machen. Das Programm gehört zu den weitverbreitetsten Passwort-Managern, die plattformübergreifend zu haben sind. Android, passwort, 1password Agile Bits

[lumines]

Das hört sich auf jeden Fall verlockend an. Trotzdem finde ich es nicht so toll, dass es nicht wenigstens zum Teil Open Source ist. Vor allem: Wahrscheinlich wird man die Datei nur offiziell unterstützt per Dropbox syncen können? Das ist eher ungünstig, weil ich erst vor kurzem mein Zeug von da zu git-annex migriert habe. Sollte auch gehen, aber wenigstens KeePassX kommt damit z.B. nicht klar.

[lumines]

Ich habe 1Password für Android mal ein bisschen ausprobiert und finde es klasse. Auch die OS-X-Version und die Browser-Extensions sind verdammt gut gemacht.

Trotzdem ist es ein bisschen schade, dass es keine Linux-Version gibt. Daher benutze ich jetzt ausschließlich pass (http://www.passwordstore.org) und bin damit eigentlich soweit zufrieden. Hier läuft sowieso immer ein Terminal mit irssi, von daher stört mich die fehlende GUI nicht wirklich.

Großartige Integration bietet es nicht, dafür Kopien in die Zwischenablage (per xclip), die nach einigen Sekunden verschwinden und eine Bash-Completion. Da es auf gpg und git aufbaut, wird es wohl auch relativ zukunftssicher sein. Pass an sich sind nur ein paar Skripte für eine komfortablere Verwaltung der verschlüsselten Textdateien, in denen sich Passwörter, aber auch andere Informationen befinden können. Plaintext eben. Eine besondere Syntax gibt es nicht.

Ich benutze es jetzt noch nicht lange. Wenn mir Probleme mit der Umsetzung auffallen sollten, werde ich das hier posten. Bisher funktioniert es aber wie erwartet. Eine Lösung für Android ist mir noch nicht eingefallen, aber wahrscheinlich werde ich da bei händischem Abtippen bleiben. Am Smartphone tippe ich relativ selten Passwörter ein.

Mir ist auch aufgefallen, dass der gpg-agent die Funktionen des ssh-agent emulieren kann. Habe ich mir noch nicht genau angeschaut, aber wenn er den wirklich ersetzen kann, dann könnte man damit natürlich zwei Fliegen mit einer Klappe schlagen. Das macht die Sache für Leute, die auch SSH-Keys verwalten und nicht nur Passwörter, natürlich doppelt interessant.

[sloth9]

Ich nutze Keepass 2.x auf Windows und Linux, sowie Keepass2android auf dem Phone.

Natürlich mit Two-Channel Auto-Type Obfuscation (http://keepass.info/help/v2/autotype_obfuscation.html), unter Windows wird der Master-Key unter dem abgesichertem Desktop (http://keepass.info/help/base/security.html#secdesktop) eingegeben.

Die Android-App benutzt eine eigene Tastatur, damit Apps nicht die Zwischenablage abhören können.
Programme, die nur die Zwischenablage benutzen, können von jedem Programm belauscht werden.

Alles kostenlos!

Btw, zu 1Password:
laut c't 14/2014, S. 143 wird beim Abgleich über Dropbox nicht die gesamte Datenbank verschlüsselt abgelegt, die Dienstnamen bleiben im Klartext! Wut?

[sloth9]

Würde Lastpass empfehlen, läuft auf allen Plattformen inkl. Smartphone.

Wurde endlich gehackt (https://blog.lastpass.com/de/2015/06/lastpass-security-notice.html/), damit auch der letzte Voll* merkt, dass alles außer OpenSource und ohne Privat-Firma dahinter Blödsinn ist.

Jetzt noch Threema u. Co...

[lumines]

Btw, zu 1Password:
laut c't 14/2014, S. 143 wird beim Abgleich über Dropbox nicht die gesamte Datenbank verschlüsselt abgelegt, die Dienstnamen bleiben im Klartext! Wut?

Im neuen Format ist das übrigens nicht mehr der Fall.

https://support.1password.com/opvault-overview/

Wurde endlich gehackt (https://blog.lastpass.com/de/2015/06/lastpass-security-notice.html/), damit auch der letzte Voll* merkt, dass alles außer OpenSource und ohne Privat-Firma dahinter Blödsinn ist.

Jetzt noch Threema u. Co...

Wobei man dazu sagen muss, dass Lastpass unabhängig davon, dass sie nicht Open Source sind, einige Schwachstellen haben. So wie ich das verstehe, machen sie für die Web-Version viel Crypto in JavaScript und das ist grundsätzlich keine besonders gute Idee.

Übrigens hat jemand endlich eine eigene Android-Anwendung für pass (http://www.passwordstore.org/) gebaut. Ist Open Source und findet man in F-Droid. Ich kann mich nicht beschweren. Ich benutze also nach wie vor pass unter OS X (10.10) auf einem Air, einem Mac mini, unter Debian (Jessie) auf einem alten Netbook und eben auf meinem Nexus 4. Alles funktioniert soweit wie erwartet. Per SSH greife ich auf meinen Server zu und „synchronisiere“ mit Git alles. Probleme hatte ich bisher keine.

https://github.com/zeapo/Android-Password-Store

[Darlie]

Benutze Keepass(x) und habe auf OSX, iOS, Win und android alles über cloud gesynct.Wozu andere Passwortmanager?

[Eidolon]

KeePassX, Linux und Windows.

[lumines]

Benutze Keepass(x) und habe auf OSX, iOS, Win und android alles über cloud gesynct.Wozu andere Passwortmanager?

Keine Linux-Version.

EDIT: Wobei, gab es doch auch. Oder war das KeePass 2.x, das nicht richtig unterstützt wurde? Auf jeden Fall war eins von denen nicht für alle meine Plattformen verfügbar.

[urpils]

Benutze Keepass(x) und habe auf OSX, iOS, Win und android alles über cloud gesynct.Wozu andere Passwortmanager?

also nee - wenn ich mir die Software anschaue, bleibe ich lieber bei meinem 1Password - gibt wohl kaum eine Software die so gut gepflegt wird und so unendlich praktisch ist...

[Der Sandmann]

also nee - wenn ich mir die Software anschaue, bleibe ich lieber bei meinem 1Password - gibt wohl kaum eine Software die so gut gepflegt wird und so unendlich praktisch ist...

Ist doch bei keepass nicht anderes. Gibt regelömäßig neue Versionen und lüpt alles.

Nutze auch keepass auf dem PC und Android Tablet/Smartphone.

Und es ist kostenlos. Auch hätte ich jetzt keine Lust mehr zu wechseln. Alle Einträge per Hand kopieren oder gibt es da export/importfunktionen zwischen den verschiedenen Programmen?

[Fairy]

Alle Einträge per Hand kopieren oder gibt es da export/importfunktionen zwischen den verschiedenen Programmen?
Einträge können bei 1Password mit dem Data Converter importiert werden. Folgende Programme/Dienste werden unterstützt:

Clipperz
eWallet
Handy Safe
Keepass 2
KeepassX
LastPass
mSecure
OS X Keychain
Safe in Cloud
SafeWallet
SplashID

https://guides.agilebits.com/1password-mac-kb/5/en/topic/importing-your-data

[Eidolon]

http://www.heise.de/newsticker/meldung/XARA-Angriff-Kennwort-Manager-1Password-bestaetigt-Schwachstelle-2717095.html

[drmaniac]

schreib dazu: unter MAC

Und generell ist es eh zu spät, wenn mal böse Maleware auf dem Rechner ist

[steve.it]

KeePassXC: https://keepassxc.org

KeePassXC is a community fork of KeePassX, a native cross-platform port of KeePass Password Safe, with the goal to extend and improve it with new features and bugfixes to provide a feature-rich, fully cross-platform and modern open-source password manager.