Contraseñas y sincronización entre sistemas

Seguridad Informática
#1

Hola, aunque me imagino que cienes y cienes de personas de este foro tendrán alternativas equivalentes a esta que voy a poner aquí (y que estaría bien que explicaran), voy a comentar lo que uso para gestionar mis contraseñas y tenerlas accesibles a través de los distintos sistemas que utilizo.

Para la gestión de contraseñas utilizo KeepassX [1] (aunque siempre podéis utilizar la versión .NET KeePass [2]), y la versión para android KeePassDroid [3].

Como sabréis, estas aplicaciones gestionan una pequeña base de datos encriptada que permite almacenar de forma jerarquizada contraseñas, textos, metadatos adicionales, y ficheros (como por ejemplo los certificados pernales que utilicéis). Permite la codificación por contraseña y también fichero llave que añade un puntito más de seguridad. Hay complementos para navegador (en la versión .NET) para gestionar las contraseñas de los sitios de forma ágil.

El problema viene cuando es necesario hacer accesible el fichero de base de datos Keepass entre dispositivos. Muchos utilizaréis Dropobox, Owncloud, etc. En mi caso, no quería depender de servicios empresariales ni de nodos centrales, así que opté por la sincronización mediante Syncthing [4].

Syncthing permite la sincronización punto a punto entre los sistemas que quieras, a modo de red mallada. Para esto, a cada nodo con el que quieres establecer sincronización indicas si es introductor (anunciará los nodos que él conoce al resto de nodos), las carpetas que debe sincronizar (en este nodo), el modo de sincronización (sólo subida, o subida y bajada), y si habrá o no compresión.

La comunicación entre nodos es encriptada, y cada uno posee un identificador único dentro de la red. Es algo parecido al bitttorrent. No es necesarios configuración NAT ni nada por el estilo.

En mi caso, tengo una nas en casa, un portátil, un sistema en el trabajo y un móvil. Todos sincronizan todo excepto el móvil que:

  • Sólo sincroniza: notas org-mode, fotos/vídeos (sólo subida), y base de datos de Keepass.
  • Sólo sincroniza con la nas de casa.

Por ahora me va bastante bien, incluso en el móvil.

[1]: KeepassX: https://www.keepassx.org/
[2]: KeePass: http://keepass.info/
[3]: KeePassDroid: https://f-droid.org/packages/com.android.keepass/
[4]: Syncthing: https://en.wikipedia.org/wiki/Syncthing

2 Me gusta
#3

Parece que hay un artefacto equivalente para Nextcloud, pero no sé cómo irá:

#5

Y bueno, en el resto del hilo puede que encontréis info de interés:

#7

Ya que habéis hablado de los gestores, en concreto de Keepass, os dejo esta noticia sobre un Script de Powershell para hacer fuerza bruta para conseguir la clave maestra y mostrar las almacenadas por si queréis probarlo.

Un saludo.


Fuente(EN): https://hazzy.techanarchy.net/security/keepass-password-file-powershell-brute-force-attack-goodness/

2 Me gusta
#8

Por eso hay que utilizar fichero de llave también (además de la contraseña).

1 me gusta
#10

Mira esto [1]. Se trata de una alternativa o bien un complemento (que es lo que propongo) a la contraseña clásica.

Si bien la contraseña puede ser atacada por fuerza bruta como ha comentado @Lacurvaone, atacar un sistema que además encripta utilizando una llave es bastante más complicado.

Claro está, se supone que la llave no se encuentra en el mismo lugar que la base de datos de KP. En este caso no tendría sentido su utilización.

[1]: Composite Master Key: http://keepass.info/help/base/keys.html

2 Me gusta
#11