Passwörter im Browser speichern

Mondschein · 21.02.13, 09:19

Hallo,

man liest ja immer, dass man keine Passwörter im Browser speichern soll, da man diese evtl auslesen kann. Wie sieht es aber aus, wenn man die Passwörter speichert und dann ein gutes Masterpasswort benutzt? Die gespeicherten Paswörter sollten doch dann sicher sein oder gibt es Tricks, wie man das Masterpasswort dann umgehen kann?

Ich habe meine ganzen Passwörter in KeePass gespeichert und ein langes Masterpasswort vergeben, aber man könnte dies ja auch im Browser machen oder ist davon generell abzuraten?

Prince · 21.02.13, 12:25

Benutz lieber LastPass.

Nutze ich schon seit mehreren Jahren!

Mondschein · 22.02.13, 07:46

Danke, aber was ist an LastPass besser, bzw an KeePass schlechter als Passwort Safe? Und wie schauts mit dem Browser aus, wenn man die Passwörter mit einem guten Masterpasswort schützt?

Prince · 22.02.13, 09:24

Ich schrieb nicht, dass es besser sei, sondern es war lediglich eine Empfehlung. Was du letztendlich machst ist deine Sache.

Es ist auch deine Sache, wenn Passwörter die lokal auf deinem System gespeichert werden irgendwo doch ausgelesen werden können.

Und das ist eben auch wieder das Ding mit dem Masterpasswort im Browser ... kann alles ausgelesen werden.

Darum speichere ich meine Passwörter lieber in der "Cloud". Da mögen einige zwar auch wieder Sicherheitsbedenken haben und was weiß ich, aber ich bin mir sicher, dass die Passwörter doch besser gesichert sind und werden als auf meinem eigenem System.

Mondschein · 22.02.13, 20:09

Ich habe mich nun glaub ich "dumm und dämlich" gegooglet, aber keine Info gefunden, dass ein Masterpasswort "einfach" ausgelesen werden kann. Überall steht, dass man Pech hat, wenn man z.b. das Passwort vergessen hat. Hast du mal ne Seite, wo es genau steht (will nicht wissen, wie man es ausliest, sondern einfach nur, dass es so einfach geht) Gerne auch in Englisch oder Spanisch

Vielleicht bin ich auch zu doof und weiss nicht, wonach ich genau googlen soll

ckjthedogmaster · 22.02.13, 20:42

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Es ist halt nur etwas komplizierter,... nur wer nutzt schon die Masterpasswort-Funktion.

Das Problem ist und bleibt das z.b. Firefox an dem integrierten Passwortsafe kaum Änderungen vorgenommen.

Mondschein · 23.02.13, 07:55

Thx, aber es is wohl ein reines Glückspiel und mit so einer Bruteforce Methode, lässt sich dann wohl jedes Passwort "erraten". Einfach auslesen, is eben nicht und wenn jemand ein schwaches Masterpasswort hat, is er halt selbst schuld. Wie überall

Wenn ich z.b mich bei LastPass anmelde und dort ein "dummes" Passwort eingebe, kann dies genauso "erraten" werden.

Prince · 23.02.13, 08:10

Ehrm nein es ist eben nicht das Gleiche.

Setzt du zu Hause auf deinem heimischen Computer ein Passwort, werden deine Daten ja trotzdem lokal abgespeichert, und können zum Beispiel per Trojaner angefangen werden.

Bei LastPass hast du dieses Problem nicht, da die Passwörter eben nicht auf deinem Rechner sind.

Mondschein · 23.02.13, 08:26

Ja aber, der Trojaner kann eben nicht das Masterpasswort auslesen oder irre ich mich da? Ich habe dazu nichts gefunden.

Klar kann ein Trojaner die Passwörter "abfangen" aber wenn sie durch ein Masterpasswort gesichert sind, kommt der doch da net dran?

Ich kann mir auch einen Keylogger (heisst doch so?) einfangen und dieser liest meine Tastatur und dann nützt mir auch der Online Safe nichts

Prince · 23.02.13, 08:51

Huii ... wozu fragst du denn hier überhaupt, wenn du eh alles besser weist?

Meine Güte ...

Mondschein · 23.02.13, 09:04

Ich weiss es eben net besser, deswegen stelle ich ja die Fragen. Aber erklären kann es ja keiner und es heisst, es is unsicher und man kann es einfach auslesen. Wenn ich google, finde ich da aber nix, das es so einfach geht und so frage ich halt nach. Kann ja sein, dass hier jemand ist, der es eben "leicht" erklären kann

Sorry, dass ich es gerne genau wissen mag, aber ich hinterfrage halt, wenn jemand schreibt, dass man es leicht auslesen kann. Nur so kann man was lernen

ckjthedogmaster · 23.02.13, 10:28

Zitat:

Zitat von Mondschein

Ich kann mir auch einen Keylogger (heisst doch so?) einfangen und dieser liest meine Tastatur und dann nützt mir auch der Online Safe nichts

Falsch, ich z.b nutze Keypass in Verbindung mit einem Schlüssel der auf einem USB Stick liegt. So, da brauchst du keinerlei Eingaben zu tätigen, welche ausgelesen werden können... Die AutoType-Funktion erübrigt auch jegliche Eingabe,... und wenn man dann noch die Zwischenablage alle 10 sek. leert, ist es fast unmöglich das PW herauszubekommen.
(LastPass wird das wohl ganz ähnlich handhaben)

Aber das ist ein anderes Thema, Speziell bei Firefox ist es mit dem Passwortsafe so, das mir früher schon aufgefallen ist, das man sich auch ohne das Eingeben vom Masterpasswort in bestimmte Seiten einloggen kann. Daten wie Benutzeraccount und Passwort liegen somit offen und werden auch nicht durch das MasterPW geschützt. Oder du brauchst das PW nur einmal eigeben und kannst dich auf jeder Seite einloggen, das ist der Zeitpunkt, wo die Daten nicht mehr ausreichend geschützt sind.

Vor Jahren habe ich ne zeitlang mit sogenannten Passwortstealern herumexperimentiert und muss sagen, das in den meisten Fällen das Masterpasswort nicht schützt, bzw. um es besser zu sagen nicht ausreichend schützt.

Das diese Stealer in Kombination mit Keyloggern durchaus eine Erfolgschance von 100% haben, ist es nicht verwunderlich, das man davon abraten kann, die wichtigen Passwörter im Browser zu speichern.

Die Key3.db kann ich nicht sagen, ob man sie durch herkömmliche Mittel entschlüsseln kann, müsste ich mal schauen, ob ich darüber was finde. Knackbar ist sie aber allemal.

Mfg

Your_Conscience · 23.02.13, 10:53

Ein Trojaner kann sowohl den Netzwerkverkehr zur Cloud, als auch den zwischen einzelnen Programmen abfangen.
Soviel zur Sicherheit der Cloud oder Key-Discs / -Sticks, wobei diese Methoden wohl trotzdem die Sichersten sein dürften.

Wenn man sich auf einer Internetseite einloggen will, braucht der Browser die Login Daten. Fängt man diese ab, bringen einem die ganzen Extraprogramme nichts.
Auch wenn man die Passwörter im Browser speichert bringt einem ein Masterpasswort nichts, da man auch diese Eingabe auslesen kann.

Ergo ist eine gute Firewall, Defender sowie ein gutes Antivirus der sicherste Schutz.
Hier sollte man auch zu allererst ansetzen.

Prince · 23.02.13, 10:57

Hat ja auch niemand behauptet, dass das Ganze unknackbar wäre. Aber eben deutlich sicherer als alles Lokal auf dem Rechner zu speichern.

Und die meisten Trojaner, auch diese die hier im Forum im Umlauf sind, setzen auf den Lokalen Angriff, und sniffen nicht den Netzwerk-Verkehr einer eventuell vorhandenen Cloud.

Your_Conscience · 23.02.13, 11:02

Das stimmt schon.
Ich wollte nur sagen, dass man nicht nur auf diese Programme, sondern auch auf eine gute Firewall etc. setzen sollte.

Mondschein · 23.02.13, 16:44

Ok, ich frage mal ein bissel anders, da ich mir sowas wie Trojaner und Keylogger nicht einfangen kann, da ich nix runterlade, keine Cracks oder Keygen nutze, oder sonstiges

Ist es ohne diese komischen o.g. Hilfsmittel, "sicher" die Passwörter im Browser zu speichern und diese mit einem Masterpasswort zu schützen? Das Masterpasswort kann doch nicht einfach umgangen oder einfach ausgelesen werden? (mit auslesen meine ich nicht, dass man es knackt, mit einer Brute-Force Attace, wo man das Passwort einfach nur errät). Ich nutze auch kein Firefox, sondern Opera.

mir ist klar, dass man alles irgendwie hacken kann, aber dies kann man ja auch mit Passwörter, die in einer Cloud bzw bei einem Onlinedienst gespeichert sind

Your_Conscience · 23.02.13, 18:57

Zitat:

Zitat von Mondschein

Ok, ich frage mal ein bissel anders, da ich mir sowas wie Trojaner und Keylogger nicht einfangen kann, da ich nix runterlade, keine Cracks oder Keygen nutze, oder sonstiges

1. Sowie du mit dem Internet verbunden bist, kannst du dir solche Programme einfangen.
2. Wenn du meinst, dass du solche Programme nicht haben kannst, kannst du auch auf ein Masterpasswort verzichten.

Prince · 23.02.13, 19:06

Ich verstehe die ganze Diskussion hier auch gar nicht.

Erst einmal ... du downloadest nichts? Aha, und wozu bist du dann hier?

Zum zweiten ... du weist alles besser, und bist so von deinem Firefox-Masterpasswort überzeugt. Ja dann benutz es doch einfach, und stell hier nicht Fragen, wo dir die Antworten egal sind.

Mondschein · 24.02.13, 08:37

Ich weiss eben nicht alles besser, deswegen hinterfrage ich doch die Antworten, was man an den Fragezeichen hinter den Sätzen auch erkennen kann.
Ich nutzen auch nicht Firefox, habe ich nirgends geschrieben, sondern Opera, aber es geht ums Allgemeine und eine richtige Antwort, kann ich nirgends lesen, dass es sooooo einfach ist. Bin da vielleicht auch zu doof dafür und kann eben keine richtigen Fragen stellen. Kenne mich da halt net so aus und meine Hoffnung, dass ich was lerne, is auch dahin.

Zitat:

Erst einmal ... du downloadest nichts? Aha, und wozu bist du dann hier?

Wegen den bisher freundlichen Usern und da man hier doch nette Infos bekommen kann, aber man hat ahlt nicht immer Glück

Zitat:

Zitat von Your_Conscience

1. Sowie du mit dem Internet verbunden bist, kannst du dir solche Programme einfangen.

Ok, also können solche Programme sich alleine auf meinen Rechner laden und sich selbst ausführen? Siehste, wieder was ich nicht wusste. Ich dachte, man muss sich Programme runterladen und ausführen, damit sich sowas einfangen kann. Aber ich hinterfrage es nicht und nehme es einfach so hin

Danke für die Antworten und von mir aus, kann das Thema geschlossen, gelöscht oder was auch immer werden

Prince · 24.02.13, 08:50

Ja das wird es wohl sein. Vielleicht solltest du nur lernen die richtigen Fragen zu stellen!

Und ja, man kann sich Schadsoftware einfangen ohne irgendetwas herunter zu laden oder auszuführen.

Bestes Beispiel ist der BKA-Virus.

Prince · 24.02.13, 15:07

Zitat:

Zitat von trovato

Insgesamt bestärkt mich das in meiner Ansicht, dass (wichtige) Passwörter nur in den Kopf gehören. Und sonst nirgend wohin.)

Kannst du dir 30+ Passwörter merken? Ich kann es nicht!

mythology · 24.02.13, 19:16

Also ich verstehe die ganze Problematik nicht........

Es gibt für mich genau 5 Passwörter die ich mir merken muss.

1. Internetbanking, wobei man dazu eh den RSA Token Generator braucht zum einloggen.
2. E-Mail Konto
3. Das Passwort von meinem Root
4. Passwort für den Remote Zugriff in der Firma (wobei ich das sogar halbjährlich ändern muss)
5. Mein Truecrypt Passwort am PC

Also ich glaube die 3-4 Passwörter was wirklich wichtig sind sollte man sich noch merken können, alle anderen Passwörter sind bei mir Standard Passes, habe 3 Passes die ich sonst im Internet verwende und mein Gott wenn mal mein WoW Konto, mein Mygully Konto oder der Steam Account gehackt wird dann wendet man sich halt an den Support und gut ist es, das ist kein Weltuntergang.

Also wenn es zu viel verlangt ist von einer Person sich eine Hand voll Passwörter zu merken.....

Und ansonsten ist es was Digitale Sicherheit angeht der sicherste Ort für ein paar Passwörter, wenn man einen Keylogger außen vor lässt das gute alte Blatt Papier.
Den das jetzt gerade jemand bei einem Zuhause einbricht mit dem Ziel an deine E-Mail oder Steam PW zu kommen ist recht unwahrscheinlich und wenn du den Leuten in deinem Haushalt nicht vertraust oder etwas zu verbergen hast würde ich mir mal Gedanken darüber machen.

Prince · 24.02.13, 19:19

Hilft jetzt aber auch überhaupt rein gar nicht!

ckjthedogmaster · 24.02.13, 19:39

Zitat:

Zitat von mythology

Also ich verstehe die ganze Problematik nicht........

Ich auch nicht, und da eh immer irgendeiner es besser weiß, ist die Diskussion sinnlos.

Fakt, Passwörter im Browser zu hinterlassen, ist bis dato die unsicherste Variante...

Mfg

y7cwc21 · 08.04.13, 23:47

Zitat:

Zitat von Mondschein

man liest ja immer, dass man keine Passwörter im Browser speichern soll, da man diese evtl auslesen kann. Wie sieht es aber aus, wenn man die Passwörter speichert und dann ein gutes Masterpasswort benutzt? Die gespeicherten Paswörter sollten doch dann sicher sein oder gibt es Tricks, wie man das Masterpasswort dann umgehen kann?

Ich habe meine ganzen Passwörter in KeePass gespeichert und ein langes Masterpasswort vergeben, aber man könnte dies ja auch im Browser machen oder ist davon generell abzuraten?

Wenn man seine Passwörter im Browser speichert, ohne dabei ein Master-Passwort zu verwenden, dann liegen die Passwörter ungeschützt auf der Festplatte und können tatsächlich ganz einfach ausgelesen werden. Wenn man aber ein starkes Master-Passwort verwendet, funktioniert das schon nicht mehr. Firefox verwendet bspw. Triple-DES als Verschlüsselungsalgorithmus und das gilt soweit als sicher (vgl. [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]).

Soweit zur Eingangsfrage.

Natürlich gibt es trotzdem weitere Angriffspunkte, beispielsweise:
- Software Keylogger (z.B. Trojaner), die die Tastatureingaben usw. protokollieren
- Hardware Keylogger, die zwischen Rechner und Tastatur gehängt werden

Ich selbst verwende mehrere KeePass-Datenbanken mit jeweils starkem Master-Passwort + Keyfile auf USB-Stick. KeePass verfügt über eine Reihe von Schutzfunktionen (vgl. [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]):
- Das Master-Passwort kann auf einem Secure Desktop eingegeben werden (ähnlich Windows UAC).
- Vor jedem AutoType registriert sich KeePass selbst als höchstpriorisierter "Keylogger" und verwirft die Tastendrücke derart, dass andere Keylogger gar nichts mehr mitbekommen.
- Two-channel AutoType obfuscation tippt Passwörter auf besonders trickreiche Art ein (mit Pfeiltasten).
- Die Datenbanken sind mit Bruteforce kaum zu knacken, wenn man die key transformation rounds so hoch einstellt, dass eine Verzögerung von 0,1-1 Sekunden eintritt.
- Wenn man KeePass auf neueren Windows-Versionen (ab Vista AFAIK) mit Administratorrechten startet, ist das Integrity-Level (siehe Task-Manager) auf "High" und nicht-privilegierte Prozesse (mit Integrity Medium) können KeePass nichts mehr anhaben.

Noch ein letztes zu LastPass: Ich persönlich gehöre ganz klar zur Fraktion derer, die sensible Daten und erst Recht Passwörter lieber auf dem heimischen PC horten als sie irgendwelchen Cloud-Dienstleistern mit ihrer ClosedSource-Software anzuvertrauen. Aber jedem das seine.

Your_Conscience · 21.05.13, 05:05

Wäre vielleicht auch nicht schlecht wenn du sagen würdest, wie genau du dich dann einloggst.