Ich habe mir das mal angeschaut und bin mir nicht zu 100% sicher, ob die Verschlüsselung meinen Wünschen entspricht. Und zwar habe ich eine Nextcloud bei meinem Webhoster aufgesetzt und möchte verhindern, dass der Webhosting-Admin oder sonst wer außer mir auf meine Passwörter im Klartext zugreifen kann.
Um das umzusetzen ist meinem Verständnis nach eine Client-seitige Verschlüsselung in meinem Browser/Smartphone-App notwendig. Über die Einstellungen der Passwords App kann ich eine Ende-zu-Ende-Verschlüsselung aktivieren und muss anschließend ein separates Passwort festlegen (das wird immer abgfragt, wenn ich die Passwords App nutzen möchte). Beim Anlegen/Speichern eines neuen Passworts kann ich als Verschlüsselung „libsodium“ verwenden und sehe dann in den Details des jeweiligen Passworts, dass eine Verschlüsselung auf dem Endgerät mit „libsodium“ angewendet wurde. Ein Erklärtext ist auch dabei: „Die Verschlüsselung wurde auf dem Endgerät angewandt bevor die Daten an den Server gesendet wurden“.
Bis hierhin glaube ich, dass meinem Wunsch entsprochen wird. Doch mich verunsichert der folgende Satz im Passwords App-Handbuch: „A bad administrator could also manipulate Nextcloud in a way to steal your passwords even when end to end encryption is enabled. You should be able to trust your administrator to respect your privacy rights and keep your data safe.“ Hat also doch ein Dritter Zugriff auf meine Passwörter? Was muss ich noch beachten?
Mich würde auch generell mal eure Meinung zu der Passwords App interessieren.
Ich würde von solchen Lösungen abraten. Lieber ein Passwortmanager wie Keepass nutzen und allerhöchstens die entsprechende Datei über die Cloud synchronisieren.
Keepass finde ich spannend. Mich stört nur, dass ich keinen zweiten Faktor (außer Yubikey oder Schlüsseldatei) wie z.B. TOTP auf dem Handy einstellen kann. Einen Yubikey o.Ä. möchte ich mir nicht extra kaufen und die Schlüsseldatei muss ich ja auch irgendwo speichern, was ich nicht so schön finde, wie TOTP auf dem Handy zu haben.
Im Gegensatz dazu kann ich auf Nextcloud Passwords mit Passwort und TOTP-App auf dem Handy für 2FA zugreifen.
Das sind so meine Gedanken dazu.
Mich würde aber sehr interessieren, warum du von Nextcloud abrätst und was du von meiner Meinung zu Keepass hältst?
TOTP(!) bringt nichts für Passwortdatenbanken. TOTP benötigt an beiden Enden das selbe Geheimnis, um die Codes zu generieren.
Solltest du deine KeePass-Datenbank in Nextcloud speichern, und nur mit TOTP auf diesen Speicherort zugreifen können, entspricht das dem gleichen Schutz (in Bezug auf 2FA).
Auf Serverseite, also gegen den Anbieter, bringt dir TOTP gar nichts.
Da bei KeePassXC und KeePassDX die Entschlüsselung nur auf dem Endgerät durchgeführt wird, gibt es für den Anbieter aber keine Möglichkeit dieses Passwort abzugreifen, ohne dein Gerät direkt anzugreifen - anders als in Weboberflächen die von diesem ausgeliefert werden und modifiziert werden können.
Und, sollte für das Nextcloud-Teil das normale Login Passwort verwendet werden, und der Login über die Apps das Passwort in Klartext übertragen, oder Weboberflächen zum Login verwendet werden, ist der Schutz durch dieses auch nicht so sicher (wie vermutlich im Link oben angemerkt?).
Nein, das ist nicht gemeint. Das Problem bei webbasierten Diensten ist, dass ein bösartiger Admin den Servercode (JS) so manipulieren kann, das das entschlüsselte Passwort auf dem Endgerät abgefangen wird. Das geht, weil JS vom Server kommt, aber auf dem Client ausgeführt wird.
Dieses Szenario ist bei einer eigenen Nextcloud nicht relevant. Wenn man die Nextcloud eines fremden Anbieters nutzt, ist es eine Frage des Vertrauens. Aber der Angriff ist schon sehr bösartig - normalerweise kein realistisches Szenario, aber bei erhöhten Sicherheitsanforderungen sicher bedenkenswert.
Stimmt, Entschuldigung - meine Klammer gehört aber auch eigentlich zum Satz darüber, die Sätze des Abschnittes habe Ich beim schreiben am Mobilgerät aber vertauscht, und nicht noch einmal drüber gelesen. Auch wenn es ebenso zum „sollte[n] für das Nextcloud-Teil […] Weboberflächen zum Login verwendet werden, ist der Schutz durch dieses [Passwort, oder diesen Login] auch nicht so sicher [gegen den Betreiber, sollte dieser in JavaScript ‚abgesichert‘ sein, da dieses, sofern es serverseitig ausgeliefert wird, unter dessen Kontrolle steht]“ Teil passt.
Hauptsächlich war der letzte Satz auch ein Schuss in das Dunkle („sollte“), mit einigen Implikationen.
Den Teil mit dem manipulierten JavaScript hatte Ich im Kopf auch zum ersten Satz des Abschnittes gedacht (daher der Text in der Klammer - der Link ist und war für mich, aufgrund des Kolons, nicht aufrufbar), aber Ich habe aus irgendeinen Grund doch nur von der Entschlüsselung auf dem Gerät gefaselt.
Das (entschlüsseln) passiert natürlich (hoffentlich) auch bei der Nextcloud Password-App auf dem eigenen Gerät, wird bei KeePass jedoch, ganz sicher, mit lokal installierten Code getan - letzteres wäre, was Ich eigentlich sagen wollte. Natürlich könnte eine lokale App für Nextcloud Passwords ebenfalls lokalen Code nutzen… nur habe Ich keine gefunden, und mit der Weboberfläche im Gesamtpaket, die ggf. genutzt wird, ist eine ausschließliche Nutzung über eine App mit lokalem Code bei einer Empfehlung, aus meiner Sicht, nicht in Betracht zu ziehen.
Ich halte das Szenario auch bei einer eigenen Installation für relevant, sollte diese frei zugänglich im Internet hängen (siehe Webspace Erwähnung), oder nicht vertrauenswürdige Geräte und Personen im eigenen Netz hantieren. Unwahrscheinlich ist der Angriff schon, aber im Fall von Passwörtern ist diese Angriffsmöglichkeit einfach grundsätzlich zu verhindern, es sei denn es sind unwichtige, oder es wird zwingend eine dadurch ermöglichte Funktion benötigt (Teilen von Passwörtern/Logins o.Ä.).
Vielen Dank für eure Antworten!
Jedoch muss ich gestehen, dass ich mir nicht immer sicher bin, ob ich mitkomme. Deshalb mal mein Verständnis/Interpretation/Fragen bis hierhin:
Das TOTP Geheimnis ist sowohl mir, als auch dem Anbieter (Nextcloud bzw. dem Webhoster) bekannt. Deshalb bringt es mir keinen Sicherheitsgewinn gegenüber dem Anbieter. Aber doch gegenüber einem Dritten (der vielleicht mein Passwort abgegriffen hat, aber nicht den zweiten Faktor kennt)?
Falls ich Keepass nutze, würde ich meine Keepass-Datenbank in Nextcloud synchronisieren, aber eben nur lokal auf meinem Endgerät mit lokalen Code entschlüsseln. Das verhindert, dass eine modifizierte Login/Passwortabfrage-Weboberfläche mein Passwort abgreift. Deshalb ist es empfehlenswert Keepass zu nutzen (weil es lokal/ohne Internetverbindung läuft)?
Wenn ich meine Keepass-Datenbank lokal auf meinem Gerät mit nur einem Passwort entschlüssele, dann frage ich mich, ob das wirklich sicherer gegenüber einem Dritten ist. Denn ich habe wie bei Nextcloud Passwords keinen zweiten Faktor und damit kann die Keepass-Datenbank mit einem Keylogger-Angriff doch auf einem Weg (mein Passwort wird abgefangen) geknackt werden? (Ich nutze Cryptomator und synchronisiere meine verschlüsselten Dateien in Nextcloud)
Das ist kein Unterschied zu einem übers Netz synchronisierten keypassxc. Wenn Du Deine Instanz nicht hinreichend pflegst oder die NC-Entwickler einen ganz grossen Bock schießen (oder viele Böcke nach dem Vorbild von Lastpass), könnte das beide Verfahren genauso treffen.
Edit: Aber die keepassxc-DB ist dann beim Abhandenkommen immer noch verschlüsselt, hoffentlich stark genug (nur noch Password-Schutz?), also immer noch kleines plus für keepassxc.
Geschätzt 99% aller password leaks (auch der diesjährige Datenreichtum bei Lastpass) entstehen aber dadurch, dass ein lokales System, meist Windows, infiziert wird und dort Passwörter abgegriffen werden. Das trifft dann indirekt auch die von diesem Rechner aus zugänglichen Server. Dass die „bösen Hacker“ direkt in einen Server eindringen, ist sehr sehr selten.
Normale Menschen brauchen einen Kompromiss aus Sicherheit und Bequemlichkeit, denn wenn es zu unbequem ist, wird meist die Sicherheitskomponente aufgeweicht. keepassxc oder die NC App sind für die Masse an Passwörtern völlig ok.
Nein, denn Passwörter allein sind ohnehin nur für unwichtige Dienste geeignet. Wichtige Dienste sichert man mit einem zusätzlichen key (hard- oder software). Wirklich ganz wichtige Dienste (etwa Bank) sichert man durch ein separat aufbewahrtes Hardwaretoken. Dafür braucht man weder keepassxc noch eine NC App ¹.
Ich kann gern mal ein wenig auf die Handhabung eingehen, habe die App längere Zeit mal im Einsatz gehabt um zu sehen, wie sie so läuft.
Also die Apps, sowohl Browser als auch Handy(iOS und Android) sind soweit gut zu bedienen, Andorid ein wenig schöner/einfacher wie iOS finde ich. Die Browsererweiterung tut auch genau das was sie soll, also Logins erkennen bei der Eingabe und das Speichern vorschlagen sowie automatisch ausfüllen.
Die Weboberfläche wird bei vielen Einträgen, ich bin so bei um die 300, ein wenig langsam wobei es wenig Notwendigkeiten gibt dort zu arbeiten. Das Teilen von Kennwörtern ist eine sehr interessante Funktion, die primär für Projekte oder andere Gruppen von Vorteil sein kann.
Alles in allem hat es bedienungstechnisch einen sehr runden Eindruck hinterlassen.
