Безопасное хранение паролей в KeePass Professional

БЕСПЛАТНЫЙ МАСТЕР-КЛАСС!

ДЕНЬ 1 - Какие основные навыки сисадмина?

ДЕНЬ 2 - Настройка домена Windows Server 2016

ДЕНЬ 3 - Администрирование 1С:Предприятие

 

Регистрируйтесь!

Старт уже завтра!

или запишись через ВК



В одном из прошлых видео я уже рассказывал о программе для безопасного хранения паролей KeePass Password Safe. Но, в результате проведения определенных экспериментов выяснилось, что хранить в ней пароли не так уж и безопасно, но это касается классической версии программы. По этому, в данном видео, рассмотрим профессиональную версию KeePass. Тем более что она так же бесплатна, как и классическая версия. Если вы впервые слышите о данной программе, то советую сначала посмотреть мой обзор на классическую версию, чтобы не возникали лишние вопросы.

И так, чем же мы будем заниматься в данном уроке:

— займемся взломом классической версии KeePass Password Safe через Key logger;

— импортируем базу из классической версии в профессиональную;

— рассмотрим основные отличия и нововведения;

— и попытаемся взломать Key logger-ом профессиональную версию.

И первым делом зайдем на сайт разработчиков программы www.keepass.info \ download. Скачаем обе версии в портативном формате, так как я ношу базу с паролями на флешке, то и программа для их просмотра должна так же запускаться с флешки, без установки в операционную систему.

Я это уже сделал, а так же создал тестовую базу данных для классической версии. На данный момент, у меня в системе запущена программа шпион LanAgent. Данная программа относится к Key logger-ам, т.е. программам, которые записывают все действия пользователя на компьютере. Так что, теперь узнаем, насколько надежно данная программа защищает наши пароли!

Запускаем классическую версию и открываем в ней созданную базу, вводим пароль к базе и авторизуемся на сайте Rutracker.org.

Теперь посмотрим, что смог перехватить LanAgent, обновим логи и видим, что программа перехватила как мастер ключ, так и логин и пароль для сайта Rutracker. Даже если мы попытаемся вводить данные через буфер обмена, то программа так же перехватит содержимое буфера. С другой стороны пароль к базе бесполезен, если злоумышленнику не к чему её применять, т.е. база то находится на нашей флешке. Но в данной ситуации, программы могут в фоновом режиме копировать содержимое флешки или файлы к которым были обращения, а следовательно незаметно для нас, база может быть скопирована и все пароли вскрыты при помощи мастер ключа!

В общем, можно сделать следующий вывод, классическая версия подходит для того, чтобы не хранить пароли в явно открытом виде, но при использовании программ шпионов, она не поможет. А избавиться от данной бреши, нам поможет профессиональная версия!

1) Руссифицируем программу для более удобной работы (www.keepass.info \ Translations \ Russian \ 2.28 \ разархивируем в папку с программой \ View \ Change Language \ Russian)

2) Создадим новую базу ( Файл \ Новый \ Указываем путь и имя \ Задаем основной пароль )

3) Перенесем данные со старой базы, чтобы не вбивать все вручную (Файл \ Импорт \ KeePass 1.x \ Указываем путь к старой базе \ ОК \ Вводим пароль к базе \ Новые идентификаторы)

Теперь рассмотрим, что нового и интересного появилось в данной версии. Я не буду рассматривать все нововведения, это займет много времени, а остановлюсь на самых, на мой взгляд, интересных:

1) Ввод основного пароля в защищенном режиме, что позволяет блокировать работу Key logger-а, при вводе основного пароля (Сервис \ Настройки \ Безопасность \ Ввод основного пароля в защищенном режиме)

2) Генератор паролей создает сразу 30 паролей, согласно выбранной сложности. Из которых можно выбрать, на ваш взгляд, наиболее сложный.

3) Языком автонабора проще пользоваться, нежели в классической версии. Про него я не рассказывал в обзоре классической версии, поэтому давайте рассмотрим, чем он может помочь!

По умолчанию, при автоматическом вводе срабатывает следующая последовательность команд. В активное поле вводится логин, TAB, пароль и ENTER. Эту последовательность можно увидеть, если открыть запись \ Автонабор \ Использовать следующую последовательность. И данный вариант подходит в большинстве случаев, как подошел к входу на rutracker.

Однако он не подойдет для входа в почту через сайт www.mail.ru . Так как у меня тестовый ящик не на mail.ru, а bk.ru, то для этого сайта можно ввести индивидуальный алгоритм ввода {USERNAME} {TAB} {PASSWORD} {TAB} {DOWN} {DOWN} {DOWN} {TAB} {ENTER}.

Перечень команд здесь приведен, так же имеется справка, хоть она и на английском, но при желании можно разобраться. Из своей же практики посоветовал бы иногда пользоваться командой {DELAY 1000}, это команда задержки между командами. Просто бывает, что при медленном интернете, браузер не успевает принять последовательность команд, по этому, ему нужно время на обдумывание, в данной ситуации выручит эта команда (5000 — 5 секунд задержки).

4) Двойное усложнение набора — при данном методе, программа не вводит данные в явном виде, она часть логина и пароля берет из буфера обмена, а часть вводит символами.

Теперь проверим, сможет ли LanAgent вскрыть наши пароли!? Как вы видите, ничего вытащить не получилось, а, следовательно, программа отлично отработала и теперь ваши пароли максимально защищены!

  

Скачать видеоурок и инструкцию

 

Вверх
Политика конфиденциальности Используя сайт вы даете согласие на обработку персональных данных