[LastPass] Passwortmanager 20% günstiger am Welt-Passwort-Tag (Nur Neukunden)

MineCore05.05.2022 23:01

Die Passwörter liegen dort nicht im Klartext, dass heißt jemand müssten da …Die Passwörter liegen dort nicht im Klartext, dass heißt jemand müssten dann noch das Password "cracken".https://www.lastpass.com/security/zero-knowledge-securitySprich dein "Master-PW" wird durch PBKDF2-SHA256 gejagt und dann der Ouput davon als Schlüssel für AES genutzt.Wenn jemand nun deren Datenbank Eintrag von deinem AES verschlüsselten Passwort hat, muss dieser erst diesen PBKDF2-SHA256 Key, der aus deinem Master-PW abgeleitet wird, knacken.Ab hier ist es im Grunde das gleiche wie KeyPass in der Cloud, nur das halt das Password dieses PBKDF2-SHA256 derivat aus deinem Master-PW ist.Wiki:"Auf das Passwort wird eine pseudozufällige Funktion, wie zum Beispiel eine kryptologische Hashfunktion oder ein HMAC, zusammen mit einem Saltwert angewendet. Die Funktion wird danach mehrmals auf das Ergebnis angewendet. Diese Verkettung erschwert es, per Brute-Force-Methode aus dem Schlüssel auf das ursprüngliche Passwort zu schließen. Durch die Verwendung von Salt wird zusätzlich der Einsatz von Rainbow Tables stark erschwert. Durch Erhöhung der Anzahl der Durchgänge kann die Funktion auch der steigenden Leistung von Computern angepasst werden."Weniger anzeigenMehr anzeigen

Das ist mega naiv! Einem closed source Anbieter zu glauben, was er auf seiner Webseite schreibt.

Du setzt hier eine Referenz auf ein PBKDF2 und AES Verfahren ohne die Implementierung zu kennen.

Der Ansatz widerspricht dem Grundsatz der Kryptographie. Woher willst du wissen, das es keine Fehler bei der Implementierung der Algorithmen gibt?

Ohne externes Auditing oder Veröffentlichung der Algorithmen ist das alles Schall und Rauch was ein Anbieter auf seiner Seite schreibt. (bearbeitet)

Oder Bitwarden.

Kostenlose Alternative

keepass.info/

nokion05.05.2022 22:48

Und was wenn der PW Manager gehackt wird Ernstgemeinte Frage!

Die Passwörter liegen dort nicht im Klartext, dass heißt jemand müssten dann noch das Password "cracken".
lastpass.com/sec…ity
Sprich dein "Master-PW" wird durch PBKDF2-SHA256 gejagt und dann der Ouput davon als Schlüssel für AES genutzt.
Wenn jemand nun deren Datenbank Eintrag von deinem AES verschlüsselten Passwort hat, muss dieser erst diesen PBKDF2-SHA256 Key, der aus deinem Master-PW abgeleitet wird, knacken.
Ab hier ist es im Grunde das gleiche wie KeyPass in der Cloud, nur das halt das Password dieses PBKDF2-SHA256 derivat aus deinem Master-PW ist.

Wiki:
"Auf das Passwort wird eine pseudozufällige Funktion, wie zum Beispiel eine kryptologische Hashfunktion oder ein HMAC, zusammen mit einem Saltwert angewendet. Die Funktion wird danach mehrmals auf das Ergebnis angewendet. Diese Verkettung erschwert es, per Brute-Force-Methode aus dem Schlüssel auf das ursprüngliche Passwort zu schließen. Durch die Verwendung von Salt wird zusätzlich der Einsatz von Rainbow Tables stark erschwert. Durch Erhöhung der Anzahl der Durchgänge kann die Funktion auch der steigenden Leistung von Computern angepasst werden."

TrueSpirit06.05.2022 00:09

Das ist mega naiv!

Und mehr gibt es dazu nicht zu sagen!

Proprietärer Passwortmanager in der Cloud. Wer mir da ernsthaft die genutzten Verschlüsselungsmethoden aufzählt und technischen Maßnahmen erzählt, in die man doch brav vertrauen soll, den kann ich nicht für voll nehmen.

Worauf ich bei LastPass vertraue: Sie sind seriös und intrinsisch motiviert ihr Business Modell zu schützen. Ein Passwort für MyDealz oder Amazon dort zu speichern - kein Problem. Bei sensiblen Passwörtern, würde ich immer auf KeePass setzen.

Wie immer erwähnt wurde, Finger weg von solchen Bananensofrwares.
KeePass, Bitwarden und 1Password, Bitteschön.

Mal wieder ein gutes Beispiel für Security by obscurity.


Mal ein Auszug zu dem Produkt. Läuft bei denen

ich bin 2015 weg von lastpass nach Hackerangriff. Grund: darüber war nur aus der Presse zu erfahren, viele Nutzer wurden nicht benachrichtige. Das Mindeste wäre gewesen allen Nutzer zumindest zu empfehlen das Masterpasswort zu ändern... wenn es interessiert:
heise.de/security/meldung/Hackerangriff-auf-Passwort-Manager-LastPass-2691498.html (bearbeitet)

Da es sehr gut funktionierende open-source Alternativen wie Bitwarden und Keepass gibt, gibt es keinen Grund, closed-source Produkte zu benutzen.

Für Webseiten der täglichen Nutzung wird die integrierte Passwortverwaltung von Firefox genutzt
-> Cloud-Sync (auch mit eigenen Server falls gewünscht), OpenSource, nativ integriert und damit kein Plugin als zusätzliche Risikoquelle

Für die anderen Passwörter (Infrastruktur, etc.) KeePass, das mit resilio Sync über alle Geräte synchron gehalten wird.

Warum man für LastPass Geld ausgeben sollte ist mir auch nicht wirklich erklärlich - sehe dadurch nicht die Sicherheit erhöht. (bearbeitet)

Radiohead05.05.2022 22:38

Kostenlose Alternativehttps://keepass.info/

ich werf an der Stelle auch mal den Fork KeePassXC in den Raum
keepassxc.org/

Rummelmann6319.06.2022 09:31

Und wie ist es unter Android?Was wäre denn eher deine Empfehlung?Bitwarden …Und wie ist es unter Android?Was wäre denn eher deine Empfehlung?Bitwarden oder Enpass?Enpass habe ich noch als Lifetime Lizenz.Weniger anzeigenMehr anzeigen

Das kommt drauf an. Bitwarden ist mittlerweile gut verbreitet und wenn man ohnehin einen Raspberry Pi laufen hat ist das self-hosting keine große Sache. Selbst Systeme wie Home Assistent haben mittlerweile Add-Ons für Bitwarden und natürlich ist auch ein Betrieb im Docker-Container möglich.
Wenn du das Mal unkompliziert ausprobieren möchtest und Lust auf ein bisschen basteln hast: feel free. Das ganze ist wirklich nicht schwer zu machen


Hat man keine Lust auf self-hosting ist Enpass meiner Ansicht nach eine gute Wahl. Einen Account bei diversen Cloud-Anbietern hat sicherlich jede*r (Google, Telekom, OneDrive, Dropbox etc.). Die Passwortdatei wird in diesem Fall in der Cloud gelagert. Da diese verschlüsselt ist, ist das selbst bei Diebstahl eher weniger ein Problem.
Aber: wird sie gestohlen und es gibt doch eine Lücke hat man ein Problem. Beim self-hosting umgeht man dieses Problem, in dem man selbst für die Sicherheit des Speichers sorgt.

Ich selbst nutze Enpass. Ebenfalls, weil ich die Lifetime-Lizenz besitze und weil ich keine Lust habe mich mit dem self-hosting zu beschäftigen (obwohl ich bereits das ein oder andere als Hobby betreibe). Als Cloud-Sleicher verwende ich OneDrive, da ich ein O365-Abo habe und der Speicher sowieso da ist

Ihr seid heute bestimmt auch zur Überprüfung eurer Passwörter an diversen Stellen aufgefordert worden..

Ja, sogar von zwei Banken und einer Kryptobörse bei denen ich nichtmal ein Konto hab. Das nenne ich mal Service!

Ich bin dafür, dass man solche Programme einsetzt. Ich bin auch dafür, dass Wartung/Pflege Geld kostet, aber ich möchte nicht jedes Jahr den Vollpreis zahlen.
Ich würde mich sehr freuen, wenn Hersteller guter Werkzeuge beginnen, wieder eine Kauf- und Updatepolitik einzuführen, in der Form: Erstes Jahr 15,99€, jedes Folgejahr 5,99€…sonst komme ich mir gemolken vor.

Manchmal erhält man über StackSocial Enpass als Lifetime-Lizenz…Lifetime des Unternehmens. (bearbeitet)

Funkenschlag06.05.2022 07:41

in jedem zweiten MyDealz Deal nur noch Bashing und penetrantes Meinungsaufd …in jedem zweiten MyDealz Deal nur noch Bashing und penetrantes Meinungsaufdrücken zu lesen. Und nein ich nutze LastPass nicht.Weniger anzeigenMehr anzeigen

Wenn der Deal keinen Vorteil bietet und sinnlos Geld verbrennt, sind begründete Hinweise kein Bashing. Das sollte man schon unterscheiden können. Oder hast du Angst um die Blase, in der du leben möchtest?

Funkenschlag06.05.2022 08:56

Man findet übrigens über jedes Produkt wenn man das möchte negativ Schlagze …Man findet übrigens über jedes Produkt wenn man das möchte negativ Schlagzeilen im Internet. Hat keine 10 Sekunden mit Google gedauert: https://www.chip.de/news/Auch-das-noch-Neues-Elcomsoft-Tool-knackt-bislang-sichere-Passwort-Manager_120521740.htmlWeniger anzeigenMehr anzeigen

Und da zeigt sich mal wieder dass CHIP einfach nur Schund ist, und du ein wenig mehr als 10 Sekunden hättest investieren sollen

Reiner Click-Bait Artikel bei dem es um ein Tool geht das ne primitive Brute-Force-Attacke nutzt (d.h. bei einen vernüftigen Passwort mehrere tausend Jahre brauchen wird um es zu knacken) , so einen Schrott sollte man nicht auch noch verlinken. (bearbeitet)

Sinclair010406.05.2022 00:43

Und mehr gibt es dazu nicht zu sagen!Proprietärer Passwortmanager in der …Und mehr gibt es dazu nicht zu sagen!Proprietärer Passwortmanager in der Cloud. Wer mir da ernsthaft die genutzten Verschlüsselungsmethoden aufzählt und technischen Maßnahmen erzählt, in die man doch brav vertrauen soll, den kann ich nicht für voll nehmen. Worauf ich bei LastPass vertraue: Sie sind seriös und intrinsisch motiviert ihr Business Modell zu schützen. Ein Passwort für MyDealz oder Amazon dort zu speichern - kein Problem. Bei sensiblen Passwörtern, würde ich immer auf KeePass setzen.Weniger anzeigenMehr anzeigen

Puh, ich nutze eine Bankingsoftware. Die ist auch nicht Opensource. Bin ich jetzt gefährdet?

Sensible Zugänge würde ich immer mit MFA schützen.

Zum Deal: Ich finde LastPass überteuert. Gibt genug Alternativen. Ich bin bei Sticky gelandet. Bei denen gibt es öfters mal die Lifetime Lizenz im Angebot. (bearbeitet)

Lelo8906.05.2022 12:50

Bitwarden geht auch mit Security Vorfällen deutlich besser um. Deswegen …Bitwarden geht auch mit Security Vorfällen deutlich besser um. Deswegen empfehle ich für 'verteiltec PWMs immer bitwarden oder Enpass.Weniger anzeigenMehr anzeigen

Schon alleine wegen dem sehr fairen Preismodell sowie der Möglichkeit des selber hostens ist Bitwarden einfach nur zu unterstützen!

Ich selber nutzte es jedoch nur für meine 2FA-Codes, die lassen sich damit dann auch super via Cloud synchronisieren und via Web-Interface abrufen (im Gegensatz z.B. Google Authenticator). Trotzdem aber damit getrennt von den Passwörtern.

Ich benötige es einfach nicht. Meins kennt doch jeder...

123456

nokion05.05.2022 22:33

Ich benötige es einfach nicht. Meins kennt doch jeder...123456

Hey, du Schuft hast es geändert! Gestern war es noch qwertz

in jedem zweiten MyDealz Deal nur noch Bashing und penetrantes Meinungsaufdrücken zu lesen. Und nein ich nutze LastPass nicht.

Radiohead05.05.2022 22:38

Kostenlose Alternativehttps://keepass.info/

Ergänze noch um

bitwarden.com

ds105.05.2022 22:41

dachte ich jetzt auch... was ist der Vorteil wenn ich mir so ein Abo für …dachte ich jetzt auch... was ist der Vorteil wenn ich mir so ein Abo für einen pw manager zulege?Weniger anzeigenMehr anzeigen

Services ala Support (bearbeitet)

Bin mit der Umsetzung und dem Autofill bei Android nicht zu Frieden. nutze es nicht mehr.
Die App ist auch nicht in der Lage das eingegeben Passwort abzufangen, das was der Browser nativ kann und speichert somit tatsächlich nur die ******* ab.
Mag vielleicht aus Security Gründen richtig und logisch sein aber dann soll man das Feature bei Android nicht anbieten. (bearbeitet)

Bitwarden

Immer noch 33,13€ zu viel.
Ernsthafte Frage: wer vertraut einer solchen Firma hochsensible Passwörter an?

Hier ist es günstiger



stacksocial.com/sal…off

Ich nutze schon länger SafeInCloud. Einmal für Android und auch fürs iPad bezahlt, kein Abo. Windows Version kostenlos. Bin sehr zufrieden.
Kosten waren jeweils um 5€. (bearbeitet)

StopLoss06.05.2022 08:38

Wenn der Deal keinen Vorteil bietet und sinnlos Geld verbrennt, sind …Wenn der Deal keinen Vorteil bietet und sinnlos Geld verbrennt, sind begründete Hinweise kein Bashing. Das sollte man schon unterscheiden können. Oder hast du Angst um die Blase, in der du leben möchtest?Weniger anzeigenMehr anzeigen

Och jetzt komm schon, es gibt ja auch eine kostenlose Variante von dem Programm LastPass lt. Homepage wenn man die "Premium" Funktionen nicht benötigt. Also das war jetzt echt kein Argument mit dem Geld. Der Deal bezieht sich ja darauf das die Premium Version derzeit günstiger zu haben ist nichts weiter. Der Rest ist das übliche geblubber hier von "mag ich nicht" "brauch ich nicht" " ist nicht sicher" bla und so weiter.

Funkenschlag06.05.2022 08:44

Och jetzt komm schon, es gibt ja auch eine kostenlose Variante von dem Prog …Och jetzt komm schon, es gibt ja auch eine kostenlose Variante von dem Programm LastPass lt. Homepage wenn man die "Premium" Funktionen nicht benötigt. Also das war jetzt echt kein Argument mit dem Geld. Der Deal bezieht sich ja darauf das die Premium Version derzeit günstiger zu haben ist nichts weiter. Der Rest ist das übliche geblubber hier von "mag ich nicht" "brauch ich nicht" " ist nicht sicher" bla und so weiter.Weniger anzeigenMehr anzeigen

Ich geb dir ja Recht, dass oft Produktbashing betrieben wird. Aber hier gehts eben um Passwörter, das ist ein sensibles Thema. Und es gibt keinen offensichtlichen Grund, diesem Anbieter mehr zu vertrauen als einer anerkannt sicheren Open-Source Lösung wie KeePass.

Btw. was casey11 sagt.

casey1106.05.2022 08:42

Für Webseiten der täglichen Nutzung wird die integrierte Passwortverwaltung …Für Webseiten der täglichen Nutzung wird die integrierte Passwortverwaltung von Firefox genutzt-> Cloud-Sync (auch mit eigenen Server falls gewünscht), OpenSource, nativ integriert und damit kein Passwort als zusätzliche RisikoquelleFür die anderen Passwörter (Infrastruktur, etc.) KeePass, dass mit resilio Sync über alle Geräte synchron gehalten wird.Warum man für LastPass Geld ausgeben sollte ist mir auch nicht wirklich erklärlich - sehe dadurch nicht die Sicherheit erhöht.Weniger anzeigenMehr anzeigen

Syncthing ist auch ein cooles Tool, um die KeePass-DB über alle Geräte zu synchronisieren. Das Zusammenspiel mancher Open-Source Lösungen macht echt Spaß! (bearbeitet)

newone12306.05.2022 09:13

Danke für die Auflistung.Habe mir so nen Yubico Stick bestellt,welches der …Danke für die Auflistung.Habe mir so nen Yubico Stick bestellt,welches der drei genannten Manager interagiert am besten damit?Weniger anzeigenMehr anzeigen

Aus dem Deal von vor 2 Tagen? Super Preis.
Der Yubikey funktioniert mit 1Password, Bitwarden, LastPass (ab Yubikey 5) und KeePass. Beim KeePass gibt es drei Möglichkeiten den Yubikey zu verwenden.
1. Statisches Passwort
2. Einmalpasswort
3. Challenge-Response-Authentifizierung

Bei der 3. Methode muss man eine Erweiterung runterladen.
Ich persönlich finde da den Ableger Keepassxc besser als das normale KeePass.

Kaleidoscope07.05.2022 11:31

Hausaufgabe DNS Challenge. Das schau ich mir mal an. Danke dir, Domain hab …Hausaufgabe DNS Challenge. Das schau ich mir mal an. Danke dir, Domain hab ich.Weniger anzeigenMehr anzeigen

wenn du den Nginx Proxy Manager nutzt, kannst du das direkt über die Weboberfläche anfragen. Du musst nur einen der unterstützten Provider nutzen (ich selbst nutz hierfür z.B. Cloudflare).



Sonst kannst du es natürlich auch klassisch per Skript anfragen. Ich lass einfach mal das hier da, unter DNS-01 challenge: letsencrypt.org/doc…es/

Rummelmann6319.06.2022 09:31

Und wie ist es unter Android?Was wäre denn eher deine Empfehlung?Bitwarden …Und wie ist es unter Android?Was wäre denn eher deine Empfehlung?Bitwarden oder Enpass?Enpass habe ich noch als Lifetime Lizenz.Weniger anzeigenMehr anzeigen

schau dir SafeInCloud an, auf Desktop kostenlos, für Android oder iOS zahlst du einmalig, glaube gerade so um 7 Euro.... kann alles was andere auch können. läuft komischer Weise komplett unter dem Radar, ist z.B. nie bei Passwordmanager-Tests dabei, ist mir schleierhaft wieso das so ist. (bearbeitet)

Rummelmann6319.06.2022 10:35

Vielen Dank für den Hinweis .Aber Safeincloud Pro hatte ich vor …Vielen Dank für den Hinweis .Aber Safeincloud Pro hatte ich vor Jahren Mal gekauft, gefiel mir aber nicht so gut wie Enpass.Gerade die Autofill Funktion lief nicht besonders gut.Weniger anzeigenMehr anzeigen

weiß nicht wie es damals war, heute ist Autofill aus meiner Sicht völlig OK, auf Desktop und iOS vor allem Dingen, auf Android etwas hakelig.
sehr gut sind auch die jeweiligen Browser Erweiterungen für Desktop. und wie gesagt, auf Desktop umsonst, also testbar. hat gute Importfunktionen, falls du von anderen Manager kommst (bearbeitet)

Radiohead05.05.2022 22:38

Kostenlose Alternativehttps://keepass.info/

dachte ich jetzt auch... was ist der Vorteil wenn ich mir so ein Abo für einen pw manager zulege?

Und was wenn der PW Manager gehackt wird

Ernstgemeinte Frage!

Ich bin ja mit der Apple Schlüsselbundverwaltung sehr zufrieden. Entnehme den Kommentaren hier aber das es nichts vergleichbares für Windows gibt? Schade...

Zwang_05.05.2022 23:35

Ich bin ja mit der Apple Schlüsselbundverwaltung sehr zufrieden. Entnehme …Ich bin ja mit der Apple Schlüsselbundverwaltung sehr zufrieden. Entnehme den Kommentaren hier aber das es nichts vergleichbares für Windows gibt? Schade...Weniger anzeigenMehr anzeigen

Genau darum geht es hier doch

Aktuell Testzeitraum für Family beendet, kostet zuviel für das was man bekommt. Schlussendlich ist es einfacher die Passwörter für andere aus Chrome zu importieren.

never!