1Password 4.0 erscheint im Mac App Store

[DubiDuh]

Gegen Layer8-Probleme ist kein Kraut gewachsen

YMMD, danke ))

 

[pumpkin]

Ah, danke huurst. Aber zum synchron halten von z.B. MacBook und iMac bleibt dann nur Dropbox oder iCloud?

 

[huurst]

Kann es erst morgen im Büro testen aber Du legst doch zur Synchronisation einen Ordner an. Den gibst Du dann im WLAN Netz frei und greifst über das andere Gerät darauf zu.

 

[Der Kulli]

Äh, ich wollte mir gerade das Update laden. Ist mit 10.8.3 aber nicht möglich.
Es wird min. 10.8.4 gefordert. Naja, dann muss ich doch mal überlegen ob ich das OSX Update ausführe. Bin mit 10.8.3 aber super zufrieden, weshalb ich das update noch nicht gemacht habe.

 

[Irving]

Bitte, bedenkt weiterhin das NSA-Problem. Dies ist allein schon eine Aspekt bürgerlicher Verantwortung.

Positiv fällt hinsichtlich 1Password 4 indes aus: Agilbits ist eine Firma aus Kanda. Somit fällt sie erst einmal zumindest aus dem direkten NSA-Einzugsbereich.

Es ist zwar angekündigt worden, dass auch Apple nun neben dem Schlüsselbund eine weiterführende Passwortverwaltung in Mavericks einführen wird. Dieser würde ich aber in keiner Weise mehr Vertrauen schenken. Selbst bei allem Wohlwollen Apple gegenüber, unterliegt Apple doch den Weisungebefugnissen der NSA. Apple ist voll intergriert in das PRISM-Programm – so ergeben die NSA-Leaks, denen weder von der Regierung noch von den Behörden widersprochen wurde. Das bedeutet, dass alle Daten, die ihr über Apple teilt, synchronisiert oder in der Cloud speichert auch der NSA direkt zugänglich sind, so die NSA-PRISM-Folien...
http://t3n.de/news/prism-nsa-fbi-haben-angeblich-471360/prism_2/

Mittels der sog. Security Letter ist es der NSA also nicht nur möglich, direkt auf die Datenvorkommen von Apple und der gesamten Kundschaft zuzugreifen, sondern zwingt die Firma darüber hinaus, diesen Umstand wie auch geschehene Zugriffe den Kunden nicht bekanntgeben zu dürfen. Dies wurde und wird, so machen die Leaks deutlich, auch genutzt.

Insofern ist 1Password gewiss eine begrüßenswerte Alternative, die sich ohnehin bislang hinreichend im Alltag bewährt hat. Ob man indes seine Passworte mittels iSync usw. synchronisiert, halte ich für überdenkenswürdig – denn alles, was über das Netz geht und besonders über in PRISM eingebundene Firmenserver, geht auch an die NSA. Schon immer galt aber: Passworte gehören nicht übers Netz synchronisiert – grundsätzlich sollte dies offline geschehen, allenfalls in lokalen Netzen. Hier ist es nicht nur vernünftig, kompromittierte Wege zu vermeiden, sondern auch ein Akt des zivilen Widerstandes demokratisch mündiger Bürger, sich Zugriffen zu entziehen – selbst wenn sie von einigen Leuten als nur potentieller Natur bagatellisiert werden. PRISM zeigt indes, dass die Zeiten der Bagatellisierungen vorbei sein sollten...

Weiterhin würde ich persönlich – so möglich – Apps aber immer auch direkt bei den Publishern beziehen. Wir wissen nicht, welche Auflagen Apple hat und inwiefern z.B. der App-Bezug solcher Programme manipuliert werden kann (bzw. sogar die Apps von der NSA manipuliert werden). Apple dürfte diesbezüglich keine Informationen preisgeben (Security Letter), auch wenn es ein Akt der gebotenen und demokratisch verpflichteten Zivil-Courage seitens Apples wäre, sich gegen die Übergriffe einer verbrecherisch agierenden Behörde zu wehren. Aber damit können wir ja leider nicht rechnen...

Es geht um eure Passworte. Allen Sicherheitsversprechen zum Trotz gilt da: Vorsicht ist besser als Nachsicht... Das sollte spätestens mit den PRISM-Leaks auch nicht mehr bagatellisiert werden.

 

[maytz]

oder einfach der 256 (bit) AES-Verschlüsselung vertrauen, diese ist wohl bei ausreichendem Passwort durchaus sicher.
Wenn man wirklich sichere Passwörter verwendet, dann sind diese unmöglich zu merken und man ist auf eine Passwortverwaltung angewiesen.
In Punkten synchronisation vertrau ich einfach Agilbits, dass deren AES-Verschlüsselung fehlerfrei ist.
An AES-verschlüsselte Daten in der iCloud mag die NSA vielleicht rankommen, aber diese wohl nicht entschlüsseln.

 

[ottomane]

Der Verschlüsselung kann man prinzipiell trauen, ja. Aber was nützt das, wenn das Programm eine Backdoor für die Schlapphüte hat? Oder wenn es die Zufallszahlen von OS X bezieht und diese nach den Regeln der NSA generiert werden?

Dass es aus Kanada kommt, ist nur ein schwacher Trost. Kanada gehört zu den Verbündeten der NSA (5 Augen: USA, CA, GB, NZ, AU).

Ganz abgesehen von rechtlichen Konsequenzen: Du kannst nie wieder behaupten, dass Du das Passwort für die verschlüsselte Platte vergessen hättest

Ich jedenfalls habe meine Passwortregeln und merke mir die.

 

[MFKCNE]

Warum sollte die NSA irgendwelche Passwörter und Logins wollen? Die haben doch ganz ohne Passwörter Zugriff auf alle eure Daten.

 

[maytz]

ich hab weit über 100 Einträge in 1password, selbst wenn ich Passwortregeln hätte, mit denen ich 20+-stellige Passwörter mit allen möglichen Zeichen merken könnte, wäre es mir unmöglich, diese den Diensten zuzuordnen.
Passwörter die man sich merken kann sind wohl immer unsicher und somit die größte Schwäche, egal bei welcher Sicherheit.

Selbst in worst case, also wenn die NSA an die Daten kommt ist das immernoch sicher gegen die normalen bösen Leute und Identitätsdiebstahl.

 

[konn_y]

Zu unsicher.

Für jeden Dienst ein anderes PW. Kann ruhig kürzer sein, aber aus vielen Zahlen, Klein/Großbuchstaben und Sonderzeichen.

Denn auch hier wird die NSA für eine Backdoor gesorgt haben.

Wer das bestreitet, dem ist nicht mehr zu helfen. Es ist so dermaßen viel ans Licht gekommen, was viele auch nicht für möglich gehalten haben.

Unabhängig von der Frage, ob du damit Recht hast oder nicht: Kannst du überhaupt noch glücklich und in Ruhe leben? Was ich von dir an Kommentaren lese lässt so viel Panik vor jeder Art von Spionage erkennen, dass ich das Gefühl habe, du müsstest unter ständigem Verfolgungswahn leiden.
Und so lange nichts wirklich bewiesen ist sind Aussagen wie "wer das bestreitet, dem ist nicht mehr zu helfen" in meinen Augen unangebracht. Solche Aussagen höre ich ansonsten vor allem von Anhängern von Religionen, frei nach dem Motto "wer nicht an Gott/Allah/Jesus glaubt, dem ist nicht mehr zu helfen".

 

[CrackerJack]

Warum ist das Update denn so teuer?

 

[smoe]

Das Update ist kostenlos für alle Mac Appstore Kunden. Und für alle Kunden außerhalb des AppStore gab es mehrere Aktionen günstig die AppStore Version zu kaufen inkl kostenlosem Update.

 

[jo*]

Sofern das Masterpasswort in 1PW hinreichend sicher ist (also kein Wörterbuch, mit ordentlich Ziffern und Sonderzeichen und mehr als 8 Stellen, besser 10-12) gilt der mit AES256 verschlüsselte Container nach gegenwärtigem Wissenstand als unknackbar, auch mittels BruteForce-Entschlüsselungsversuchen.

Ich nutze 1PW seit vielen Jahren mit einem sehr sicheren Masterpasswort und hab darin so um die 300 Log-Ins, FTPs, App-Anmeldedaten, CC-Karten Infos, etc. gespeichert. Bei meinen Web-Logins nutze ich grundsätzlich 20-stellige Zufallspasswörter, also nach menschlichem Ermessen supersicher, solange die Betreiber bzw. deren Datenbanken nicht gehackt werden.

Ich wüsste ehrlich gesagt nicht, wie ich das ohne 1PW (oder einem vergleichbaren Tool) alles organisieren sollte.

Auch Syncing über iCloud oder DropBox sollte mit einem guten Masterpasswort unknackbar bleiben (ich synce trotzdem prinzipiell nicht über die Cloud), selbst wenn die NSA Hintertüren bei Apple oder DropBox erzwungen haben sollte.

Das einzige, was der NSA möglicherweise Zugang verschaffen könnte, wäre der Zwang zur Herausgabe des Verschlüsselungs-Algorithmus von AgileBits, ähnlich wie sie das bei Lavabit machen wollten (wo Snowden seinen Email-Account betrieb), bevor der Firmeninhaber von Lavabit das Unternehmen auflöste und alle 410.000 Kundenkonten vorsorglich gleich mitschloss.

 

[pumpkin]

Unabhängig von der Frage, ob du damit Recht hast oder nicht: Kannst du überhaupt noch glücklich und in Ruhe leben? Was ich von dir an Kommentaren lese lässt so viel Panik vor jeder Art von Spionage erkennen, dass ich das Gefühl habe, du müsstest unter ständigem Verfolgungswahn leiden.

Ich dachte eigentlich, Ozelot hätte schon längst sämtliche Stecker gezogen Aber solange er noch im gefährlichen www online unterwegs ist, kann es ja so schlimm nicht sein.

 

[smoe]

Das einzige, was der NSA möglicherweise Zugang verschaffen könnte, wäre der Zwang zur Herausgabe des Verschlüsselungs-Algorithmus von AgileBits

Bei vernünftig implementierter Verschlüsselung hängt die Sicherheit nicht von der Geheimhaltung des Algorithmus sondern nur von der Komplexität des Schlüssels ab. Der Algorithmus ist AES und daran ist nun wirklich nichts mehr geheim.

 

[FelixMacintosh]

Warum ist das Update denn so teuer?

Weil jeden Tag ein Dummer aufsteht der es kauft. Das lohnt sich dann.

Ich würde es mir auch kaufen wenn ich im Zahlenbereich von 1 bis 10 unsicher währe. Oder meine Tastatur keine Sonderzeichen hätte.

 

[Oolong]

Sofern das Masterpasswort in 1PW hinreichend sicher ist (also kein Wörterbuch, mit ordentlich Ziffern und Sonderzeichen und mehr als 8 Stellen, besser 10-12) gilt der mit AES256 verschlüsselte Container nach gegenwärtigem Wissenstand als unknackbar, auch mittels BruteForce-Entschlüsselungsversuchen.

1Password ist leider nicht sicher, siehe Seite 8 in diesem Dokument:
http://www.elcomsoft.com/WP/BH-EU-2012-WP.pdf

Das einzige, was der NSA möglicherweise Zugang verschaffen könnte, wäre der Zwang zur Herausgabe des Verschlüsselungs-Algorithmus von AgileBits, ähnlich wie sie das bei Lavabit machen wollten (wo Snowden seinen Email-Account betrieb), bevor der Firmeninhaber von Lavabit das Unternehmen auflöste und alle 410.000 Kundenkonten vorsorglich gleich mitschloss.

Wenn die Sicherheit auf dem Geheimhalten eines Algorithmus beruht, dann ist das System nicht sicher. Natürlich ist das nicht so, die Algorithmen sind alle bekannt und öffentlich.

 

[smoe]

Dein Dokument bezieht sich auf eine alte iOS Version die gar nicht mehr angeboten wird. Die aktuelle Version hat die PIN gar nicht mehr.

 

[alexr]

Zum Thema Sicherheit von 1Password gibt es auf deren Blog einige Artikel zu lesen. Unter anderem interessant finde ich die folgenden

http://blog.agilebits.com/2013/04/16/1password-hashcat-strong-master-passwords/
http://blog.agilebits.com/2011/06/21/toward-better-master-passwords/ (+ related articles)
http://blog.agilebits.com/2013/06/07/nsa-prism-1password-security/
http://learn.agilebits.com/1Password4/Security/keychain-design.html

Wie oben aber schonmal erwähnt, bleibt natürlich offen, ob ihre AES Implementierung fehlerfrei ist. Hier bleibt einem - wenn man 1Password nutzt - nichts anderes übrig, als den Jungs und Mädels von AgileBits zu vertrauen.

 

[Philipp Schwinn]

Vllt ne dumme Frage, aber ist 1Password sicher? Wenn man sich das alles mit NSA und Co anschaut.. ein Programm, was alle PWs verwaltet?

Die kannst davon ausgehen, dass jede digitale Information die du ins Internet schickst bzw. empfängst unsicher ist und wahrscheinlich schon analysiert wurde.

Dieses Programm ist einfach nur Komfort. Selbst wenn man es nicht benutzt, wäre es Geheimdiensten wohl ein leichtes anderswie an deine Passwörter zu gelangen. Wenn sie wollen...