{"id":3427,"date":"2023-09-12T11:41:12","date_gmt":"2023-09-12T09:41:12","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=3427"},"modified":"2023-10-20T19:52:51","modified_gmt":"2023-10-20T17:52:51","slug":"passwortmanager-keepassxc-mit-security-token-nitrokey-oeffnen","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/12\/passwortmanager-keepassxc-mit-security-token-nitrokey-oeffnen\/","title":{"rendered":"Passwortmanager „KeepassXC“ mit Security-Token „Nitrokey“ \u00f6ffnen"},"content":{"rendered":"\n

Eines vorneweg:<\/strong> Neben der Inbetriebnahme des Nitrokeys, sind nur drei der nachfolgenden Befehlszeilen wichtig. Zwei, zum Erstellen der KeepassXC-Datenbank (1., 2.<\/strong>) und eine, um dieselbe zu \u00f6ffnen (3.<\/strong>). Da ich, insbesondere beim Thema Verschl\u00fcsselung, der Meinung bin, man sollte genau wissen, was man tut, ist das Wiki etwas umfangreicher geworden, als urspr\u00fcnglich geplant.<\/p>\n\n\n\n

Einf\u00fchrung<\/h2>\n\n\n\n

Mittlerweile haben wohl die meisten von uns zahlreiche Online-Konten f\u00fcr Online-Shops, Webmailer, Internetforen und \u00c4hnlichem. Um diese Zugangsdaten sicher zu verwalten eignen sich Passwortmanager, wie z.B. das quelloffene KeepassXC<\/a> sehr gut. Selbstredend muss das Masterpasswort, zum \u00d6ffnen des Passwortmanagers h\u00f6chsten Sicherheitsanspr\u00fcchen gen\u00fcgen, da ein schwaches Masterpasswort die Sicherheit aller gespeicherten Zugangsdaten gef\u00e4hrdet.

Als Ersatz f\u00fcr sichere – und damit meist schwer zu merkende – Passw\u00f6rter eignen sich Security-Tokens. Diese garantieren einen sicheren Identit\u00e4tsnachweis, wie er z.B. bei der Zwei-Faktor-Authentisierung<\/a> (2FA) zum Einsatz kommt.

KeepassXC unterst\u00fctzt Security-Tokens, allerdings nur den Marktf\u00fchrer YubiKey<\/a>. Ich bevorzuge jedoch den Nitrokey<\/a>. Im Gegensatz zum YubiKey sind beim Nitrokey Hard- und Firmware als \u201eOpen Source\u201c ver\u00f6ffentlicht. Das erm\u00f6glicht unabh\u00e4ngigen Sicherheitsexperten, die Fehlerfreiheit des Nitrokeys zu \u00fcberpr\u00fcfen. Anwender sind damit nicht allein auf die Versprechen des Herstellers angewiesen.

Obwohl KeepassXC den Nitrokey nicht direkt unterst\u00fctzt, erm\u00f6glicht ein Trick die Zusammenarbeit beider Systeme. Dazu dient das auf dem Nitrokey gespeicherte OpenPGP-Schl\u00fcsselpaar.

F\u00fcr den Einsatz mit KeepassXC eignen sich die Nitrokey-Modelle \u201eStart\u201d, \u201ePro 2\u201c und \u201eStorage 2\u201c.
<\/p>\n\n\n\n

Funktionsprinzip<\/h2>\n\n\n\n
    \n
  1. Ein sicheres Passwort f\u00fcr die KeepassXC-Datenbank wird, mit dem \u00f6ffentlichen Schl\u00fcssel des Nitrokeys verschl\u00fcsselt, in einer Passwort-Datei gespeichert.<\/li>\n\n\n\n
  2. Mit der Passwort-Datei wird eine KeepassXC-Datenbank erstellt.<\/li>\n\n\n\n
  3. Zum \u00d6ffnen der KeepassXC-Datenbank wird die Passwort-Datei mit dem geheimen Schl\u00fcssel des Nitrokeys entschl\u00fcsselt und an KeepassXC \u00fcbergeben.<\/li>\n<\/ol>\n\n\n\n

    Ohne die Notwendigkeit, das Datenbank-Passwort manuell einzugeben, kann es beliebig lang und komplex sein. Zum Entschl\u00fcsseln wird der Anwender nach der Benutzer-PIN des Nitrokeys gefragt. Da die Benutzer-PIN – wie bei einer EC-Karte – nach dreimaliger Falscheingabe automatisch gesperrt wird, bietet ein sechsstelliger Zahlencode zuverl\u00e4ssigen Schutz.<\/em><\/p>\n\n\n\n

    Vorbereitungen<\/h2>\n\n\n\n

    F\u00fcr den Einsatz des Nitrokeys m\u00fcssen zun\u00e4chst die notwendigen Programmpakete unter Linux installiert und ein OpenPGP-Schl\u00fcsselpaar erstellt werden, wie in der Nitrokey-Dokumentation<\/a> beschrieben.
    F\u00fcr die Nitrokeys Pro und Storage beschr\u00e4nkt sich die Installation unter Debian und dessen Derivaten auf folgende Pakete aus dem Repository:<\/p>\n\n\n\n

    sudo apt update && sudo apt install libccid scdaemon nitrokey-app -y<\/code><\/pre>\n\n\n\n
    Beim Nitrokey Start ist die Installation etwas anders – weitere Details in der Online-Dokumentation<\/a>.

    Es spielt keine Rolle, ob auf dem Nitrokey das OpenPGP-Schl\u00fcsselpaar als RSA- oder ECC-Schl\u00fcssel erzeugt wird.
    Ich empfehle jedoch ECC-Schl\u00fcssel, da diese bei gleichem Sicherheitsniveau mit deutlich k\u00fcrzeren Schl\u00fcssell\u00e4ngen auskommen, was sich durch eine sp\u00fcrbar geringere Reaktionszeit bemerkbar macht.

    F\u00fcr das Arbeiten mit dem OpenPGP-Schl\u00fcsselpaar muss auf dem PC das Programm     gpg<\/a> installiert sein, was mit folgendem Kommando \u00fcberpr\u00fcft werden kann.<\/p>\n\n\n\n
    gpg --version<\/code><\/pre>\n\n\n\n
    Sollte gpg<\/code> noch nicht installiert sein, kann das mit folgendem Befehl nachgeholt werden.<\/p>\n\n\n\n
    sudo apt install gpg<\/code><\/pre>\n\n\n\n
    Ob auf den Nitrokey zugegriffen werden kann, zeigt der folgende Befehl.<\/p>\n\n\n\n
    gpg --card-status<\/code><\/pre>\n\n\n\n
    Sollte das Kommando kein Ergebnis zeigen, den Nitrokey kurz ab- und neu einstecken, dann das Kommando wiederholen.

    Wird der Nitrokey korrekt erkannt, meldet er sich mit seinen Statusinformationen.
    Die Zeile Key attributes<\/strong> zeigt, dass auf diesem Nitrokey ECC-Schl\u00fcssel vom Typ Brainpool<\/em> mit einer Schl\u00fcssell\u00e4nge von 512 Bit erzeugt wurden.
    Die Zeile Signature key<\/strong> zeigt den Fingerprint<\/em> des Schl\u00fcssels, den wir sp\u00e4ter zum Verschl\u00fcsseln ben\u00f6tigen.<\/p>\n\n\n\n
    user@deb11:~$ gpg --card-status\nReader ...........: 20A0:4109:0000000000000:0\nApplication ID ...: D1860001242303030005000073C10000\nApplication type .: OpenPGP\nVersion ..........: 3.3\nManufacturer .....: ZeitControl\nSerial number ....: 000082A5\nName of cardholder: [nicht gesetzt]\nLanguage prefs ...: de\nSalutation .......: \nURL of public key : [nicht gesetzt]\nLogin data .......: [nicht gesetzt]\nSignature PIN ....: zwingend\nKey attributes ...: brainpoolP512r1 brainpoolP512r1 brainpoolP512r1\nMax. PIN lengths .: 64 64 64\nPIN retry counter : 3 0 3\nSignature counter : 4\nKDF setting ......: off\nSignature key ....: D5FF 1F24 2453 A3A4 78EF  6512 0635 326F 3446 172F\n      created ....: 2022-09-03 15:10:22\nEncryption key....: B176 C5F5 D1EC 0A34 112B  B31A 435D 90D1 3AF7 460C\n      created ....: 2022-09-03 15:10:22\nAuthentication key: C73D DC31 FEED 2594 9057  433C 0569 A09C 0766 82AC\n      created ....: 2022-09-03 15:10:22\nGeneral key info..: [none]<\/code><\/pre>\n\n\n\n
    Funktioniert der Nitrokey, muss als letzte Vorbereitung noch KeepassXC<\/a> installiert werden. Am einfachsten installiert man es \u00fcber die Paketverwaltung der Linux-Distribution. Bei Debian und dessen Derivaten mit dem Kommando:<\/p>\n\n\n\n
    sudo apt install keepassxc -y<\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
    Erstellen der KeepassXC-Datenbank<\/strong><\/h2>\n\n\n\n
    1. Erster Schritt: <\/strong>Als Passwort f\u00fcr die KeepassXC-Datenbank, erstellen wir eine zuf\u00e4llige Zeichenfolge mit dem Kommandozeilen-Tool keepassxc-cli<\/a>.<\/p>\n\n\n\n
    keepassxc-cli generate --length 64 -l -U -n | gpg --encrypt --recipient 3446172F --output ~\/keepassxc-pw_encrypted.gpg<\/code><\/pre>\n\n\n\n
    Das Kommandozeilen-Tool von KeepassXC `keepassxc-cli` erzeugt eine zuf\u00e4llige Zeichenfolge (`generate`) mit einer L\u00e4nge von 64 Zeichen (`–length 64`). Die Zeichenfolge enth\u00e4lt Kleinbuchstaben (`-l` lowercase characters), Gro\u00dfbuchstaben (`-U` uppercase characters) und Ziffern (`-n` numbers). Sonderzeichen (`-s` special characters) sollte man nicht im Datenbank-Passwort verwenden. Diese k\u00f6nnten das sp\u00e4ter verwendete Kommando `printf` aus dem Tritt bringen.

    Das Ergebnis wird \u00fcber das Pipe-Kommando, den senkrechten Strich (`|`), an das Verschl\u00fcsselungsprogramm `gpg` \u00fcbergeben. Dieses verschl\u00fcsselt (`–encrypt`) die \u00fcbergebene Zeichenfolge mit dem \u00f6ffentlichen Schl\u00fcssel des Nitrokeys (`–recipient 3446172F`). Gespeichert (`–output`) wird das Ergebnis im Homeverzeichnis des angemeldeten Nutzers (`~\/`) in der Datei `keepassxc-pw_encrypted.gpg`.

    (Die ID hinter `–recipient` ist der Wert in der Zeile \u201eSignature key\u201c des Kommandos `gpg –card-status`, ohne Leerzeichen. Man muss nicht unbedingt die gesamte ID angeben, es gen\u00fcgen die letzten 8 Zeichen, sofern diese innerhalb des gpg-Keyrings eindeutig sind.)

    Mit folgenden Befehl k\u00f6nnen Sie das Datenbank-Passwort aus der verschl\u00fcsselten Passwort-Datei auslesen. Dabei wird die Benutzer-PIN des Nitrokeys abgefragt.<\/p>\n\n\n\n
    gpg --decrypt ~\/keepassxc-pw_encrypted.gpg<\/code><\/pre>\n\n\n\n
    Ich empfehle dringend, das unverschl\u00fcsselte Datenbank-Passwort auszudrucken und an einem sicheren Ort aufzubewahren. Sollte einmal der Nitrokey verloren oder kaputt gehen, ist dieser Ausdruck die einzige M\u00f6glichkeit, die Keepass-Datenbank zu \u00f6ffnen.<\/strong>

    Bitte speichern Sie keinesfalls das unverschl\u00fcsselte Datenbank-Passwort auf Ihrer Festplatte. Dies w\u00e4re ebenso so unsinnig, wie den Schl\u00fcssel Ihrer Wohnungst\u00fcr unter die Fu\u00dfmatte zu legen. Erschwerend kommt hinzu, dass bei modernen SSD-Laufwerken, Dateien nicht zuverl\u00e4ssig unwiederbringlich gel\u00f6scht werden k\u00f6nnen.<\/strong>

    2. Zweiter Schritt:<\/strong>
    Mit der verschl\u00fcsselten Passwort-Datei wird die Keepass-Datenbank erstellt.<\/p>\n\n\n\n
    printf \"`gpg --quiet --decrypt ~\/keepassxc-pw_encrypted.gpg`\\n`gpg --quiet --decrypt ~\/keepassxc-pw_encrypted.gpg`\" | keepassxc-cli db-create -p ~\/keepassxc-datenbank.kdbx 2> \/dev\/null<\/code><\/pre>\n\n\n\n
    Die Befehlszeile sieht verwegen aus, ist aber relativ schnell erkl\u00e4rt:<\/p>\n\n\n\n
    Die Keepass-Datenbank wird mit dem Kommando am Ende der Befehlszeile erstellt.<\/p>\n\n\n\n
    keepassxc-cli db-create -p ~\/keepassxc-datenbank.kdbx<\/code><\/pre>\n\n\n\n
    `keepassxc-cli` erstellt (`db-create`) eine Datenbank mit Namen `keepassxc-datenbank.kdbx` im Home-Verzeichnis des Benutzers. (Der Datenbankname ist nat\u00fcrlich frei w\u00e4hlbar). Gesch\u00fctz wird die Datenbank mit einem Passwort (`-p`).

    F\u00fcr sich alleine eingegeben, w\u00fcrde `keepassxc-cli` an der Konsole auf die Eingabe des Datenbank-Passworts durch den Benutzer warten. Wir wollen das Datenbank-Passwort aber nicht manuell eingeben, sondern die im ersten Schritt erstellte Zeichenfolge als Passwort \u00fcbergeben. Dies erledigt das folgende Befehlsfragment.<\/p>\n\n\n\n
    `gpg --quiet --decrypt ~\/keepassxc-pw_encrypted.gpg`<\/code><\/pre>\n\n\n\n
    Es entschl\u00fcsselt (--decrypt<\/code>) die Passwortdatei keepassxc-pw_encrypted.gpg<\/code> mit dem geheimen Schl\u00fcssel des Nitrokeys und gibt das Ergebnis dieser Aktion (also das unverschl\u00fcsselte Datenbank-Passwort) als Zeichenkette zur\u00fcck. Der Schalter (--quiet<\/code>) sorgt daf\u00fcr, dass nur das unverschl\u00fcsselte Datenbank-Passwort \u00fcbergeben wird und nicht zus\u00e4tzlich die Metadaten der Passwortdatei. Die \u201eBackticks\u201c, die nach links kippenden Hochkommata (), sorgen daf\u00fcr, dass das Resultat des Befehls und nicht das Befehlsfragment selbst als Argument zur\u00fcckgegeben wird. Dass<\/code>gpgden geheimen Schl\u00fcssel des Nitrokeys f\u00fcr die Entschl\u00fcsselung ben\u00f6tigt und nicht irgendeinen anderen, liest<\/code>gpgaus den Metadaten von<\/code>keepassxc-pw_encrypted.gpg`.<\/p>\n\n\n\n
    Wie bei Passwortdefinitionen \u00fcblich, erwartet auch keepassxc-cli<\/code> zweimal nacheinander die Eingabe des Passworts. Darum ist das Befehlsfragment zur Entschl\u00fcsselung der Passwortdatei zweimal angegeben, getrennt durch das Steuerzeichen \u201eNew Line\u201c (\\n<\/code>), welches das Dr\u00fccken der Eingabetaste simuliert.<\/p>\n\n\n\n
    printf<\/code> ist ein Kommando zum Formatieren von Zeichenketten. Hier bringt es alles, was zwischen den doppelten Anf\u00fchrungszeichen („) steht in die erforderliche Form und \u201epiped\u201c es als Passworteingabe zu keepassxc-cli<\/code>.<\/p>\n\n\n\n
    Die Sequenz ganz am Ende ist rein kosmetischer Natur.<\/p>\n\n\n\n
    2> \/dev\/null<\/code><\/pre>\n\n\n\n
    Sie schickt nichtssagende Fehlermeldungen zum \u201eNull-Device\u201d, also ins Daten-Nir\u00adwa\u00adna.
    Die Befehlszeile zum Erstellen der Keepass-Datenbank meldet dann nur noch die erfolgreiche Ausf\u00fchrung.<\/p>\n\n\n\n
    Successfully created new database<\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
    \u00d6ffnen der Keepass-Datenbank<\/h2>\n\n\n\n
    3. Dritter Schritt:<\/strong> Folgende Befehlszeile \u00f6ffnet die Keepass-Datenbank mit Hilfe des Nitrokeys. Abgefragt wird dabei nicht das Datenbank-Passwort, sondern die Benutzer-PIN zum Entsperren des Nitrokeys.<\/p>\n\n\n\n
    gpg --decrypt ~\/keepassxc-pw_encrypted.gpg | keepassxc ~\/keepassxc-datenbank.kdbx --pw-stdin<\/code><\/pre>\n\n\n\n
    Die mit dem Nitrokey entschl\u00fcsselte Passwort-Datei wird an KeepassXC \u00fcbergeben und die Keepass-Datenbank damit ge\u00f6ffnet.<\/p>\n\n\n\n
    \"\"<\/figure>\n\n\n\n
    <\/p>\n\n\n\n
    <\/p>\n\n\n\n
    Erg\u00e4nzungen aus dem Forum<\/strong><\/p>\n\n\n\n
    Frage:<\/strong>
    Ich verwende KeepassXC aber auch auf einem Android Handy bzw. Android Tablet.
    Wie \u00f6ffne ich die Datenbank-Tabelle dann dort?
    Ist das \u00fcberhaupt m\u00f6glich?
    Antwort:<\/strong>
    Prinzipiell sollte das mit dem Nitrokey 3 NFC m\u00f6glich sein, da dieser sich via NFC (Near Field Communication) per Funk mit dem Handy verbinden kann.
    Leider ist der Nitrokey 3 noch nicht lieferbar, darum konnte ich das noch nicht testen.<\/p>\n\n\n\n
    Frage:<\/strong>
    Generelle Frage zu KeepassXC? Ich habe bis jetzt noch nie mit KeepassXC gearbeitet. Meine Accounts die ein Passwort erfordern, stehen auf einer Handgeschriebenen Liste, die sicher aufbewahrt wird. Grob gesagt sind es etwa 15 Accounts, die unterschiedliche Passw\u00f6rter haben. Die meisten habe ich im Kopf und die sind zwischen 12 und 16 Zeichen. Die Konzentration l\u00e4\u00dft aber manchmal etwas nach und ich muss auch mal spickeln\u2026
    Meine einzige Frage w\u00e4re jetzt, denn KeepassXC Manager nutzen und die Daten f\u00fcr die Accounts nicht auf der Festplatte des benutzten Rechners selbst abspeichern, sondern auf einem USB-Stick, bzw. externer Festplatte. Dieses Video zum KeepassXC ist mir aufgefallen und hat f\u00fcr mich den Eindruck das es sich hierbei um ein viel genutztes Programm handelt. Ich war all die Jahre immer der Meinung, das Passw\u00f6rter auf einem Rechner nichts zu suchen haben. Egal in welcher Form? Bin damit seit 25 Jahren immer gut gefahren.
    Vielleicht sollte ich daran auch nicht r\u00fctteln\u2026
    Antwort:<\/strong>
    Meine Meinung dazu:
    ich bin ganz und gar nicht daf\u00fcr das man Passw\u00f6rter auf einem externen Medium, sei es jetzt ein USB Stick, Festplatte oder auch nur einem Zettel (dieser ist ja die unsicherste L\u00f6sung) speichert.
    Wenn eben jemand in Besitz dieser Medien gelangt hat er \/sie lange Zeit zu versuchen das Passwort zu knacken und bei einem Zettel besteht ja gar keine Passwort M\u00f6glichkeit.
    Wenn schon speichern dann eben mit einem sehr sicheren Passwort (mindestens 16 Zeichen) eben auf dem Rechner den ich nutze.
    Ich selbst habe es in einer Cloud (nat\u00fcrlich sage ich hier jetzt nicht in welcher) gespeichert. Damit kann ich eben mit all meinen Ger\u00e4ten von \u00fcberall darauf zugreifen.
    Weiters bietet KeepassXC auch die M\u00f6glichkeit, mittels der Browser-Erweiterung, viele Anmeldungen bzw. Passwort-Eingaben zu automatisieren.
    …
    Eine Alternative zum Zettel, f\u00fcr das Speichern von Passw\u00f6rtern, w\u00e4re eventuell der \u201eNitrokey Storage 2\u201d (https:\/\/www.nitrokey.com\/de#comparison<\/a>).
    Dieser enth\u00e4lt einen verschl\u00fcsselten Datenspeicher. Ein Nachteil ist allerdings der hohe Preis von \u00fcber 100 Euro.
    <\/p>\n\n\n\n
    Erstver\u00f6ffentlichung: Sa 24. Sep 2022, 21:04, Rupert<\/strong><\/p>\n
    \r\n    
    \r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    2    <\/span>\r\n<\/div>
    \r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
    Eines vorneweg: Neben der Inbetriebnahme des Nitrokeys, sind nur drei der nachfolgenden Befehlszeilen wichtig. Zwei, zum Erstellen der KeepassXC-Datenbank (1., 2.) und eine, um dieselbe zu \u00f6ffnen (3.). Da ich, insbesondere beim Thema Verschl\u00fcsselung, der Meinung bin, man sollte genau wissen, was man tut, ist das Wiki etwas umfangreicher geworden, als urspr\u00fcnglich geplant. Einf\u00fchrung Mittlerweile […]<\/p>\n","protected":false},"author":95,"featured_media":3441,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72],"tags":[],"class_list":["post-3427","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3427","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/95"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=3427"}],"version-history":[{"count":4,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3427\/revisions"}],"predecessor-version":[{"id":10389,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3427\/revisions\/10389"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/3441"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=3427"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=3427"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=3427"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}