KeePass: Die Schlüsseltransformationseinstellungen der Datenbank sind schwach

Nach einem Update von KeePass auf die neueste Version kommt es vor, dass man beim Öffnen der Passwortdatei *kdbx die folgende Meldung abhängig von der Spracheinstellung entweder auf Deutsch erhält:

Die Schlüsseltransformationseinstellungen der Datenbank sind schwach

Oder im Fall von englischen Spracheinstellungen die Meldung

Key transformation settings of the database are weak

erhält.

Was hat es damit auf sich?

Klickt man den Link “More information” bzw. “Weitere Informationen” an, dann gelangt man auf eine englischsprachige Erklärung auf der KeePass-Webseite.

Demnach erhöht diese eingeführte Schlüsseltransformation die Sicherheit, insbesondere bei Brute-Force-Angriffen und Wörterbuchangriffen. Der Hauptschlüssel des Benutzers wird mit einer speziellen Ableitfunktion inklusive einem zufälligen “Salt” transformiert. Dadurch wird es wesentlich schwerer das Passwort durch Wörterbuchangriffen zu knacken und der Rechenaufwand wird extrem erhöht.

Da der Rechenaufwand für die Verschlüsselung dadurch erhöht wird, kann es passieren, dass die Passwort-Datenbank langsamer öffnet auf Geräten mit geringerer Rechenleistung, wie z.B. schwachbrüstige Smartphones.

Wie damit umgehen?

Wessen Datenbank also bisher ohne diese “Salt-Ableitfunktion” läuft, wird darauf hingewiesen, dass man das machen sollte.

Ich habe einfach auf den Button “Ja” bzw. “Yes” geklickt. Danach passiert gar nix weiter. Man speichert seine Passwortdatei einfach und kann damit so weiter arbeiten wie zuvor. Damit hat man der Empfehlung Genüge getan und kann der Meinung sein, dass diese internen Anpassungen die Passwort-Datenbank ein Stück weit sicherer gemacht haben.

Unter Datei => Datenbank-Einstellungen im Reiter “Sicherheit” kann man die Einstellungen selbst vornehmen und konfigurieren. Vergleicht man diese mit einer Passwort-Datenbank,  wo man die Meldung “Key transformation settings of the database are weak” weggeklickt hat, sieht man, dass diese nur 6.000 Iterationsschritte hat und eine Passwort-Datei, wo man die Meldung bestätigt hat ganze 600.000 Iterationen aufweist.

Je mehr Iterationen, desto sicherer, aber auch desto rechenaufwändiger. Deswegen muss man abwägen, was hier ein gutes Mittelmaß zwischen der Sicherheit und der Rechenleistung der Geräte, auf denen die Passwortdatei geöffnet werden soll, ist.