“login.keychain”的异地备份

3

我正在使用Keychain.app来管理我的所有（网站）密码，我也使用“密码助手”来生成安全的随机密码。

但显然我是偏执，我的笔记本电脑丢失或损坏，我正在使用我的所有密码，所以我正在寻找一个安全，舒适的备份选项。

特别是，备份必须是立即的（因为我正在添加新密钥或编辑现有密钥）。这可以通过注册启动代理来完成。

此外，存储应该在场外。理想情况下，这意味着Dropbox。但我是偏执狂：他们的存储可能是加密的，但理论上他们仍然可以访问我的数据。

现在，钥匙串无论如何都是加密的。但这种加密安全吗？我可以依靠这个并将备份上传到基本上公共存储吗？

backup keychain dropbox

— 康拉德鲁道夫
source

我将添加一个关于dropbox的说明。没有人质疑他们加密文件，但有些人对DropBox员工被禁止访问文件的政策（通过检索他们为您的文件存储的密钥并将其应用于您的文件）以及他们能够和将来的事实感到困惑。当律师或政府提出要求时，请这样做。DropBox与人类设计和控制的任何东西一样安全。

— bmike

@bmike Dropbox基本上充当托管代理：他们有能力并愿意向“授权”代理机构提供数据。我从根本上反对这个概念。现代安全背后的整个想法是不信任每个人，特别是政府，以及围绕托管的反对的许多现代安全中心。对某些人来说，这似乎是一个小问题，但我认为这是一个基本的民权问题，而忽略它会破坏它。

— 康拉德鲁道夫

@bmike当然。目标仍然是尽量减少这种情况。FWIW在德国（我居住的地方）的情况并不那么可怕。例如，ISP不保存流量数据，因此无法提供此信息。

— 康拉德鲁道夫

您的ISP，任何托管服务以及任何有收入的软件供应商都有能力并愿意向您的“授权”代理机构提供您的数据 - 通常不会通知您。我们只能选择我们存储数据的国家/地区以及我们存储财产的国家/地区。我并不反对你的前提，但认为Dropbox并不比其他选项更差或更好。即使PirateBay已经破坏了用户的IP /电子邮件，也很容易破解密码的MD5哈希。上网让你更加不安全，没有办法解决这个问题。

— bmike

5

1Password是您可能感兴趣的产品。似乎在速度，异地和安全存储方面打勾所有方框。此外，它还允许您在所有设备上使用它（iPhone，iPad等）。

— robzolkos
source

这看起来很不错，但我不确定如果所有功能都可用，我还想花40美元。特别是，许多（不可否认，非常好看！）功能，如“Go＆Fill”或设备同步对我来说并不感兴趣。

— 康拉德鲁道夫

2

1Password的+1（更像是+8，因为它甚至作为一个独立的产品真的很棒） - 密码存储比Keychain更快更精致。它们也适用于Dropbox，所以如果你对他们的安全策略（这是关于你会从大多数试图保护/加密你的数据的消费者网站获得的内容）都可以，那么单独使用mac软件的时间和金钱可能更便宜比另一个备份解决方案假设您不需要在异地备份其他任何东西。

— bmike

+1我是Mac应用程序“junkie”，我认为1Password是我使用的最重要的应用程序。

— 奥斯汀

2

我最终使用了加密卷和Dropbox。以下是分步指南（假设已安装Dropbox）：

在中创建加密的volumne Disk Utility.app，并将图像文件保存在Dropbox文件夹中。
1. 打开“磁盘工具”应用程序。
2. 添加新磁盘映像：
3. 将文件保存为Dropcha文件夹中的“Keychain”（扩展名将自动添加），并输入以下信息：
4. 按“创建”后，系统会要求您提供密码：
将volumne文件添加到您的登录项目，以便在登录时自动挂载该映像。
1. 打开系统偏好设置，转到帐户首选项。
2. 转到“登录项”选项卡。
3. 将Keychain.sparseimage文件从Dropbox文件夹拖放到“登录项”列表中：

创建一个启动代理，监视密钥链中的更改并将其复制到加密卷中。

打开终端（例如Terminal.app）。
切换到启动代理路径： cd ~/Library/LaunchAgents/

在该文件夹中创建一个文本文件（例如使用vim），命名该文件net.madrat.utils.keychain-sync.plist并将以下内容粘贴到文本文件中：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>net.madrat.utils.keychain-sync</string>
    <key>OnDemand</key>
    <true/>
    <key>ProgramArguments</key>
    <array>
        <string>/bin/cp</string>
        <string>/Users/USERNAME/Library/Keychains/login.keychain</string>
        <string>/Volumes/Keychain/</string>
    </array>
    <key>RunAtLoad</key>
    <false/>
    <key>StartInterval</key>
    <integer>1800</integer>
    <key>UserName</key>
    <string>USERNAME</string>
    <key>WatchPaths</key>
    <array>
        <string>/Users/USERNAME/Library/Keychains/login.keychain</string>
    </array>
</dict>
</plist>

（替换所有出现的USERNAME登录用户名。）

要点：此文件的文件名必须与Label字符串以及.plist扩展名相对应。如果你改变了，你也必须改变另一个。

激活并测试启动代理。
1. 在终端中，执行launchctl load net.madrat.utils.keychain-sync.plist。启动代理现已激活。
2. 通过向钥匙串添加新密钥来测试代理，并观察Dropbox是否更新了Keychain.sparseimage文件。

— 康拉德鲁道夫
source

对@barbaz提出了使用加密OS X卷的想法。

— 康拉德鲁道夫

即使我仍然认为要求被抢劫，这确实是一个非常优雅的解决方案！;）

— cregox 2011年

@Cawas我非常有信心现代AES加密不可破解。这怎么被要求抢劫？

— 康拉德鲁道夫

我喜欢考虑最终的措施，几乎是乌托邦，如果你将...“现代[把你的技术放在这里]”给一个黑客就像一个拥有最技术安全的银行存钱给强盗。你真的可以说没有人能打破它吗？好吧，在我看来，如果我希望信息得到保障，我知道它的唯一方法就是如果没有人，我的意思是没人，就知道了。AES不是由我制作的，所以有人知道。

— cregox 2011年

@Cawas你似乎对现代密码术有严重的误解。你所倡导的被称为“默默无闻的安全”，安全专家普遍承认，这一概念从根本上被打破：它不起作用。AES及相关措施将在未来被打破，他们可能实际上已经被打破，但这个概率是多少（！）比你默默无闻将由专门的攻击者被刺穿小。

— 康拉德鲁道夫

2

Dropbox目前不支持“监视任何文件夹”，因此您必须组装第二个脚本或使用DropLink（Twitter上的@ dr0plink）等工具将文件复制到它所监视的一个文件夹中。这更复杂，更容易失败。

CrashPlan是一个更好的解决方案，因为它可以让你观看特定的文件夹（或整个驱动器）。这不太可能破坏，并且让密钥链将文件存储在它喜欢的位置。

您可以随身携带空间或设置自己的场外存储空间并免费使用该软件。还有很多其他类似于CrashPlan的产品，但由于功能，价格和支持，它是我使用和选择的产品。

不要忘记，MobileMe将允许您将这些钥匙串项目同步到云端。在您必须支付年费之前，您可以免费评估一段时间。

您将需要进行一些研究 - 正确地进行加密是非常复杂的。PGP 在基础知识方面有一些很好的引子，但你希望有人花时间来解释他们的经验，而不是过度承诺。此外 - 如果您可以自己进行加密，您的密钥就在您的控制之下，因此其他人也不会觉得有意释放它们。这是仅依赖Dropbox加密的地方让一些人在将数据发送到他们的Dropbox文件夹之前没有首先加密的地方感到失望。

没有什么是完全安全的。我试图通过使用某人的工具来缓解这种情况，这些工具可以及时修补漏洞并让我知道一旦修补了漏洞，我是否需要升级。我也试图充分了解幕后发生的事情，所以我不会犯错误，就像信任错误的密钥签名权威一样。

好消息是所有这些产品都有免费试用，所以你可以在花钱之前看看什么效果最好。

— bmike
source

我已经使用启动守护程序监视我的文件以进行更改并执行自动Dropbox备份，这对我来说不是问题。但CrashPlan看起来很棒。也是MobileMe的+1，我从未考虑过。

— 康拉德鲁道夫

我非常喜欢launchd - 它非常棒，不需要hack / grok fseventsd，但有一个整洁而强大的包装器来启动脚本。

— bmike

+对于crashplan。我和Dropbox一起使用它很棒。

— cregox 2011年

-1

建议

我自己真的很关心阻止人们进入。我只是做尽可能多的备份，因为这是我唯一考虑的数据安全性。包括在线和离线的所有内容。但这并不是说我不会非常努力地阻止任何人进入任何地方的问题。

如果我像你一样偏执，我不相信加密，我会用自己的方式将它存储在HTML甚至TEXT中，然后将其与许多其他东西一起复制。这个想法是隐藏密码，但只有你知道要寻找什么。拿一本数字书或其他东西，只做一个你知道的简单规则，然后用它作为你的密码。例如：

快速的棕色狐狸跳过懒狗......然后死了！

这里的密码可能是：Tbjtd.D!2011- 在那里，我甚至添加了年份。最终我习惯了输入它，我甚至不需要再查看引用了。

正如我们所讨论的那样，是的，这是通过默默无闻的安全性，但这只适用于个人。如果你只想在脑海中随意选择一个字符，并且永远不会将其写下来并将其传递给任何人，那么从概念上讲它不是一个更安全的密码，因为它是不可预测的（随机性）。它只需要足够大，以防止计算能力暴力破坏它。就这么简单。

因此，如果你以一种不可预测的方式写下它并添加一个包含所有加密的蜜罐和你已经谈过的东西，但不要在那里添加你的主密码，你只需添加许多最顶层的安全层，同时做一个完美的不可能遵循只对你有意义的道路。在我的建议中写下来的重点只是作为助记设备，所以你可以记住你的密码，你可能会忘记它。

请记住，这是一个非常具体的用例，并不意味着生成数据或加密的安全措施，而是密码。

直接回答

但是如果你想依赖一些加密并且不知道你是否可以信任Keychain.app（我知道我不能），试试开源的KeePassX，这是信任加密的唯一方法，正如我所看到的那样。您可以将它与Dropbox结合使用，并通过相信您的密钥永远不会泄漏来尝试放松您的想法。

我很高兴看到你实际上找到了一个“更好”（至少如果你只使用mac）替代KeePassX（DMG），甚至能够通过LaunchAgents添加一种自动更新方式。其余基本上就是我上面所说的。

没有加密或安全措施几乎可以100％可信任，但如果你不关心对相关数据的关注，并将其集中到一个大保险柜中说“在这里，试试这里，如果你成功打开这个，你得到了一切“考虑到它确实很难打破它。

— cregox
source