Die Sicherheitsfalle KWallet

Ich empfinde Passwortmanager als eine gute Alternative zu den normalen PostIt-Zetteln, den Ich-Nutze-Überall-Ein-Passwort-Regeln und vor allem der Aktion immer wieder eine Datei mit GPG zu ver- und entschlüsseln. Ein Passwortmanager sollte eine Erleichterung im Alltag sein und den Anwender unterstützen und vor allem schützen.

Vorgeschichte

Unter Debian nutze ich meine eigene selbstgebaute Umgebung. Ich fühle mich dort sehr wohl, aber im Arbeitsleben gibt es so etwas wie den „coroporate desktop“ und ich habe mich für SUSE entschieden. SUSE rennt auch auf den großen IBM-Maschinen, welche ich betreue. Wenn es mal nicht AIX, oder RH ist. Da ich in den 90ern mit dem damaligen noch aus Nürnberg stammenden SuSE anfing habe ich mich eben für jene Distribution entschieden. Die Wahl der Desktopumgebung war eine Situation aus entscheide Dich für den Teufel oder den Belzebub. Nach ein paar kleinen Tests waren die Schmerzensschreie bei KDE leiser und die Wutausbrüche bei Gnome größer. Somit ging ich mit einer gemütlichen Naivität an die Desktopumgebung, da sie mich ja untersützten sollte. Und KDE ist wahrlich keine Fremde für mich. Ich ziehe immer noch Debian mit einem TilingWM vor, aber das soll nun nicht der Gegenstand des Artikels werden.

KWallet

KWallet ist an sich ja ein netter Zauberer für die Sicherheit und so ein Schliessfach, welches ich noch in Einzelfächer unterteilen kann ist ja im Grunde ein wirklich Gute Idee. KWallet bietet die Möglichkeit ein Masterpasswort anzulegen und dann verschlüsselt für jede Anwendung meine wichtigen Daten abzuspeichern. Kommt eine Passwortanfrage, oder eine Anfrage nach vertaulichen Daten, dann bittet mich KWallet um mein Masterpasswort und übergibt der Anwendung meine Daten. Dies kann natürlich auch eine Anwendung sein, welche nicht der orginalen Desktopumgebung unterliegt, sprich nicht aus dem „Hause“ KDE ist. Um es mal salopp auszudrücken. Natürlich lässt sich auch zeitlich begrenzen wie lange das Masterpasswort im Speicher gehalten werden soll. Dies unterbindet minutiöse Anfragen und entnervt somit den Anwender. Auch kann man KWallet wieder abschalten, dazu gibt es einen Unterpunkt im Menü. Menschen mit kleiner Begeisterung vergeben als neues Passwort einfach keines, welches eigentlich den Tresor ab absurdum führt.
Es gibt da ein nettes kleines Script eines Perlmongers, welches die Passwörter aus KWallet auslesen kann.

Unerfüllte Erwartungen, oder wer will was wann und vor allem wozu?

Erwartungen an einen Passwortmanager sind:

  1. Passwörter sicher verschlüsseln
  2. Informieren wer ein Passwort haben möchte
  3. Informieren warum ein Passwort gebraucht wird
  4. Sich in die Desktopumgebung einfügen

Eine Sache davon erfüllt KWallet gänzlich (4) und bei der anderen kann ich es nicht wirklich sagen (1).
Zu 2 möchte ich doch einfach mal zwei Screenshots bemühen, welche Aussagekräftiger sind, als ein der Situation beschreibender Text

Chrome startet und KWallet fragt nach dem Masterpasswort

Chrome startet und KWallet fragt nach dem Masterpasswort

Warum ist in dem Moment nicht wirklich klar. Ich meine da steht ja Google Chrome möchte, dass die digitale Brieftasche geöffnet wird. Natürlich habe ich unmengen an Links offen, welche Passwörter erfordern:

Ich wüsste schon gerne warum man nun an meine digitale Brieftasche möchte. Aber leider gibt es keine informativen Button für diese Aufgabe. Es könnte vielleicht ein strace helfen, natürlich bei beiden Programmen. Aber das ist absurd. Absolut absurd

Ich wüsste schon gerne warum man nun an meine digitale Brieftasche möchte. Aber leider gibt es keine informativen Button für diese Aufgabe. Es könnte vielleicht ein strace helfen, natürlich bei beiden Programmen. Aber das ist absurd. Absolut absurd

Ich wüsste schon gerne warum man nun an meine digitale Brieftasche möchte. Aber leider gibt es keine informativen Button für diese Aufgabe. Es könnte vielleicht ein strace helfen, natürlich bei beiden Programmen. Aber das ist absurd. Absolut absurd

Absurd

Aber so richtig absurd wird es, wenn man dann mit Google Chrome eine Reise durch das Netz unternimmt. Immer wieder erscheint die Anfrage auf das Neue, wenn sich KWallet nach eingestellter Zeit des Nichtzugriffs schliesst. Ein sehr beruhigendes Gefühl, wenn der Browser auf die „digitale Brieftasche“ im Turnus zugreifen möchte, ohne den Grund zu nennen. Wenn dann noch gleich nach erfolgten Login in KDE diese Abfrage kommt

Der Dienst hätte gerne das Passwort  

Der Dienst hätte gerne das Passwort

Dann ist man wirklich auf der sicheren Seiten, denn der Dienst fragt nach dem Passwort, der KDE-Dienst. Welcher Dienst auch immer das ist. Man nehme einfach mal pstree und schaue sich so die KDE-Dienste an und nimmt einen seiner Wahl.
Es ist auch nicht so, dass ich nicht in das Handbuch schaute ツ
Toll sind auch alle obskure Antworten, welche so in den Foren krassieren.Was man da so alles liest.

Abschliessend

Ich gehe nicht davon aus, dass dies nur mir aufgefallen ist. Ich stelle mir aber die Frage, dass wenn man KDE so mit KWallet verzahnt, warum um Gottes Willen hat man sich nicht darum gekümmert die Sache informativer zu gestalten.
Ist der neue semantische Desktop wirklich so weit von einem Stück simpler Sicherheit entfernt?
Für mich beweist sich das Stück „Sicherheitssoftware“ als Schlangenöl und ich kann es mit gutem Gewissen Niemanden empfehlen. Freuen würde es mich, wenn man KWallet informativer gestaltet und vielleicht auch mit PAM modular verzahnt, denn dann können auch der Fingerabdruckscanner und andere biotmetrische Authentifizierungen für KWallet genutzt werden.
Im Moment ist KWallet für mich nur eine obskure Box mit Freßzettelchen.

Links zu dem Thema:

KDE 4.2 feature plan Kwallet
KWallet KDE 4.2 Overhaul the interface .
KDE Tech Base Projects/Utils/kwallet

 

Das Wasserzeichen auf den Bildern ist die alte Domain auf welchen das Blog einmal lief. Diese ist noch in meinem Besitz und die Screenshots sind nicht gestohlen. Ja, die Frage ist schon aufgekommen

9 Kommentare

Schreibe einen Kommentar

Pflichtfelder sind mit * markiert.