Приложение на iOS

[Alexey Todirash]

 

  On 9/28/2023 at 7:56 AM, MikeWaz said:

Объясните тогда, пожалуйста, как используя AES зашифровать базу одним ключом, а расшифровать каким то токеном?

Expand  

Токен = Ключу, которым шифруем базу

  On 9/28/2023 at 7:56 AM, MikeWaz said:

Даже не так. Получается, что Вы храните на устройстве информацию для расшифровки базы. А «мы не храним мастер пароль» это лишь «игра» в термины

Expand  

Тут нет противоречия. "Мы не храним мастер пароль" значит, что продукт, как и Лаборатория Касперского не хранят у себя пароль/токен/ключ, которым можно расшифровать вашу базу. 

Данные из Keychain доступны продукту после того, как ОС подтверждает, что вы это разрешили.

Отмечу, что разблокировка по биометрии не является обязательной. Решение подключать ее или нет остается за пользователем. 

[MikeWaz]

  On 9/26/2023 at 7:06 AM, Alexey Todirash said:

на базе главного пароля мы создаем токен, которым шифруем базу, затем этот токен сохраняется в системном защищенном хранилище

Expand  

Сначала вы создаете токен на базе пароля, а потом:

  On 9/28/2023 at 12:05 PM, Alexey Todirash said:

Токен = Ключу

Expand  

Предположим, что есть некий сгенерированный пароль для базы(ключ шифрования), который шифруется мастер паролем и хранится на устройстве. При такой схеме не получится тогда разблокировать хранилище по faceid (ключ же шифрован мастер-паролем)

Так же:

  On 9/28/2023 at 12:05 PM, Alexey Todirash said:

что продукт, как и Лаборатория Касперского не хранят у себя пароль/токен/ключ, которым можно расшифровать вашу базу

Expand  

https://support.kaspersky.ru/help/KPM/AndroidTR88/ru-RU/153892.htm

...Для защиты ваших данных Kaspersky Password Manager не хранит мастер-пароль на ваших устройствах и не передает его в облачное хранилище...

Из Ваших же ответов выше получается, что храните. На устройстве.

Про облачное хранилище: Если никуда не передаете как же тогда происходит шифрование в веб версии? 

https://my.kaspersky.com/MyPasswords#/portal/pages/kpm/all

Edited September 28, 2023 by MikeWaz

[Alexey Todirash]

  On 9/28/2023 at 2:48 PM, MikeWaz said:

..Для защиты ваших данных Kaspersky Password Manager не хранит мастер-пароль на ваших устройствах и не передает его в облачное хранилище...

Из Ваших же ответов выше получается, что храните. На устройстве.

Expand  

Хорошо, формулировку мы поменяем. Цель данного предложения не закрыть все возможные сценарии использования продукта, а предупредить, что у нас нет возможности восстановить пароль и его утеря приведет к утери данных. Если вас беспокоит сценарий использования биометрии для расшифровки пароля, рекомендую ее отключить и использовать для входа мастер-пароль. 

  On 9/28/2023 at 2:48 PM, MikeWaz said:

Про облачное хранилище: Если никуда не передаете как же тогда происходит шифрование в веб версии? 

Expand  

Точно также, как и в других клиентах. Разница только в том, что веб клиент использует не локальную базу, а ту, которая хранится в облаке,  ну и использует другой язык программирования. 

Если упрощенно: веб клиент находит в облаке зашифрованный контейнер, который ассоциирован с вашей учетной записью, вы вводите ваш мастер-пароль, веб клиент расшифровывает его и отображает на веб странице ваши данные.

[MikeWaz]

  On 9/29/2023 at 1:21 PM, Alexey Todirash said:

у нас нет возможности восстановить пароль и его утеря приведет к утери данных

Expand  

Поправьте если не так:

База и все что в ней не шифруется мастер-паролем, а шифруется ключом созданным на основе мастер-пароля 

Без использования биометрии:

После ввода мастер-пароля генерируем ключ от базы и открываем ее.

Используя биометрию(на примере apple): 

Отдаем ключ от базы на хранение в keychain (https://support.apple.com/en-gb/guide/security/secb0694df1a/1/web/1). После прохождения faceId так же открываем базу.

Тогда, если включена биометрия есть и возможность восстановить хранилище (ключ в явном виде лежит в keychain)?

Это вопрос к тому, что если есть "удобный" функционал разблокировки хранилища по биометрии, почему-бы не добавить и восстановление мастер-ключа с ее же помощью?

 

Edited September 29, 2023 by MikeWaz

[Alexey Todirash]

  On 9/29/2023 at 9:24 PM, MikeWaz said:

Тогда, если включена биометрия есть и возможность восстановить хранилище (ключ в явном виде лежит в keychain)?

Это вопрос к тому, что если есть "удобный" функционал разблокировки хранилища по биометрии, почему-бы не добавить и восстановление мастер-ключа с ее же помощью?

Expand  

токен мы формируем на базе пароля через алгоритм pbkdf2, поэтому имея доступ к токену, мы не можем восстановить пароль. 

Но, подключив биометрию, вы можете сбросить пароль не зная его.

[kmscom]

  On 10/6/2023 at 8:32 AM, Alexey Todirash said:

Но, подключив биометрию, вы можете сбросить пароль не зная его

Expand  

Вы говорите про то, что не помня мастер пароль, разблокировать хранилище по биометрии и сменить мастер пароль?

[Alexey Todirash]

  On 10/6/2023 at 10:33 AM, kmscom said:

Вы говорите про то, что не помня мастер пароль, разблокировать хранилище по биометрии и сменить мастер пароль?

Expand  

да

[MikeWaz]

  On 10/6/2023 at 1:12 PM, Alexey Todirash said:

да

Expand  

Так же как везде написано "мы не храним пароль на устройстве", везде пишется, что забыв мастер пароль "все пропадет". Но по факту то нет. Зачем вводить пользователей в заблуждение?

[kmscom]

  On 10/10/2023 at 1:59 PM, MikeWaz said:

Зачем вводить пользователей в заблуждение?

Expand  

какое заблуждение, вы про что?
вы не помните пароль, но у вас есть возможность разблокировать другим способом, вы разблокируете этим способом и меняете пароль. Смена пароля заключается только в вводе нового.
Если вы не можете разблокировать другим способом, то хранилище утеряно, пароль нельзя сменить.

[Alexey Todirash]

  On 10/10/2023 at 1:59 PM, MikeWaz said:

Так же как везде написано "мы не храним пароль на устройстве", везде пишется, что забыв мастер пароль "все пропадет". Но по факту то нет. Зачем вводить пользователей в заблуждение?

Expand  

Я честно не понимаю почему вы так привязались к данной формулировки, которая относится к тому, что мы не можем восстановить мастер-пароль пользователя и помнить его критично для сохранения доступа к данным.

Для нас сохранность пользовательских данных является самым важным приоритетом.

А Face ID/TouchID является опциональным, также это метод, которым мы, как приложение, не можем управлять и который по независимым от нас причинам может перестать работать. У нас уже были прецеденты, когда биометрия не срабатывала. Если мы будем пользователю прямо говорить, что мастер-пароль можно сменить, он его забудет, а биометрия даст сбои - пользователь потеряет свои данные.

Поэтому пока мы не сделаем безопасный и работающий механизм для восстановления доступа к данным пользователя, за который мы будем нести ответственности, мы не будем в явном виде продвигать другие методы.

[kmscom]

  On 10/10/2023 at 2:24 PM, Alexey Todirash said:

Если мы будем пользователю прямо говорить, что мастер-пароль можно сменить, он его забудет, а биометрия даст сбои - пользователь потеряет свои данные.

Expand  

А вы скажите, чтоб он мастер пароль не хранил в в файле в блокноте, чтоб не было претензий (троллинга), что 

  On 10/10/2023 at 1:59 PM, MikeWaz said:

везде написано "мы не храним пароль на устройстве"

Expand  

 

 

[MikeWaz]

  On 10/10/2023 at 2:39 PM, kmscom said:

чтоб не было претензий (троллинга), что 

Expand  

складывается впечатление, что вы не особо сильны в криптографии. Может тогда не стоит вмешиваться? 

  On 10/10/2023 at 2:24 PM, Alexey Todirash said:

Я честно не понимаю почему вы так привязались к данной формулировки, которая относится к тому, что мы не можем восстановить мастер-пароль пользователя и помнить его критично для сохранения доступа к данным.

Expand  

Потому что это называется недокументированные возможности, а их как бы не должно быть в продукте который "за конфиденциальность"

[kmscom]

  On 10/12/2023 at 10:13 AM, MikeWaz said:

складывается впечатление, что вы не особо сильны в криптографии.

Expand  

вы правы, я не силен в криптографии. но в данной теме это и не требуется, а вы так и не доказали, что 

  On 10/10/2023 at 1:59 PM, MikeWaz said:

"мы не храним пароль на устройстве"

Expand  

противоречит положению вещей на самом деле. Давайте, продемонстрируйте, вашу силу в криптографии, докажите, что пароль хранится в устройстве.

 

  On 10/12/2023 at 10:13 AM, MikeWaz said:

Может тогда не стоит вмешиваться? 

Expand  

а вот это уже на мое усмотрение, форум это такая площадка, где каждый имеет право высказаться или обсудить тот или иной вопрос. Если вы хотели пообщаться с кем то, без посторонних, то вы выбрали не тот способ общения.
 

  On 10/12/2023 at 10:13 AM, MikeWaz said:

Потому что это называется недокументированные возможности, а их как бы не должно быть в продукте который "за конфиденциальность"

Expand  

про какие недокументированные возможности речь? что можно подключить разблокировку по биометрии и использовать ее при потере мастер пароля? но биометрия может и не сработать, про ее подключение документировано в описании, и способом смены мастер пароля при его утери, она не является, так как нет гарантий, что она сработает всегда. Вам уже все объяснили, что прецеденты уже были, главное помнить пароль, а не надеяться, что можно положится на биометрию. Это просто дополнительный, именно дополнительный, а не замещающий способ разблокировки, он позволяет ускорить или сделать удобным процесс разблокировки, но если он не сработает, то мастер пароль сработает безусловно и гарантировано, если он будет утерян, вы рискуете потерять доступ к хранилищу навсегда.

Все ваши утверждения, что есть какие то недокументированные возможности восстановить мастер пароль или мастер пароль хранится на устройстве - являются ложью.

[MikeWaz]

  On 10/12/2023 at 10:33 AM, kmscom said:

Все ваши утверждения, что есть какие то недокументированные возможности восстановить мастер пароль или мастер пароль хранится на устройстве - являются ложью.

Expand  

Alexey Todirash Выше ответил на оба вопроса.

Ключ от базы хранится(при включении биометрии) на устройстве - да

Восстановить данные из базы при забытом мастер ключе можно - да

  On 10/12/2023 at 10:33 AM, kmscom said:

так как нет гарантий, что она сработает всегда

Expand  

Зачем тогда делать функцию которая может сработает, а может нет?

 

А вообще, ответ на мой вопрос Alexey Todirash озвучил, дальше это просто мысли вслух