Keepass2.x 文件有防暴力破解的机制吗?服务器被人暴力破解了 root 密码,Mypassword.kdbx 文件可能被人拿到了.

[yxjxx]

一直没有太注意服务器的安全,直到看到 https://v2ex.com/t/103610
参看/var/log/auth.log发现被人登陆过,而且我的keepass文件通过dropbox在服务器也有一份.

重要密码已经修改!感谢大家的支招,就不一一回复了.

发生这样的情况主要是我自己的粗心(root密码太简单短的纯数字密码,而且没有禁用密码登陆,dropbox完全没必要同步重要的kdbx文件到服务器根本用不到,kdbx文件的加密不够强等等吧)造成的.

好在没有什么损失.或许登陆root的人也并没有意识到我的Mypassword.kdbx文件,只是以防万一...


自己还是很菜鸟要多学习啊!!!

希望这个帖子也能给像我一样不注意安全的人以警醒吧,那也算是传递正能量了 :)

[cdfmr]

无论如何，把重要帐号的密码改了再说。

[lsylsy2]

keepass本身有密码加密的

这个地方有加密次数设置，你要是没设……赶紧换密码

[46fo]

不能防暴力吧。。。 但是没这么快破吧 。。。趁现在赶紧改密码啊

[46fo]

@lsylsy2 这个干吗的？

[sdysj]

基本不用担心，无论设不设二楼的参数。

[lsylsy2]

@sdysj 如果没设我的参数的话，还是有可能直接穷举密码的吧

[yxjxx]

@cdfmr
@lsylsy2 没有设置...
@xdeng 正在修改密码中...

[lsylsy2]

@yxjxx 简单说，这个参数比如设置成12345，那么你输的密码（比如888）就会被做12345次变换（比如md5这种），这样穷举密码难度会大很多
如果你本身密码很强的话这个不设理论也不会有大问题……不过还是改密码安全

[a2z]

我想知道你的root密码是什么？
我有好几个ssh蜜罐，每天抓的一堆密码都很没创意……

[robbielj]

@lsylsy2 这是个因素，不过不是最重要的吧。最重要的是用了什么key，如果是一个密码外加一个随机文件做复合key，穷举出来的可能性太低了。

[iislong]

@lsylsy2 设置了key transformation值后，移动端能读取吗?

[robbielj]

@iislong 可以，就是打开数据库会慢些，我用minikeepass。 所以我设了个适合一些的数值。

[LU35]

@yxjxx 没有设置登录key吗？

[niseter]

最简单好使的：
1.换证书登陆
2.强密码+fail2ban

都可以啊

[LazyZhu]

唉，既然都在用KeePass了，咋不装个KeeAgent，私匙放在KeePass的附件里面，然后服务器设置成PubkeyAuthentication only，Putty都不用设置，自动应用KeePass的私匙的。

[yylzcom]

我是密钥文件+密码登录的 他没拿到密钥文件，来穷举破解试试吧 = =#

[yxjxx]

@cdfmr
@lsylsy2
@xdeng
@sdysj
@a2z
@robbielj
@iislong
@LU35
@niseter
@LazyZhu
@yylzcom 感谢以发送!

[aku]

用DenyHosts，比fail2ban简单，不用配置就可以用了，还有不断更新的公共黑名单
http://denyhosts.sourceforge.net/
一般的源里都有