Weitere Methoden und abschließende Gedanken
Neben den hier vorgestellen Methoden gibt es außerdem natürlich die Möglichkeit, externe Kennwort-Dienste zu verwenden, wie z.B. den Azure Key Vault. Hierfür stellt Microsoft im Azure-Modul eine Reihe von Cmdlets zur Verfügung, die den Zugriff auf Secrets (Kennwörter, private Schlüssel undd Zer-
tifikate) in Azure sehr einfach machen. Ich will auf diese Methode aus zwei Gründen aber nicht im De-tail eingehen - zum einen hat Microsoft das Selber ganz wunderbar beschrieben, zum anderen gibt es hier das Henne-Ei-Problem - der Zugriff auf den Key-Vault benötigt nämlich eine Initiale Authentifizie-rung, die wiederum erfordert, dass man das Kennwort des Azure-Accounts irgendwo gespeichert hat. Und hierfür benötigt man dann eine der oben beschriebenen Methoden. Das grundsätzliche Problem ist also, dass man initial immer einen Weg braucht, um den Start-Schlüssel, mit dem alle folgenden Infor-mationen gesichert sind, abzulegen. Und egal, welche von den oben beschriebenen Methoden Ihnen am Besten zusagt, am Ende landen Sie immer wieder bei der Microsoft Data Protection API. Einzig mit KeePass haben Sie die Möglichkeit, einen zweiten Faktor in die Authentifizierung einzubringen, so dass Sie sich nicht zu 100% auf die DPAPI verlassen müssen. Denn die DPAPI ist eine Abstraktionsschicht, die die Benutzung von kryptografischen Verfahren für Benutzer und (!) Programmierer einfacher ma-chen soll. Aber diese Abstraktion bringt auch Sicherheitsprobleme mit sich, denn sobald man Zugriff auf das Benutzerkonto bekommt, kann man sich auch den Master-Key aneignen. Wenn man Zugriff auf das AD bekommt, kann man sich sogar den Universalschlüssel aneignen, mit dem die Master-Keys aller Benutzer zu entschlüsseln sind. Sollte man deshalb die DPAPI meiden? Wohl kaum, denn wenn der Master-Key in unbefugte Hände gelangt, ist technisch gesehen eh alles hinüber, da alle anderen Sicher-heitsverfahren wie z.B. Public/Private-Key-Verschlüsselung sich ebenfalls auf die DPAPI verlassen. Im Prinzip ist es also egal, welche der obigen Methoden Sie verwenden. Müssen Sie nur ein einziges Cre-dential schützen, ist es also durchaus sinnvoll, das Objekt einfach als CliXml-Datei zu speichern. Müs-sen Sie viele Schlüssel verwenden, nutzen Sie den Windows Key Vault, denn der Zugriff braucht keine zusätzlichen Module oder Abhängigkeiten und ist mit dem .NET-Framework mit wenigen Zeilen Code implementiert. Wenn Sie mehr Sicherheit und Komfort wollen und Ihnen die Abhängigkeiten egal sind, verwenden Sie PoshKeePath. Den Credential Vault würde ich nicht mehr verwenden, da er ein zusätzli-ches Modul oder gute C#-Kenntnisse voraussetzt und keine weiteren Vorteile mit sich bringt.
Index