In der heutigen digitalen Welt ist die Sicherheit sensibler Daten von höchster Bedeutung. Insbesondere auf einem Betriebssystem wie Manjaro Linux, das auf Benutzerfreundlichkeit und Flexibilität setzt, ist es entscheidend, effektive Methoden zur Verwaltung von Zugangsdaten und sensiblen Informationen zu haben. Ein gängiges Werkzeug für diese Aufgabe ist ein Passwort-Manager. Während Manjaro standardmäßig den kwalletd5-Dienst als Keyring-Manager verwendet, bietet KeepassXC eine leistungsstarke Alternative.
KeepassXC ist eine Open-Source-Passwortverwaltungslösung, die eine sichere und benutzerfreundliche Möglichkeit bietet, Passwörter zu speichern und zu verwalten. Auch kann man KeePassXC für eine 2 Faktor Authentifizierung (2FA) nutzen. Im Gegensatz zu kwalletd5 ist KeepassXC plattformübergreifend und ermöglicht es den Benutzern, ihre Passwortdatenbanken auf verschiedenen Betriebssystemen zu verwenden. Darüber hinaus bietet KeepassXC erweiterte Funktionen wie die Möglichkeit, Passwortdatenbanken zu verschlüsseln und mit einem Master-Passwort zu schützen.
Inhalt
Einleitung
Ein Keyring (auch als Schlüsselbund oder Passwortspeicher bekannt) ist eine Softwarekomponente, die dazu dient, verschiedene Arten von Zugangsdaten wie Benutzernamen, Passwörter, Zertifikate und andere kryptografische Schlüssel sicher zu speichern und zu verwalten. Keyrings werden oft in Betriebssystemen und Anwendungen verwendet, um sicherzustellen, dass sensible Informationen vor unbefugtem Zugriff geschützt sind.
In einem Linux-System wie Manjaro Linux fungiert der Keyring als zentraler Speicher für Passwörter und andere Authentifizierungsinformationen. Der Keyring-Dienst verwaltet diese Informationen und stellt sicher, dass sie verschlüsselt und nur durch autorisierte Anwendungen oder Benutzer abgerufen werden können.
Der Keyring-Dienst wird häufig von Anwendungen genutzt, um Benutzeranmeldedaten sicher zu speichern und automatisch zu verwalten. Auf diese Weise müssen Benutzer nicht jedes Mal ihre Anmeldeinformationen eingeben, wenn sie auf bestimmte Dienste oder Ressourcen zugreifen möchten. Stattdessen können sie auf den Keyring zugreifen, um die benötigten Informationen abzurufen.
In vielen Linux-Distributionen wie Manjaro Linux ist der Standard-Keyring-Dienst kwalletd5, der mit dem KDE-Desktopumgebungspaket geliefert wird. Alternativ dazu kann jedoch auch KeepassXC als eigenständiger Keyring verwendet werden, insbesondere wenn Benutzer eine plattformübergreifende Passwortverwaltungslösung bevorzugen oder erweiterte Funktionen benötigen, die über den Standard-Keyring hinausgehen.
1. Voraussetzungen
Ich gehe bei dieser Anleitung von folgenden Voraussetzungen aus:
- Ein aktuelles Manjaro Linux in der Distribution “Plasma Desktop” ist installiert
- KeePassXC ist installiert und eine Passwortdatenbank ist vorhanden
- Es ist als Desktopmanager SDDM installiert, wie Default bei Plasma Desktop
- Kein weitere Keyring, wie zum Beispiel Gnome-Keyring ist installiert und aktiviert
2. Einrichtung
Damit ein anderes Programm als Keyring fungieren kann, muss der per Default installierte und laufende kwalletd5 Daemon daran gehindert werden, zu starten. Wenn man in der Konsole folgenden Befehl eingibt, sieht man, dass dieser Prozess läuft:
$ ps -ef |grep kwalletd5
Als Ausgabe bekommt man eine in etwa so aussehende Ausgabe:
dirk 3878 3033 0 08:11 ? 00:00:09 /usr/bin/kwalletd5
Den Prozess zu beenden wird alleine nicht funktionieren, da dieser automatisch neu gestartet wird. Es muss dazu gesorgt werden, dass dieser Prozess erst gar nicht wieder gestartet wird.
2.1 KDE-Passwortspeicher-System deaktivieren
Um den Dienst am starten zu hindern, sind mehrere Schritte notwendig.
Als erstes wird der Passwortspeicher in den Systemeinstellungen deaktiviert. Dazu wird das Tool Systemeinstellungen aufgerufen und auf der linken Seite im Bereich “Persönliche Informationen” den Punkt “KDE-Passwortspeicher” ausgewählt. im rechten Bereich wird dann der Haken bei “KDE-Passwortspeicher-System aktivieren” entfernt, so dass sich anschließend folgendes Bild ergibt:
2.2 Secret Service API aktivieren
Als nächstes muss im Homeverzeichnis die Datei ~/.config/kwalletrc editiert werden:
$ vi ~/.config/kwalletrc
Dort finden sich schon ggf. diverse Blöcke. Sofern der Block [Wallet] vorhanden ist, sollte kontrolliert werden, dass der Wert Enabled auf false gesetzt ist:
[Wallet] ... Enabled=false ...
Und sofern nicht schon vorhanden, muss noch ein weiter Eintrag am Ende hinzugefügt, bzw. entsprechend angepasst werden:
[org.freedesktop.secrets] apiEnabled=true
In meinem Fall sah die Datei anschließend dann wie folgt aus:
[Wallet] Close When Idle=false Close on Screensaver=false Default Wallet=kdewallet Enabled=false First Use=false Idle Timeout=10 Launch Manager=false Leave Manager Open=true Leave Open=true Prompt on Open=false Use One Wallet=true [org.freedesktop.secrets] apiEnabled=true
2.3 Secrets Service API für KeePassXC ändern
Die Datei org.freedesktop.secrets.service, sofern nicht vorhanden, muss angelegt und angepasst werden:
$ sudo vi /usr/share/dbus-1/services/org.freedesktop.secrets.service
Und dort die Datei wie folgt abgeändert werden:
[D-BUS Service] Name=org.freedesktop.secrets Exec=/usr/bin/keepassxc
Besonders der Punkt “Exec” ist wichtig, da könnte ggf. ein andere Keyring eingetragen sein, der durch KeePassXC ersetzt werden muss.
2.4 Rechner neu starten
Jetzt kann der Rechner neu gestartet werden. Anschließend sollte kontrolliert werden, ob der kwalletd5 Dienst noch läuft, sieh dazu Punkt 2 weiter oben. Ansonsten noch einmal die einzelnen Konfigurationspunkte kontrollieren und ggf. anpassen, bzw. korrigieren.
3. KeePassXC konfigurieren
Jetzt kann die Secret-Service-Integration in KeePassXC akitiviert werden. Dazu KeePassXC aufrufen und in die Einstellungen (Entweder über “Werkzeuge” –> “Einstellungen” oder über das Zahnrad in der oberen Leiste) gehen. Dort dann links den Punkt “Secrect-Service-Integration” auswählen und den Haken bei “Integration von KeepassXC in Freedesktop.org Secret Service aktivieren” setzen:
Diese Änderungen mit “OK” bestätigen und die Einstellungen verlassen (Einfach die “Escape” Taste drücken).
Am besten legt man sich hier eine neue Gruppe für den Keyring an. Das ist keine Voraussetzung, aber so trennt man diesen besser von den anderen Kennwort Einstellungen. Dazu unter “Gruppen” auf “Neue Gruppe” klicken, einen Namen vergeben und mit “OK” bestätigen.
Dann weiter in der Menüzeile auf “Datenbank” klicken und den Punkt “Datenbank Einstellungen” auswählen. Dort ebenfalls in der linken Seite auf “Secret-Service-Integration” klicken und auf der rechten Seite den Punkt “Einträge unter dieser Gruppe offenlegen:” auswählen. Dann kann die eben zuvor angelegte Gruppe selektiert werden und mit “OK” abgespeichert werden:
4. Test
Zum testen, ob die Integration funktioniert hat, dient das Kommandozeilentool secret-tool. Damit kann man Einträge im Linux Keyring anlegen, verändern, auslesen und auch löschen.
Um einen Testeintrag anzulegen:
$ secret-tool store --label='Testeintrag' Account Test
Es wird anschließend nach einem Passwort gefragt. Dieses Passwort wird dann in diesen Eintrag hinzugefügt. Es wird also nicht eine Authentifizierung verlangt, sondern nur nach dem Eintrag gefragt, der in das Feld Passwort eingetragen werden soll. Wenn man nun KeePassXC aufruft, bzw. sollte die Datenbank von KeePassXC nicht entsperrt gewesen sein, würde jetzt die Aufforderung zu Entsperrung kommen, findet man den gerade angelegten Eintrag wieder:
Klickt man den Eintrag an, findet man genau die Daten wieder, die man über die Konsole eingegeben hat:
Ein Klick auf der linken Seite unter “Fortgeschritten” zeigt die weiteren Parameter auf:
Möchte man sich über die Kommandozeile jetzt zum Beispiel das Passwort von diesem Eintrag anschauen, so kann man dies wie folgt tun:
$ secret-tool lookup Title Testeintrag
Als Ergebnis bekommt das das Passwort zurück:
test123
Damit ist der Test erfolgreich durch geführt worden.
Wenn man nun zum Beispiel den Browser Chrome starten würde, würde ein weiterer Eintrag hinzugefügt, den Chrome dann für die Entschlüsselung des Chrome-eigenen Passwortspeichers benötigt.
Alle Programme, die einen Keyring unter Linux nutzen können, speichern die Daten nun in KeePassXC ab.
Fazit
Die Wahl des Keyring-Managers unter Manjaro Linux, sei es der standardmäßige kwalletd5-Dienst oder KeepassXC, hängt von den individuellen Bedürfnissen und Sicherheitsanforderungen des Benutzers ab. Beide Optionen bieten Möglichkeiten zur sicheren Verwaltung von Zugangsdaten und sensiblen Informationen, aber sie haben jeweils ihre eigenen Vor- und Nachteile.
Kwalletd5, als Standard-Keyring-Dienst unter Manjaro Linux, bietet eine nahtlose Integration mit der KDE-Desktopumgebung und anderen Anwendungen, die die KDE-Technologie verwenden. Es ist besonders praktisch für Benutzer, die eine integrierte Lösung bevorzugen und keine zusätzliche Software installieren möchten.
Auf der anderen Seite bietet KeepassXC eine plattformübergreifende Passwortverwaltungslösung mit erweiterten Funktionen wie Datenbankverschlüsselung, Master-Passwort-Schutz und Unterstützung für verschiedene Betriebssysteme. Dies macht es zu einer attraktiven Option für Benutzer, die Flexibilität und erweiterte Sicherheitsfunktionen benötigen.
Bei der Entscheidung zwischen den beiden Optionen sollten Benutzer Faktoren wie ihre Präferenzen, ihre Arbeitsumgebung und ihre spezifischen Sicherheitsanforderungen berücksichtigen. Es ist auch wichtig zu beachten, dass die Sicherheit der Passwortverwaltung nicht allein von der verwendeten Software abhängt, sondern auch von bewährten Sicherheitspraktiken wie der Verwendung starker, eindeutiger Passwörter und der regelmäßigen Aktualisierung von Sicherheitsrichtlinien.
Insgesamt bietet Manjaro Linux mit der Flexibilität zwischen kwalletd5 und KeepassXC den Benutzern die Möglichkeit, eine Passwortverwaltungslösung auszuwählen, die ihren individuellen Anforderungen am besten entspricht, und gleichzeitig die Sicherheit ihrer sensiblen Daten zu gewährleisten.
Wenn man seinen Rechner noch weiter absichern möchte, so kann man zusätzlich ein externes Sicherungsmedium in Form eines YubiKeys so einrichten, dass damit die root Rechte abgesichert werden können. Wie dies umgesetzt werden kann, habe ich HIER beschrieben.
Quellen:
https://keepassxc.org/docs/
https://keepassxc.org/docs/KeePassXC_UserGuide
https://wiki.archlinux.org/title/KeePass
