1Password Cloud Keychain mit Dropbox nutzen – sicherer synchro­nisieren im Netz

Sie merken sich nicht die drei Passwörter, die Sie dann überall im Internet wiederverwenden, sondern verwenden einen Passwort-Tresor wie etwa 1Password? Gut. Ansonsten lesen Sie bitte Sicherheit und Produktivität: das Passwort in den Tresor mit 1Password.

1Password hat in der Standardeinstellung nur ein Problem: Wenn Sie mit Dropbox über mehrere Geräte hinweg synchronisieren, dann wird ein Tresor-Format verwendet, das verbesserungswürdig ist. Und nachdem ich Mac, Windows und iPhone verwende, habe ich genau eben einen System-Mix, der das Problem zutage fördert.

Dieser Artikel erläutert, wie Sie das sicher bekommen.

Das Problem: Unverschlüsselte Metadaten auf Dropbox

1Password hat ein altes Format für den Passwort-Tresor, genannt agilekeychain Format, und ein neues Format, genannt Cloud Keychain / OPVault.

Im alten Format sind die Metadaten unverschlüsselt. Das heisst, Ihre eigentlichen Passwörter und Benutzernamen sind zwar sicher verschlüsselt, aber die Information, für welche Website oder Dienst eine Kennung dient, liegt im Klartext vor. Das ist insofern schlecht, weil allein die Information, wo Sie überall angemeldet sind, von Interesse sein kann.

Glücklicherweise verwendet 1Password 5 standardmäßig das neue Format OPVault, das auch die Metadaten verschlüsselt.

Aber:

Wenn mit via Dropbox mit 1Password auf anderen Geräten synchronisiert wird, geht 1Password davon aus, dass mindestens eine Programmversion davon auch ganz alt sein kann und speichert im unsicheren agilekeychain Format.

Das ist schlecht, denn Dropbox verschlüsselt zwar die Datenübertragung, die Firma selbst hat jedoch Zugriff auf Ihre Daten, also auch auf den synchronisierten Passwort-Tresor. Unverschlüsselte Metadaten sind damit nicht akzeptabel.

Kein Dropbox zur Synchronisierung, oder kein 1Password? Nicht gut.

Um das Problem zu umgehen, könnte ich zwei Dinge tun.

1. Nicht 1Password für meine Passwörter verwenden.
2. Nicht Dropbox zur Synchronisierung verwenden.

Ersteres möchte ich derzeit nicht, weil ich die Entscheidung für 1Password ja auch aus Effizienzgründen traf. Ich brauche eine Passwort-Lösung, die ich auch im täglichen Leben einsetze. Alles, was zu kompliziert ist, führt wieder dazu, dass ich unsichere Workarounds verwende.

Selbiges gilt auch für die Synchronisierung via Dropbox. 1Password erlaubt zwar eine direkte WLAN-Synchronisierung, aber nur zwischen zwei Geräten. Da ich aber mindestens drei Geräte betreibe, und auf allen diesen Geräten auch Passwörter neu anlegen möchte, ist das nicht praktikabel. Außerdem brauche ich eine automatische Synchronisierung, die einfach im Hintergrund funktioniert, ohne dass ich mir ständig Gedanken machen muss.

Es braucht also eine andere Lösung, die durch 1Password auch schon unterstützt wird.

Die Lösung: Neues Cloud Keychain / OPVault Format für 1Password verwenden

Ich fragte bei Agilebits um Hilfe nach und erhielt eine kleine Anleitung, wie ich das ganze schon in der aktuellen Fassung und mit 1Password 4 für Windows sicher bekomme.

Das ist übrigens einer der Vorteile von kommerzieller Software: Es sitzt einer am anderen Ende der E-Mail-Leitung, dessen Beruf es ist, mir zu helfen.

Die Kurzfassung

Falls Sie erfahren im Umgang mit Software sind und mit Verstand vorgehen, ist es ziemlich einfach:

1. Unter Windows: Den 1Password-Tresor unverschlüsselt nach 1PIF exportieren.
2. Mit 1Password einen neuen Tresor im OPVault-Format auf Dropbox anlegen und das 1PIF wieder importieren (alle importieren, nicht überschreiben).
3. 1Password auf Mac OS X neu aufsetzen wie auf der Website beschrieben. Dabei darauf achten, dass Sie den OPVault-Tresor benutzen.
4. 1Password auf iOS / Android neu aufsetzen wie auf der Website für iOS beschrieben (auch für Android)und dann auf den neuen Tresor verweisen wie ebenfalls für iOS beschrieben (auch für Android).
5. Den alten agilekeychain Tresor löschen.

Sie hätten es gern detaillierter, weil Sie nicht wissen, was Sie genau tun sollen?

Folgende Schritte sorgen dafür, dass auf allen Geräten das neue OPVault / Cloud Keychain Format zum Einsatz kommt:

1. Unter Windows

1. Starten Sie 1Password in Windows, mit dem Haupt-Passwort-Tresor, der momentan im agilekeychain Format gespeichert ist.
2. Wählen Sie aus dem Menü Datei den Punkt Export…
3. Ändern Sie das Format von Comma-Delimited Text (CSV) zu 1Password Interchange Format (1PIF)
4. Speichern Sie diese unverschlüsselte Kopie des Tresors auf den Desktop.
5. Wählen Sie im Menü Datei den Punkt Neuer Tresor….
6. Ändern Sie den Speichertyp von 1Password Vault (*.agilekeychain) zu 1Password Vault (*.opvault), und speichern diesen am selben Ort wie Ihren existierenden agilekeychain-Tresor.
7. Führen Sie den Prozess zum Erzeugen eines neuen, leeren Tresors vollständig durch.
8. Klicken Sie im Menü Datei auf Import… und wählen die 1PIF-Datei, die Sie in den Schritten 2–4 angelegt haben.
9. Sie werden eine Abfrage sehen, bei der Sie gefragt werden, ob Sie »einen Eintrag mit Namen… importieren« wollen. Für diese Abfrage klicken Sie Ja, alle.
10. Wenn Sie in Ihrem Tresor mehrere Einträge mit demselben Titel haben, werden Sie wahrscheinlich eine weitere Abfrage bekommen, mit der Frage »Ein Eintrag mit dem Namen … existiert bereits. Möchten Sie diesen ersetzen?« Diesmal klicken Sie Nein, alle. Das stellt sicher, dass alles importiert und nichts überschrieben wird.
11. Stellen Sie sicher, dass Sie die 1PIF-Datei sicher löschen, da dies eine unverschlüsselte Version Ihres Tresors darstellt. Einfach in den Papierkorb legen und diesen leeren reicht nicht!. Nutzen Sie ein Programm wie etwa Eraser.

Jetzt haben Sie Ihren Passwort-Tresor auf Dropbox im vollständig verschlüsselten OPVault-Format. Machen Sie einige Stichproben, dass etwa Anhänge im Tresor (verwende ich nicht) auch noch geöffnet werden können, bevor Sie weiter machen.

2. Unter Mac OS X

Der Einfachheit halber fangen Sie unter Mac OS X einfach neu mit 1Password an, so wie in der englischen Anleitung beschrieben, die ich hier frei übersetze:

1. Schließen Sie 1Password und 1Password mini. Wählen Sie dazu in der Menüleiste 1Password, klicken auf das Zahnrad, dann auf 1Password mini beenden.
2. Suchen und entfernen Sie die 1Password-Daten.
   Je nachdem, ob Sie 1Password über den Mac App Store oder direkt bei AgileBits gekauft haben, ist ein anderer Ort der richtige. Dazu 1Password öffnen, und im Menü 1Password den Eintrag Über 1Password klicken.
   • Wenn Sie die Mac App Store Version von 1Password nutzen:
     1. Öffnen Sie den Finder und wählen Gehen zu > Gehe zum Ordner aus der Menüleiste.
     2. Kopieren Sie den folgenden Text in das Eingabefeld und Klicken den Öffnen-Knopf: ~/Library/Containers
     3. Suchen Sie den Ordner mit Namen “2BUA8C4S2C.com.agilebits.onepassword-osx-helper” und ziehen ihn auf den Desktop.
     4. Starten Sie den Mac neu
   • Wenn Sie 1Password direkt bei AgileBits bezogen haben:
     1. Öffnen Sie den Finder und wählen Gehen zu > Gehe zum Ordner aus der Menüleiste.
     2. Kopieren Sie den folgenden Text in das Eingabefeld und Klicken den Öffnen-Knopf: ~/Library/Application Support
     3. Suchen Sie den Ordner mit Namen “1Password 4” und ziehen ihn auf den Desktop.
     4. Immer noch im Finder wählen Sie Gehen zu > Gehe zum Ordner aus der Menüleiste und zwar zu: ~/Library/Preferences
     5. Ziehen Sie diese zwei Dateien auf den Desktop: “2BUA8C4S2C.com.agilebits.onepassword4-helper.plist” und “com.agilebits.onepassword4.plist”.
     6. Die AgileBits Store Version von 1Password importiert automatisch Daten von der Mac App Store Version wenn Sie diese jemals installiert hatten. Auch diese müssen weg. Also wieder im Finder, mit Gehen zu > Gehe zum Ordner, und zwar zu: ~/Library/Containers.
     7. Suchen Sie den Ordner mit dem Namen “2BUA8C4S2C.com.agilebits.onepassword-osx-helper” und ziehen ihn auf den Desktop. Wenn es diesen Ordner nicht gibt, ist das okay.
     8. Starten Sie Ihren Mac neu.
3. Starten Sie 1Password. Beim Neustart verhält sich das Programm wie beim ersten Mal. Klicken Sie wie im Screenshot einen anderen Tresor suchen und wählen den passenden Tresor auf der Dropbox im Verzeichnis Apps/agile.
4. Löschen Sie nun den alten Tresor im Dropbox-Ordner Apps/agile.

Dies startet den Import und Sie sind fertig.

3. Auf iOS / Android

Ähnlich funktioniert es auf iOS / Android. Beschrieben auf der AgileBites-Website für iOS und Android und ein zweiter Schritt ebenfalls für iOS und Android.

Auf iOS, also iPhone und iPad:

1. Tippen Sie auf das 1Password-Icon und halten Sie gedrückt, bis die Icons anfangen zu wackeln.
2. Löschen Sie 1Password, indem Sie auf das X in der Ecke tippen.
3. Laden Sie 1Password neu aus dem App Store herunter und starten Sie die App.
4. Wählen Sie Existierenden Tresor synchronisieren und dort eben den Dropbox-Tresor im Verzeichnis Apps/agile.

Auf Android:

1. Öffnen Sie die Einstellungen-App und wählen Apps > 1Password
2. Tippen Sie auf Alle Daten löschen.
3. Öffnen Sie die 1Password-App.
4. Wählen Sie Existierenden Tresor synchronisieren und dort eben den Dropbox-Tresor im Verzeichnis Apps/agile.

Locker bleiben

Das liest sich nach vielen Schritten, aber bedenken Sie: Das ist nur genau einmal nötig. Von da ab läuft die Synchronisierung von 1Password über Dropbox automatisch, und zwar ab sofort mit dem voll verschlüsselten Dateiformat. Das ist mir meine Datensicherheit wert.

Und Ihnen?

Lassen Sie die anderen Leser ebenso wie mich bitte teilhaben an Ihren Gedanken und kommentieren Sie!

Update: 1Password Cloud

Mittlerweile nutze ich seit einigen Jahren die 1Password-Cloud, speichere also nicht mehr in der Dropbox. Das hat den großen Vorteil, dass es tatsächlich problemlos auf allen meinen Geräten läuft, und auch die Familienfreigabe einfach dabei ist. Ja, es kostet eine Jahresgebühr, aber angesichts dessen, dass wir das alle intensiv nutzen, ist diese gut zu verschmerzen. Letztlich hatte die Speicherung des Schlüsselbundes auf Dropbox seine Zeit, und war gut, aber diese Zeit ist eben vorbei, auch weil ich Dropbox überhaupt nicht mehr produktiv einsetze, seit auch dort die Stupser in Richtung eines Abonnements mehr und mehr zum Rempler wurden.

Photo: Joachim Schlosser, License Creative Commons Attribution Share-Alike