Seminar KeePassXC – SSH-Agent, Secret Service und Hardware-Schlüssel

Systemintegration ist dann sinnvoll, wenn Geheimnisse kontrolliert verfügbar werden und beim Sperren zuverlässig wieder verschwinden – nicht wenn der Passwortmanager nur zum bequemeren Schlüssellager wird.

Seminarüberblick

Das Seminar behandelt drei anspruchsvolle KeePassXC-Integrationen: die Übergabe gespeicherter SSH-Schlüssel an einen bereits laufenden Agenten, die Bereitstellung ausgewählter Eintragsattribute über den Secret-Service-Mechanismus unter Linux und die Verstärkung des Datenbankschlüssels durch Challenge-Response-Hardware.

Die Plattformunterschiede zwischen Linux, macOS und Windows werden praktisch berücksichtigt. Besonderes Gewicht erhalten Lade- und Entfernungsregeln, Bestätigung vor Verwendung, Zeitbegrenzungen, Paketisolation sowie Ersatz- und Wiederherstellungsverfahren für verlorene oder defekte Hardware-Schlüssel.

Zielsetzung

Die Teilnehmenden können unterstützte Integrationsmodelle auswählen, SSH-Schlüssel sicher in Einträgen verwalten, Agentfreigaben begrenzen, Secret-Service-Gruppen konfigurieren, Challenge-Response-Hardware einrichten und sämtliche Integrationen mit nachvollziehbaren Ausfall- und Entzugstests prüfen.

Zielgruppe

Linux-, Windows- und macOS-Administratoren, DevOps- und Plattformteams, Entwickler, Security Engineers und Betreiber privilegierter technischer Zugänge.

Voraussetzungen

Grundlegende KeePassXC-Kenntnisse, sicherer Umgang mit dem jeweiligen Betriebssystem und Basiswissen zu SSH-Schlüsseln. Für den Secret-Service-Teil ist eine Linux-Laborumgebung erforderlich.

Seminarinhalte

Integrationsarchitektur und Vertrauensgrenzen

• KeePassXC als Client vorhandener SSH-Agenten und als Secret-Service-Anbieter einordnen
• Datenbankentsperrung, Prozesskontext, lokale Sockets und Desktop-Sitzung als Vertrauensgrenzen
• Privilegierte Schlüsselbestände von normalen Webzugängen trennen
• Plattform- und Paketgrenzen vor der technischen Umsetzung erfassen

SSH-Schlüssel sicher verwalten

• Private Schlüssel als geschützte Anhänge und Passphrasen in geeigneten Eintragsfeldern ablegen
• Unterstützte OpenSSH-Schlüsseltypen und ungeeignete Alt- oder Fremdformate erkennen
• Öffentliche Schlüssel, Kommentare, Benutzernamen und Zielsysteme nachvollziehbar zuordnen
• Schlüsselrotation, Ablauf, Eigentum und Stilllegung in der Datenbank abbilden

SSH-Agent-Integration

• Vorhandene Agenten unter Linux, macOS und Windows erkennen und korrekt anbinden
• Schlüssel beim Entsperren laden und beim Sperren zuverlässig entfernen
• Bestätigung vor Verwendung, zeitliche Begrenzung und gezielte manuelle Freigabe einsetzen
• Zu viele angebotene Identitäten, Agentprotokollfehler und nicht unterstützte Socket-Varianten diagnostizieren

Secret Service unter Linux

• Secret-Service-Integration aktivieren und eine bewusst begrenzte Freigabegruppe festlegen
• Freigegebene Attribute, Suchschema und Verhalten bei gesperrter Datenbank prüfen
• Konflikte mit vorhandenen Schlüsselbünden und Desktop-Diensten erkennen
• Anwendungen testen, ohne den gesamten Datenbankbestand verfügbar zu machen

Challenge-Response-Hardware

• Unterschied zwischen Datenbankentschlüsselung und klassischer Zwei-Faktor-Authentisierung verstehen
• HMAC-SHA1-Challenge-Response-Slot vorbereiten und als zusätzlichen Entschlüsselungsbestandteil einbinden
• Identische Ersatzschlüssel, gesicherte Slot-Geheimnisse und physische Aufbewahrung planen
• Datenbankänderungen, alte Dateistände und Kompatibilitätsgrenzen in das Notfallverfahren aufnehmen

Betrieb und Fehlersuche

• USB- und Paketberechtigungen, Sitzungsvariablen, Agentstatus und Sperrereignisse prüfen
• Testmatrix für Neustart, Sperre, Benutzerwechsel, Zeitablauf und Hardware-Ausfall erstellen
• Sichere Diagnose ohne Export produktiver Schlüssel oder Protokollierung von Geheimnissen
• Rollback und kontrollierte Entfernung einer fehlerhaften Integration durchführen

Praktische Übungen

• Import eines Test-SSH-Schlüssels und sichere Zuordnung zu einem KeePassXC-Eintrag
• Agentfreigabe mit automatischem Laden, Bestätigung, Zeitbegrenzung und Entfernung beim Sperren
• Diagnose eines vorbereiteten Fehlers mit falschem Agent-Socket und zu vielen Identitäten
• Bereitstellung eines begrenzten Testeintrags über Secret Service in einer Linux-Umgebung
• Einrichtung eines Challenge-Response-Testschlüssels mit dokumentiertem Ersatz- und Rückfallverfahren

Methodik

Die Integrationen werden in getrennten Testprofilen aufgebaut und durch definierte Sperr-, Entzugs-, Neustart- und Ausfallszenarien geprüft. Plattformgrenzen werden offen benannt; nicht unterstützte Varianten werden nicht durch fragile Bastellösungen kaschiert.