Passwörter

[toerb]

Hallo,

wie schauts bei euch aus mit Passwortmanagement? Alles im Kopf, Passwortdatenbanken wie OnePassword oder andere Sachen?

Ich hab mir im Rahmen eines Studienprojekts eine eigene Passwortverwaltung geschrieben. Dabei habe ich auf einige Sachen großen Wert gelegt:


Die Passwörter sollen nicht persistent abgespeichert werden
Das System sollte von jedem modernen Device aus nutzbar sein
Alles geschieht direkt lokal auf dem Client

Daraus entstanden ist diese Seite. (http://toerb.github.io/batagur/)


Das Interface hat grundsätzlich zwei Eingabefelder:


Master: Ein schweres Passwort, dass man sich merken muss. Das ist das einzige, was man sich wirklich merken muss.
Token: Ein von der Webseite bzw. dem Service abhängiger Text. Zum Beispiel "cx-sport.de".

Nutzt man nur diese beiden Informationen und drückt auf "Generate" werden das Masterpasswort und der Token 1111 mal mit SHA512 gehasht und das Ergebnis wird mittels Base91 so kodiert, dass das Ergebnis fast die gesamte Bandbreite der darstellbaren Asciizeichen beinhalten kann. (Der Nachteil von base64 ist halt die geringe Zeichenmenge).


Die Parameter wie dieses Passwort generiert wird und auch die Länge kann dann im "Expertenmodus" konfiguriert werden. Ein Salt ist übrigens ein weiterer Text, der zusammen mit dem Masterpasswort und dem Token gehasht wird.


Hat man sich jetzt so ein Passwort generiert, kann es auf diese Weise immer wieder generiert werden. Es muss also nirgends abgespeichert werden. Durch die Implementation in JavaScript werden auch keinerlei sensible Daten über http(s) versendet. Wenn die Seite im Browsercache ist, ist sie deswegen auch offline nutzbar.


Jetzt lasst mal hören, was ihr euch für Systeme zur Passwortverwaltung zugelegt habt.


Viele Grüße,
toerb

[Jahresprogramm]

Hallo,

habe "alles" im Kopf - setzt sich ebenfalls aus einem Master PWD und einen Zusatz zusammen. Die Master PWD`s werden in unregelmäßigen Abständen gewechselt. Leider muss ich gestehen, dass auch mein Kopf mit dem PWD-Merken so langsam überfordert ist - vor allem, weil viele Anbieter die Länge der Passwörter beschränken :kotz:

Die Idee PWD zusätzlich zu kodieren, finde ich super. So kann ich mir einfachere Master und Zusatz-Wörterchen merken und bin dennoch sicherer unterwegs als mit den PWD-Baken :daumen: Die Umsetzung ist auch sehr universell...

Eine Hacken sehe ich aber noch - der zusätzliche Schritt für das Kopieren und Einfügen des Passwortes... Das ist auch mit ein Grund wieso ich diese Passwort-Datenbanken nicht nutze...

Wie genau kann man die Länge vorgeben?

Grüße
Alex

[toerb]

habe "alles" im Kopf - setzt sich ebenfalls aus einem Master PWD und einen Zusatz zusammen. Die Master PWD`s werden in unregelmäßigen Abständen gewechselt. Leider muss ich gestehen, dass auch mein Kopf mit dem PWD-Merken so langsam überfordert ist - vor allem, weil viele Anbieter die Länge der Passwörter beschränken :kotz:

Ja das Problem mit den beschränkten Passwörtern ist nicht ohne. Um das in meinem System zufriedenstellend zu lösen, müssten Daten über die betroffen Services gespeichert werden. Das würde wieder eine Userverwaltung im Backend nach sich ziehen und das verträgt sich nicht so ganz mit meinen Zielen..
Eingeschränkte Passwörter sind wirklich einfach nur zum :kotz:

Eine Hacken sehe ich aber noch - der zusätzliche Schritt für das Kopieren und Einfügen des Passwortes... Das ist auch mit ein Grund wieso ich diese Passwort-Datenbanken nicht nutze...

Ja das ist tatsächlich auch etwas was mich nervt. Mir geht es dabei nicht nur um Bequemlichkeit, sondern auch um Sicherheit. Auf mobilen Betriebssystemen wie Android ist es zum Beispiel möglich, als App geweckt zu werden, wenn der Zwischenspeicher verändert wird. So können Passwörter von allen Apps mitgelesen werden. Klar da fehlt noch der Username und wofür die Credentials gebraucht werden, aber trotzdem..

Softwaretastaturen ist auch nicht das, was man will. Man verliert die Universalität da so etwas immer sehr Plattformabhängig ist.

Die andere Möglichkeit ist das ganze in Hardware zu machen. Das ist auch mein liebster Weg, ist allerdings sehr zeitaufwendig.. Vorstellen könnte ich mir da eine kleine Bluetoothtastatur oder ein Smartphone mit Tastatur (z.B. Motorola Photon Q) und als Konnektoren Bluetooth und USB um möglichst viele Geräte zu erreichen. Es gibt da schon ein ähnliches Projekt namens calc.pw (http://calc.pw).



Wie genau kann man die Länge vorgeben?

Im Expertenmodus einfach eine kleinere Zahl als 79 in die Länge eintragen. Auf Wunsch kannst du auch bestimmen, wo im eigentlichen Hash das Passwort anfangen soll. Das kannst du mit Start.
Beispiel: Mit Start=10 und Länge=10 kriegst du die Zeichen 10 bis 19 vom eigentlichen Hash der ausgegeben würde ohne diese beiden Parameter.

Viele Grüße,
toerb

[Jahresprogramm]

Hallo,

die Idee hat auf jeden Fall Potenzial. Endlich einfache Passwörter und dazu noch viel sicherer!
Soweit ich es verstehe ist das Hashen und das anschließende kodieren nicht mehr reversibel. Ohne das tatsächliche Master und Token kann man nicht zurück-koden!?

Grüße
Alex

[toerb]

Soweit ich es verstehe ist das Hashen und das anschließende kodieren nicht mehr reversibel. Ohne das tatsächliche Master und Token kann man nicht zurück-koden!?

Jup, das stimmt so. Werden Passwörter, die mit einem Master und verschiedenen Tokens generiert wurden, ist es sehr aufwendig, das Masterpasswort daraus zu generieren.

Verliert also Sony wieder alle Passwörter, muss man mit diesem System nichts befürchten, da von dem Passwort bei Sony sich nicht sofort auf das Masterpasswort schließen lässt.

Viele Grüße,
toerb

[buebo]

Ich sach mal: KeePass (X)

Liegt aber auch daran, dass ich durch die Arbeit als WebEntwickler zwei bis dreistellige Mengen an Passwörtern, Accounts, URLs, etc. unterbringen muss.

Auf die habe ich auch nur beschränkten Einfluss. Jeder Kunde hat da andere Richtlinien, Vorstellungen, Vergabeverfahren. Ohne irgendeine Art von Datenbank läuft da gar nüscht.

KeePass bzw. KeePassX laufen halt auf allen Systemen, mit denen ich Arbeite (Windows und Mac), verschlüsselt seine DB mit einem MasterPW (das ich mir merke) und lässt sich einfach synchronisieren.

Feine Sache also.

[arno¹]

das nutze ich auch