hi,
ich wollte hier mal meine methode darstellen, wie ich die zig passwoerter fuer foren, accounts hier und da etc. verwalte. vielleicht entdeckt ja jemand einen fundamentalen fehler.
ich hab einen kleinen rechner mit tastatur und monitor. der haengt nicht am netz, ist frisch eingerichtet etc. sprich: 100% vertrauenswuerdig.
von diesem rechner geht eine serielle verbindung zum desktop, also da, wo der browser laeuft und die passwoerter benoetigt werden. ueber die serielle verbindung laeuft nichts, keine console, kein login, gar nichts. auf dem desktop laeuft ein terminal-programm.
auf dem vertrauenswuerdigen rechner laeuft ein script, welches beim starten ein masterpasswort abfragt. dieses liegt dann in $MASTERPASS. dann laeuft das script durch eine schleife, in der immer 3 sachen abgefragt werden: $USER $DOMAIN und $ITERATION.
mit diesen 4 sachen macht es folgendes:
echo -n "${USER}:${DOMAIN}:${ITERATION}:${MASTERPASS}" | openssl rmd160 -binary | openssl base64 | sed -E 's/[^[:alnum:]]//g;s/^(.{16}.*/\1/')
i.e. aus den 4 einzeldaten einen binaeren hash bilden, durch base64 jagen und letztendlich etwas vereinfachen, indem nur buchstaben und zahlen uebrigbleiben. zum schluss wird der string auf die ersten 16 zeichen gekuerzt. danach wird er ueber die serielle leitung mit cu(1) an das terminal-programm geschickt, von wo man bequem c&p machen kann.
vorteile:
- nur ein passwort[1] zu merken, dieses wird nie irgendwo gespeichert. es ist maximal zur laufzeit des scripts im ram des vertrauenswuerdigen rechners vorhanden. keine moeglichkeit, uebers netz da irgendwie ranzukommen.
- keine moeglichkeit, vom desktop aus ein passwort zu generieren. es ist immer die direkte eingabe am vertrauenswuerdigen rechner noetig.
- trotzdem bequem durch c&p.
- falls ein einzelnes passwort kompromittiert wird, muss man nicht das masterpasswort aendern. einfach $ITERATION um eins erhoehen.
edit:
- aus einem kompromittierten passwort kann man nicht das masterpasswort erhalten
- ebenso kann man aus einem kompromittierten passwort nicht andere passwoerter erhalten
nachteile:
- naja, "etwas" umstaendlich
- ?
im besonderen wuerde mich interessieren, ob ich mit der methode des hashens, dann base64-konvertierung und eliminierung von sonderzeichen irgendwelche grundlegenden fehler mache...
also los, ihr paranoiden, bring it on!
[1] edit: ach ja, dieses ist ein passwort nach der diceware-methode: http://world.std.com/~reinhold/diceware.html generiert mit echten casino-wuerfeln
ich wollte hier mal meine methode darstellen, wie ich die zig passwoerter fuer foren, accounts hier und da etc. verwalte. vielleicht entdeckt ja jemand einen fundamentalen fehler.
ich hab einen kleinen rechner mit tastatur und monitor. der haengt nicht am netz, ist frisch eingerichtet etc. sprich: 100% vertrauenswuerdig.
von diesem rechner geht eine serielle verbindung zum desktop, also da, wo der browser laeuft und die passwoerter benoetigt werden. ueber die serielle verbindung laeuft nichts, keine console, kein login, gar nichts. auf dem desktop laeuft ein terminal-programm.
auf dem vertrauenswuerdigen rechner laeuft ein script, welches beim starten ein masterpasswort abfragt. dieses liegt dann in $MASTERPASS. dann laeuft das script durch eine schleife, in der immer 3 sachen abgefragt werden: $USER $DOMAIN und $ITERATION.
mit diesen 4 sachen macht es folgendes:
echo -n "${USER}:${DOMAIN}:${ITERATION}:${MASTERPASS}" | openssl rmd160 -binary | openssl base64 | sed -E 's/[^[:alnum:]]//g;s/^(.{16}.*/\1/')
i.e. aus den 4 einzeldaten einen binaeren hash bilden, durch base64 jagen und letztendlich etwas vereinfachen, indem nur buchstaben und zahlen uebrigbleiben. zum schluss wird der string auf die ersten 16 zeichen gekuerzt. danach wird er ueber die serielle leitung mit cu(1) an das terminal-programm geschickt, von wo man bequem c&p machen kann.
vorteile:
- nur ein passwort[1] zu merken, dieses wird nie irgendwo gespeichert. es ist maximal zur laufzeit des scripts im ram des vertrauenswuerdigen rechners vorhanden. keine moeglichkeit, uebers netz da irgendwie ranzukommen.
- keine moeglichkeit, vom desktop aus ein passwort zu generieren. es ist immer die direkte eingabe am vertrauenswuerdigen rechner noetig.
- trotzdem bequem durch c&p.
- falls ein einzelnes passwort kompromittiert wird, muss man nicht das masterpasswort aendern. einfach $ITERATION um eins erhoehen.
edit:
- aus einem kompromittierten passwort kann man nicht das masterpasswort erhalten
- ebenso kann man aus einem kompromittierten passwort nicht andere passwoerter erhalten
nachteile:
- naja, "etwas" umstaendlich
- ?
im besonderen wuerde mich interessieren, ob ich mit der methode des hashens, dann base64-konvertierung und eliminierung von sonderzeichen irgendwelche grundlegenden fehler mache...
also los, ihr paranoiden, bring it on!
[1] edit: ach ja, dieses ist ein passwort nach der diceware-methode: http://world.std.com/~reinhold/diceware.html generiert mit echten casino-wuerfeln
Zuletzt bearbeitet: