Password manager

Zpráva

josef_novak · #1 Příspěvek od **josef_novak** » 28 říj 2022, 12:03

Vím, že jsou dostupné různé manažery online a většinou za poplatek (např. 1Password atd.), ale takhle důležité věci bych měl rád pod palcem.

Všiml jsem si manažerů běžící pod Dockerem, přístupné přes WebDAV nebo i klasicky jako webovou stránku. Také lze načíst zašifrovaný soubor, který obsahuje hesla a je umístěný v nějakém úložišti jako OneDrive, Google drive, Dropbox apod.

Neprovozujete někdo něco takového jako vlastní řešení?

termit256 · #2 Příspěvek od **termit256** » 28 říj 2022, 12:23

Osobne tem managerum neverim ani za mak. Nevis kdo je napsal, jestli tam nejsou chyby, jestli hesla nekam neodesila a i kdyby ne dnes, netusis co bude zitra a jestli ten kdo to napsal neproda manager hackerum apod.

Na nedulezita hesla typu eshopy, fora, freemaily pouzivam jednoduchou databazi v accessu kterou jsem si napsal za odpoledne, pro banky apod mam malou HW klavesnici (vyrobenou z pridavneho numpadu) kde jsou nahrana hesla a ktera vyvolavam pinem jehoz soucasti je i cislo hesla a na sifrovani pouzivam autentizacni token. Neni to neprustrelny system, ale je tam asi nejlepsi pomer bezpecnost/lenivost.

josef_novak · #3 Příspěvek od **josef_novak** » 28 říj 2022, 12:37

Většina jich má dostupný kód třeba na Githubu, ze kterého se to dá i zkompilovat, včetně pluginů do prohlížečů, mobilních aplikací apod. Pokud budu mít nějakou tabulku dostupnou online, protože to je pro mě zásadní, aby to bylo na jednom místě a bylo to použitelné na všech platformách, tak i tu když načtu, tak nemám jistotu, že se z ní nic nedostane jinam. Navíc mi vyhovuje autovyplnění.
Pro důležité služby mám vícefaktorové přihlášení.

termit256 · #4 Příspěvek od **termit256** » 28 říj 2022, 12:51

Tak pokud ti nevadi ze sverujes sva hesla komusi na internetu o nemz nevis vubec nic, proc ne. To uz pak ale bude bezpecnejsi pouzivat na vsechno stejne heslo ktere si zapamatujes, nebo si ukladat hesla v prohlizeci :-)

DedVseved · #5 Příspěvek od **DedVseved** » 28 říj 2022, 14:22

To jsou předpotopní názory. Screenshot tvé tabulky si může udělat jakákoliv 0day zákeřnost z nějaké stránky na internetu a nepomůže ti ani aktualizovaná databáze antiviru. Nebo si tu tabulku někdo vyfotí teleobjektivem z monitoru. Samozřejmě že před otevřením tabulky zatahuješ závěsy.

Mě se líbí Passbolt a taky o něm uvažuju. Zdrojáky k dipozici jsou a jde ho použít na všem.

vaanja · #6 Příspěvek od **vaanja** » 28 říj 2022, 16:36

https://bitwarden.com/

DedVseved · #7 Příspěvek od **DedVseved** » 28 říj 2022, 16:45

Taky jsem se o něj zajímal, ale on jde nainstalovat snad jen přes docker, což by u mě byla dvojitá virtualizace. Taky by to šlo.

termit256 · #8 Příspěvek od **termit256** » 28 říj 2022, 17:04

DedVseved píše:...Nebo si tu tabulku někdo vyfotí teleobjektivem z monitoru...

To urcite muze, to ale neznamena, ze si tu tabulku vytisknu a prilepim na okno, kdyz pouziju analogicky primer :-)

Ale je to kazdeho vec, jestli sva hesla sveri nejake apce stazene odkudsi z internetu a da je dobrovolne k dispozici lidem o nichz nic nevi.

DedVseved · #9 Příspěvek od **DedVseved** » 28 říj 2022, 18:32

Jak bys řešil modelovou situaci, kdy ve vlaku potřebuješ v notebooku vyplnit přihlašovací údaje:

1) Přehodíš si bundu přes hlavu, abys na displeji viděl access tabulku jenom ty
2) Zajdeš vyplnit heslo s notebookem na záchod
3) Tabulku nosíš sebou vytištěnou a k náhledu opět použiješ bundu a baterku
4) Nepřihlásíš se kvůli kompromitaci tvé tabulky
5) Nemáš notebook

#10 Příspěvek od **rnbw** » 28 říj 2022, 18:37

6) Necestujem vlakom a ked nahodou ano, tak bez notebooku.

josef_novak · #11 Příspěvek od **josef_novak** » 28 říj 2022, 20:28

V databázi mám 186 přihlašovacích údajů a to co k tomu používám, není už tak dobré, ale je to pouze mé. Z toho je asi 20 důležitých údajů a do většiny z nich mám dvoufaktorovou autentizaci, takže nikomu by nepomohly ani zcizené přihlašovací údaje. Je to dostupné přes nginx-proxy a z logu vím, že to komunikuje pouze se mnou. K tomu jsou používané pluginy nebo aplikace, ale nikdy jsem o nic nepřišel a tuhle možnost používám už cca 6 let.
Ten Passbolt vypadá dobře.

DedVseved · #12 Příspěvek od **DedVseved** » 29 říj 2022, 11:54

Ono si lze představit jinou situaci, kdy jsem např. v zahraničí na dovolené a wifi signál je dostupný pouze v hotelové lobby, kde je kolem mě hodně takových a je potřeba se přihlásit. Už jenom vyplňování údajů z tabulky přes klávesnici je kompromitující, protože ze schránky si to může načíst cokoliv spuštěného a poslat to dál.

Passbolt https://github.com/passbolt už ze zvědavosti zkouším.

#13 Příspěvek od **rnbw** » 29 říj 2022, 12:10

Zakladom bezpecnosti je spustat na zariadeni iba doveryhodny SW. To vo Windows uz z principu nejde.

termit256 · #14 Příspěvek od **termit256** » 29 říj 2022, 12:11

No, bojis se ze ti nekdo jaksi zkopiruje ve vlaku schranku a proto sva hesla prozradis neznamym lidem na internetu. To ma logiku.
Ze to pouzivas protoze s o nic za 6let nepsiel je mi jasny, kdybys prisel jako jini, tak to nepouzivas :-)

DedVseved · #15 Příspěvek od **DedVseved** » 29 říj 2022, 16:44

Mě je úplně jedno, že si zapisujete třeba hesla do notýsku, ale zkuste ctít, že to někdo dělá jinak a vaše rady mimo téma jsou mu k hovnu.

Jde o vlastní řešení postavené na otevřeném kódu.