Meine suche nach einer Passwort Cloud...

[ChrisJumper]

Liebe Community,

vielleicht kennt ihr das. Es gibt wichtige Dinge und es gibt unwichtige Dinge, alles braucht ein Password. Irgendwann vergisst man es dann doch wieder. Jetzt gibt es tausend Gründe warum man Passwörter nicht aufschreiben sollte oder zentral speichern. Bisher habe ich es immer verschlüsselt auf Papier gespeichert, also ein Buch nummeriert mit Seiten, Spalten und Zeilen Nummern. Voll mit zufälligen Zeichen und dann entweder die Email oder den Benutzernahmen in den Index dieses Buches Hinterlegt.

Anschließend braucht man aber noch Zusatzinformationen um das Passwort zu bergen. Wie wo meldet man sich an, So hat man dann zum Beispiel im Inhaltsverzeichnis nur eine Zahl hinter dem UserNamen/Mail, so das man anschließend 10 Seiten hat für die Bestimmung "Beruflich, Seite 10 bis 30" oder "Beruflich seite x1 bis x3", Freizeit 4 bis 6, Geschäftlich 7, Wartung A Seite 8, Familie Seite 9, anschließend vergibt man bei bedarf weitere Attribute und wendet diese auf Zeilennummer oder Spalten Nummer jeder Seite.

Wer dann noch lustig ist kann anschließend die Buchstaben-Ablesefolge mit unterschiedlichen Attributen verknüpfen, ob man von rechts nach links liest, von oben nach unten, auf einem 9er Feld noch die Diagonale nutzen und so weiter. Wem das nicht reicht der kann jeden zweiten gelesen Buchstaben auslassen oder jeweils nur die Positionen der Fibonacci-Reihen.

Gleichzeitig ist es möglich einzelne Seiten besonders zu gestalten. So das für ein Linux-System-23 für jeden Tag auf der Seite x2 ein anderes Passwort kommt.

Das hat jetzt Vorteile und Nachteile, alles je nach der eigenen Benutzerfreundlichkeit und den Anforderungen. So könnte man teile auch wie eine gedankliche Treppe aufbauen wo man erst mal die Index-Seite verschlüsselt und sein Passwort nach einem Anfangswert und einer entsprechenden Vorgehensweise erst mal Hinweise bekommt wie man das Buch verwendet.

Dennoch bleibt es Papier mit lauter Zahlen und Buchstaben und dessen Anwesenheit ist ein Indiz.

So jetzt kommt der Teil warum ich das zur Diskussion in einen Thread schreibe:

-1. Jeder hat ein Smartphone. Ich vertraue aber keiner Application darauf die ich nicht selber geschrieben habe.
-1a. Dann traue ich nicht unbedingt dem Betriebssystem auf diesem Gerät.

-2. Ich denke es wäre toll ein Netzwerk/Serversystem zu haben
-2b Vielleicht ein Raspi wo man sich per SSH/IPv6 per Link-Local Adresse (Quasi eine Route vorgeben und Men in The Middle ausbremsen) oder für schwache Authentifikation von außerhalb einloggen kann und quasi nach einem Passwort fragt.
-2b1. Wie soll das aussehen? Datenbank (gesalzen und gepfeffert?), einfaches auslesen von einer verschlüsselten Textdatei?
-2c Dann nicht lieber direkt einen SSH-Schlüssel mitnehmen der direkten Zugriff auf das Klartextpassword gewährt etc... man will es ja auch nicht zu kompliziert machen, das bei Verlust des Schlüssels gleich ein Problem auftaucht usw.

-3. Eine Netzwerklösung fände ich toll weil man dann weiche, nicht so wichtig Dinge an den Server auslagern kann. Cloud-Passwörter die man für Webseiten benötigt. Denn ja ich traue zum Beispiel auch nicht dem Browser-Passwort_Manager, von diesem habe ich nur schlechte Dinge gehört.

-3b Vielleicht doch eine Mehrfaktorenautentifikation aus Papier/Smartphone/Besitz, oder wenigstens zwei dieser Varianten? Wenn man die Programmseite kontrolliert welche Passwörter entgegen nimmt kann man ja auf die Verarbeitung des Passwortes einwirken. Statt einem Server vielleicht zwei oder drei Raspis oder ein System bei dem mindestens zwei Geräte "online" sein müssen damit der Ring überhaupt ein Passwort ausspuckt. Sprichwort Geräteverwaltung.

Auf jeden Fall will ich aktuell meine Passwortmanager umbauen verbessern und bequemer gestalten. Die Papierlösung fand ich bisher immer klasse und ausreichend. Allerdings müsste ich im Todesfall eine Kopie und Erklärung in einem Safe hinterlegen zwecks digitalem Nachlass. Gleichzeitig erscheint es mir nicht mehr angebracht bei so vielen Geräten die eine Kamera haben und einer sehr schnellen Möglichkeit so etwas einfach per Foto zu kopieren.

Dennoch will ich für jedes System, eine harte Passwort (wichtige) und weiche Passwörter (unwichtige) eine dezentrale Verwaltung. Eine Verwaltung die relativ wenig Aufwand macht wenn jemand sein Passwort vergisst (ändern und ausdrucken einer neuen Liste) eben mit Cloud-Funktionen und bei Linux einem gewissen Single Sign On. Gleichzeitig natürlich die Chance minimieren sich selber komplett aus zu sperren. Anderen selbst bei Kompromittierung von Systemen das leben und auslesen aller Passwörter so schwierig wie möglich zu machen.

Nutzt ihr Passwortmanager? Wenn ja welche und warum?

[musv]

[__bjoern]

Ich bin vor kurzem auf einen Passwortmanager umgestiegen. Davor habe ich mich lange gesträubt, da ein Passwortmanager in meinen Augen immer der berühmte "Single Point of failure" war. Allerdings hab ich dann mal drüber nachgedacht und habe festgestellt, dass ich für die meisten Webseiten eh das selbe Passwort hab, d.h. wenn eine Webseite gehackt wird, könnte ein Angreifer (fast) alle meine Accounts übernehmen. Also hat es für mich mehr Sinn gemacht, alle Passwörter in einer Datei zu haben, als sämtlichen Webseiten mein "Master-Passwort" anzuvertrauen.
Jetzt habe ich jeder Webseite ein ganz langes, individuelles Passwort gegeben und diese sind alle in meiner Datenbank. Ich habe noch ein Masterpasswort, welches ich auf einen Zettel geschrieben habe. Mit diesem ist die Passwortdatei verschlüsselt. Wenn ich mich von nem anderen Gerät irgendwo anmelden will, muss ich halt die Datenbank da drauf kopieren. Ist aber nicht so schlimm, denn ich registriere mich ja nicht jeden Tag irgendwo, also ist es einfach das ganze synchronisiert zu halten.

[bell]

Ich nutze das app-admin/keepassx. Müsste aber wohl bald auf den Nachfolger app-admin/keepass umsteigen. Die Vorteile: Open Source und es gibt Linux, Windows und Android Version davon. Die Android-Version natürlich aus dem F-Droid Repository. Die Datenbank-Datei wird mit Owncloud zwischen meinen Geräten immer aktuell gehalten. Das Master-Passwort nur im Kopf.
Für Owncloud gibt es auch eine "Passwords App" falls man eine reine Web-Lösung braucht. Damit habe ich aber keine Erfahrung da nicht keepass-kompatibel.

[ChrisJumper]

Bei mir liegt das wegen der Erkältung eh auf Eis, vielen Dank für die Vorschläge.

Ein Grund warum ich das will ist auch eine Vererbung von Zugangsberechtigung en und gemeinsamen Diensten. Dazu mit einem Logbuch Ach kann man lokale Dienstleistungen der eigenen Infrastruktur mit einmalpasswörtern versorgen wenn man Mobilnetzen oder Geräten nicht traut.

Auch konnte man eine Passwort Rotation einbauen. Ah ich Sammeln noch ideen. Will mir das zwar gern zusammen programmieren aber gerade das macht ja Bauchschmerzen und sollte man eigentlich nicht tun, andererseits soll das klein einfach werden.

Keepass klingt aber schon sehr gut.

[misterjack]

Ohne persönliche Wertung: Als Webbasierte Lösung wurde mir mehrmals http://teampass.net/feat empfohlen.
_________________
„Meine Meinung steht fest! Bitte verwirren Sie mich nicht mit Tatsachen.“

[tazinblack]

Also ich verwende app-admin/keepass (mit keepassx hatte ich Kompatiblitätsprobleme mit keepass unter win an anderer Stelle).
Da ich das von mehreren Rechnern verwende (nur von Rechnern, denen ich traue, also Gentoo ), verwende ich für die verschlüsselte Passwortdatenbank sowohl ein Keyfile als auch ein langes Passwort. Das Keyfile liegt lokal auf jedem Rechner der mitmacht, während das Datenbankfile per eigener Owncloud über die Rechner verteilt wird.
So könnte man im Fall, falls der Owncloudserver kompromittiert wird, mit dem Datenbankfile alleine nichts anfangen.
So zu mindest die Theorie
_________________
Gruß / Regards
tazinblack
_______________________________________________________
what's the point in being grown up if you can't be childish sometimes