[alg] hoe veilig wachtwoorden op internet bewaren?

[marty]

De topics die ik tegenkwam over het opslaan van wachtwoorden gingen eigenlijk alleen maar over het lokaal opslaan, of gewoon het encrypten voor logins ofzo. mijn probleem is echter anders:

Ik verander nogal eens van werkplek en loop dan iedere keer tegen het probleem aan dat ik bepaalde wachtwoorden niet bij me heb. Het zijn er inmiddels zoveel geworden en kan ook niet overal 1 wachtwoord voor verzinnen omdat redelijk wat van die wachtwoorden voor gedeelde logins zijn (ivm beheer enzo).
Nu zit ik dus na te denken over een manier om al die wachtwoorden ergens op internet op te slaan zodat ik er altijd bij kan.

Ik zat er zelf aan te denken om ze geëncrypt in een database op te slaan, alleen het probleem is: ik wil ze niet plain-text over het lijntje versturen. Heb er nog aan gedacht php er een plaatje van te laten genereren, maar die worden weer door browsers gecached, wat ik ook geen fijn idee vindt. Zowiezo, worden pagina's natuurlijk gecached, dus eigenlijk kan ik beter het hele browserverhaal aan de kant schuiven.

maar hoe zou ik dat dan kunnen doen? iemand een idee?

[HunterPro]

een pragma no-cache in combo met een plaatje. En anders niet met een browser maar met bijvoorbeeld een SSH verbinding met je server praten. Overigens niet echt P&W voer dit lijkt me, maar goed

[ Voor 17% gewijzigd door HunterPro op 11-02-2004 19:10 ]

[Olaf van der Spek]

SSL gebruiken en plaatjes links laten liggen?

[Spider.007]

Je zou ook naar een combinatie van een Clientside en een Serverside programma kunnen zoeken dat adhv een key een string kunnen en/decrypten. Het wordt dan beveiligd over de lijn verstuurd; en Caching is geen probleem (aangezien bij voorbeeld een JavaScript dit zal decoderen). Ik heb hier echter geen implementatie detail voor...

edit:
Ja, SSL is natuurlijk de beste oplossing hiervoor; die doet bovenstaande namelijk al

[ Voor 14% gewijzigd door Spider.007 op 11-02-2004 19:31 ]

[4VAlien]

webserver met https lijkt me gunstig

[marty]

HunterPro schreef op 11 februari 2004 @ 19:08:
[...]
Overigens niet echt P&W voer dit lijkt me, maar goed

Ik zat te twijfelen tussen SA en P&W, maar koos toch voor P&W omdat ik het waarschijnljker achte dat ik zelf iets moest gaan proggen dan dat er een kant en klare software oplossing voor dit probleem zou bestaan.

OlafvdSpek schreef op 11 februari 2004 @ 19:15:
SSL gebruiken en plaatjes links laten liggen?

Ah, da's inderdaad wel een oplossing ja Stom dat ik daar nog niet aan gedacht had

Als ik het dan zo doe:
- Ik zorg dat die password geëncrypt (met PHP of MySQL) in een database komen te staan.
- Ik bouw een pagina waar ik een login omheen zet die brute-force proof is
- Als ik eenmaal ben ingelogd krijg ik een overzichte van usernames met waar het voor is
- Ik geef hierbij de mogelijheid er eentje te selecteren waar ik dan vervolgens het 'master' password voor op moet geven zodat hij het password in de database kan ophalen en decrypten en aan mij tonen.

Zitten daar nog valkuilen in?

[Olaf van der Spek]

marty schreef op 11 februari 2004 @ 21:52:
- Ik geef hierbij de mogelijheid er eentje te selecteren waar ik dan vervolgens het 'master' password voor op moet geven zodat hij het password in de database kan ophalen en decrypten en aan mij tonen.

Zitten daar nog valkuilen in?

Server-side zou ik geen plaintext wachtwoorden gebruiken, dus dat decoderen moet je pas client-side doen.

[ Voor 42% gewijzigd door Olaf van der Spek op 12-02-2004 00:55 ]

[marty]

OlafvdSpek schreef op 12 februari 2004 @ 00:55:
[...]

Server-side zou ik geen plaintext wachtwoorden gebruiken, dus dat decoderen moet je pas client-side doen.

wat is daarvoor je motivatie?

[Soultaker]

Mijn suggestie is om het zo eenvoudig en betrouwbaar mogelijk te houden. Niet zelf gaan zitten coden dus, maar een document maken en dat via HTTPS serveren en met standaard authenticatie (.htaccess ofzo) beveiligen. Het is dan alleen van belang dat het document op een 'veilige' server staat; een eigen server is ideaal natuurlijk.

[marty]

Soultaker schreef op 12 februari 2004 @ 01:17:
Mijn suggestie is om het zo eenvoudig en betrouwbaar mogelijk te houden. Niet zelf gaan zitten coden dus, maar een document maken en dat via HTTPS serveren en met standaard authenticatie (.htaccess ofzo) beveiligen. Het is dan alleen van belang dat het document op een 'veilige' server staat; een eigen server is ideaal natuurlijk.

maar hoe encrypt / decrypt ik de passwords in dat document dan? ik zie het niet zo zitten alles gewoon plain text op de server te zetten. Wordt je server gehacked dan zit je nog....

[Juup]

Je kunt ook client-side encrypten en decrypten, bv AES.
Zoek op internet eens op rijndael.js ofzo...

[Olaf van der Spek]

marty schreef op 12 februari 2004 @ 00:59:
wat is daarvoor je motivatie?

Dit:

Wordt je server gehacked dan zit je nog....

[Mr_Blobby]

Ik gebruik "Simple Script Security" hiervoor.
Er gaat geen plain-text over de lijn en er wordt ook niets in plain-text op de server opgeslagen.
Alles wordt in je browser via javascript (dus dynamisch) gedecodeerd en komt dus ook niet in je browsercache te staan.
Volgens mij veilig genoeg

[marty]

OlafvdSpek schreef op 12 februari 2004 @ 13:30:
[...]
Dit:
[...]

ah, je doelt er op dat ze de server zouden hacken en een soort proggie alle php-scripts laten monitoren, zodat ze daaruit het plain-text password kunnen filteren. Is dat mogelijk dan?

Mr_Blobby schreef op 12 februari 2004 @ 13:44:
Ik gebruik "Simple Script Security" hiervoor.
Er gaat geen plain-text over de lijn en er wordt ook niets in plain-text op de server opgeslagen.
Alles wordt in je browser via javascript (dus dynamisch) gedecodeerd en komt dus ook niet in je browsercache te staan.
Volgens mij veilig genoeg

Maar valt die niet weer veel makkelijker te brute-forcen?

[Olaf van der Spek]

marty schreef op 12 februari 2004 @ 14:33:
ah, je doelt er op dat ze de server zouden hacken en een soort proggie alle php-scripts laten monitoren, zodat ze daaruit het plain-text password kunnen filteren. Is dat mogelijk dan?

Ja.

En XOR is inderdaad niet echt veilig, ik zou iets als Blowfish of AES implementeren.

[ Voor 14% gewijzigd door Olaf van der Spek op 12-02-2004 15:06 ]

[Mr_Blobby]

OlafvdSpek schreef op 12 februari 2004 @ 15:02:
[...]

Ja.

En XOR is inderdaad niet echt veilig, ik zou iets als Blowfish of AES implementeren.

Of ARCfour (ARC-4) zoals in SSS en ja, alle cryptografiemethodes met een wachtwoord zijn door brute-force te kraken, dus kies een goed wachtwoord.

[ Voor 4% gewijzigd door Mr_Blobby op 12-02-2004 15:26 ]

[Infinitive]

Zoals door anderen voorgesteld is de oplossing met beste kwaliteit/tijd verhouding is het vanaf een met SSL beveiligde website toegankelijk maken van passwords die encrypted opgeslagen zijn op de server en die je pas op de client-side gaat decrypten.

[paranoia mode]
In dat geval zou ik twee verschillende wachtwoorden aanraden: ééntje om in te loggen en een andere om je encrypted password te decrypten. Dit laatste wachtwoord gaat namelijk internet niet over. In principe is dat geen probleem omdat je daarvoor SSL hebt. Maar tenzij je gebruikt maakt van geverifieerde certificaten, heb je daar nog altijd zo'n middle-man mogelijkheid (welliswaar verwaarloosbaar).

En als je de computer niet vertrouwd waar je achter zit: je zou voordat je het wachtwoord opslaat één random cijfer kunnen postfixen. Als je je wachtwoord wilt weten dan negeer je gewoon zelf het laatste cijfer. Ik denk alleen dat je hier nogal weinig mee opschiet: want achter dezelfde pc moet je waarschijnlijk ook het wachtwoord invoeren. Aan de andere kant is het natuurlijk wel een laatste bariëre tegen menselijke pottekijkers.
[/paranoia mode]

De mooitste oplossing zou zijn dat je geen wachtwoorden meer deelt, maar één useraccount hebt die al de benodigde permissies/tokens bevat. Uiteraard wel op een gecentraliseerde manier. Dit is alleen enorm lastig te realiseren, omdat de helft van je wachtwoorden ondergebracht zijn bij instanties die niets met elkaar te maken hebben.

[ Voor 3% gewijzigd door Infinitive op 12-02-2004 16:18 ]

[Bor]

Waarom neem je niet bv een usb key met een password manager? Ergens op internet opslaan zou ik in ieder geval nooit doen. Ik denk ook niet dat ze er blij mee zullen zijn op je werkt als je de psswds van je werk op inet zou beschikbaarstellen (voor alleen jezelf).

En als je de computer niet vertrouwd waar je achter zit: je zou voordat je het wachtwoord opslaat één random cijfer kunnen postfixen. Als je je wachtwoord wilt weten dan negeer je gewoon zelf het laatste cijfer. Ik denk alleen dat je hier nogal weinig mee opschiet: want achter dezelfde pc moet je waarschijnlijk ook het wachtwoord invoeren. Aan de andere kant is het natuurlijk wel een laatste bariëre tegen menselijke pottekijkers.

1 cijfer? Dat helpt echt helemaal niets ben ik bang. Mensen lezen het password en luisteren hoeveel keys jij intypt.

[ Voor 53% gewijzigd door Bor op 12-02-2004 16:41 ]

[JaQ]

- doe een briefje in je portemonaie (spel je dat zo?)
- koop een palm en schaf wat password-storage software aan (ik weet dat die er is, software kost iets van 25 dollar, palm kost iets van 80 euro oid?)
- koop zo'n te dure telefoon met memo/notes functie

Waarom zou je voor een internet oplossing willen kiezen? Je maakt je zorgen om beveiliging, kies dan voor iets wat enkel te "kraken" is door fysieke toegang (zoals dus je telefoon, portomonaie, palmtop etc.)

Als je toch persee op het net wilt:
- ergens op een shellaccount in je homedir zetten (eventueel als .filename, rechten uiteraard op alleen lezen en schrijven voor jou).
- in een imap mailbox (uiteraard met SSL verbinding naar je IMAP en een pgp signed email die encrypted is en enkel met jouw sleutel te openen is)

[Olaf van der Spek]

DrFrankenstoner schreef op 12 februari 2004 @ 19:19:
- in een imap mailbox (uiteraard met SSL verbinding naar je IMAP en een pgp signed email die encrypted is en enkel met jouw sleutel te openen is)

En dan bij een klant een account maken in zijn IMAP client en ook even PGP installeren?

[JaQ]

OlafvdSpek schreef op 12 februari 2004 @ 19:26:
[...]

En dan bij een klant een account maken in zijn IMAP client en ook even PGP installeren?

webmail icm een wachtwoord popop? (bijvoorbeeld via imp).

Natuurlijk snap ik dat mijn suggesties een beetje van het niveau "ik ben een vervelend mannetje" zijn, maar dat komt een beetje door de vraagstelling. Als je wachtwoorden op internet wilt bewaren, dan weet je dat je het risico loopt op diefstal. Waarom zou je voor een dermate ingewikkelde oplossing kiezen, terwijl er veel eenvoudigere mogelijkheden zijn? (buiten de "just because you can" reden om).

of ben ik nou weer veels te pragmatisch ingesteld?

[Olaf van der Spek]

DrFrankenstoner schreef op 12 februari 2004 @ 21:02:
webmail icm een wachtwoord popop? (bijvoorbeeld via imp).

Dat is geen IMAP. En PGP zou dan server-side worden uitgevoerd.

[TheRebell]

ik gebruik daarvoor een PPC met beveiligde login. Dan kun je je wachtwoorden + loginnamen netjes in notes zetten en beheren.
Hebben ze je PPC dan moeten ze eerst om je beveiliging heen (en de accu is barriere 2 )
Een voordeel is is dat je dit natuurlijk volledig in de hand hebt. Ze moeten eerst je PPC hebben om uberhaupt iets te kunnen doen...

(natuurlijk wel tijdig opladen he aners ben je alsnog alles kwijt )

[marty]

Mr_Blobby schreef op 12 februari 2004 @ 15:22:
en ja, alle cryptografiemethodes met een wachtwoord zijn door brute-force te kraken, dus kies een goed wachtwoord.

Dit lijkt me alleen een stuk makkelijker als je het password aan de clientside heb. Als je het server-side houdt kun je je veel beter weren tegen brute-force

Infinitive schreef op 12 februari 2004 @ 16:16:
In dat geval zou ik twee verschillende wachtwoorden aanraden: ééntje om in te loggen en een andere om je encrypted password te decrypten.

daar zit ik ook aan te denken ja.
En opzich hoef je daar niet paranoia voor te zijn toch...wil gewoon in 1x iets goeds maken. als ik dan toch bezig ben ...

De mooitste oplossing zou zijn dat je geen wachtwoorden meer deelt, maar één useraccount hebt die al de benodigde permissies/tokens bevat.

het gaat in totaal om zo'n 30 verschillende mail accounts, ftp-logins en ssh wachtwoorden. En de meeste zijn allemaal van/op servers die van anderen zijn maar waar ik mee te maken heb.

DrFrankenstoner schreef op 12 februari 2004 @ 21:02:
Waarom zou je voor een dermate ingewikkelde oplossing kiezen, terwijl er veel eenvoudigere mogelijkheden zijn? (buiten de "just because you can" reden om).

een briefje in m'n portemonnee?

Natuurlijk snap ik dat mijn suggesties een beetje van het niveau "ik ben een vervelend mannetje" zijn, maar dat komt een beetje door de vraagstelling. Als je wachtwoorden op internet wilt bewaren, dan weet je dat je het risico loopt op diefstal.

Dat jij ergens niet direct het nut van in ziet wil nog niet zeggen dat dat voor de hele wereld geldt en dat ik dus maar moeilijk loop te doen op niets af. Ik onderzoek gewoon de mogelijkheden dit op internet te doen omdat het verreweg de makkelijkste oplossing voor me zou zijn. Dan weet ik zeker dat ik het altijd bij de hand heb. Zonder dat ik daarvoor met een overbodige palmtop moet gaan zeulen die ik waarschijnlijk toch op de momenten vergeet dat ik 'm nodig heb.

edit:
p.s. ik moest het ook opzoeken hoor, maar het had portemonnaie moeten zijn, maar volgens de online van Dale mag dat ook niet meer (wordt in iedergeval niet herkend)

[JaQ]

OlafvdSpek schreef op 12 februari 2004 @ 22:19:
[...]

Dat is geen IMAP. En PGP zou dan server-side worden uitgevoerd.

pgp zou idd serversided moeten zijn, maar hoezo kan imp geen imap (en sinds welke versie is dat dan? want ik gebruik horde imp al jaren op een imap mailserver (cyrus). Heb zelfs de moeite genomen om smartsieve er bijin te hacken)


@marty: je hebt inderdaad gelijk dat je een palmtop niet bij je hebt als je m nodig hebt (net zoals dat briefje in je beurs ) Uiteraard zie ik het nut wel van een dergerlijke opslag in, maar gelukkig heb ik een redelijk goed geheugen voor wachtwoorden en IP's. (verder merk ik dat ik steeds vaker ga dementeren, maar IP's en wachtwoorden blijven hangen om een of andere reden).

Ik denk dat het gemakkelijkste een webpage of een (web)mailbox is. Een stukje PHP via SSL die met een database connecteerd waar jou wachtwoorden met een 2-way hash in staan. Door het invoeren van de juiste passphrase kan je dan het origineel dus weer terug krijgen (en die moet je dan natuurlijk niet vergeten)

[samo]

Misschien een password protected programma client side op een usb memory stick? Geen fysieke toegang = geen toegang... Of is dat te simpel?

[Verwijderd]

een ssl beveiligde verbinding gebruiken om je pagina te openen, zorgen dat hij niet met brute force te kraken is en je passwords server side decrypten en als bijvoorbeeld png-gif-jpeg naar de client sturen.

should be safe enough volgens mij.

[marty]

samo-arne schreef op 13 februari 2004 @ 12:46:
Misschien een password protected programma client side op een usb memory stick? Geen fysieke toegang = geen toegang... Of is dat te simpel?

dat geeft dezelfde problemen als palmtopjes enzo en bovendien ben ik dan van computers afhankelijk met usb.

Verwijderd schreef op 13 februari 2004 @ 12:50:
een ssl beveiligde verbinding gebruiken om je pagina te openen, zorgen dat hij niet met brute force te kraken is en je passwords server side decrypten en als bijvoorbeeld png-gif-jpeg naar de client sturen.

should be safe enough volgens mij.

plaatjes ga ik toch maar niet mee werken (zie eerder in de discussie)


Alles in overweging nemend wordt het denk ik:
- ergens op internet een pagina met een login
- zodra ik ben ingelogd kan ik geëncrypte wachtwoorden opvragen
- die decrypt ik dan clientside
Moet ik alleen nog ff onderzoeken wat de beste (veiligste) methode in javascript is om iets te encrypten/decrypten