Internetowe (i zaszyfrowane) hasło / licencja / baza danych itp. [Zamknięte]

Poszukuję systemu do przechowywania wielu danych uwierzytelniających, których używam jako konsultant / programista kontraktowy. Chociaż wiem, że mogę używać KeePass lub podobnego do użytku na komputerze lub czegoś takiego jak PassPack do przechowywania haseł w sieci (szyfrowanie po stronie klienta), nawet Evernote może zostać użyty do stworzenia „notatnika” dla każdego klienta / projektu z zaszyfrowanymi wrażliwymi danymi - szukam usługi, która zapewnia:

• Przechowywanie różnych danych uwierzytelniających (klucze WPA, licencje na oprogramowanie, klucze Amazon API).
• Bezpieczny sposób żądania poświadczeń bez wymuszania rejestracji.

Prawdopodobnie nie miałbym nic przeciwko przechowywaniu różnych danych jako haseł - najważniejszą rzeczą jest uzyskiwanie danych. Chociaż PassPack ma interfejs „udostępniania”, zmusiłby klientów do rejestracji. Szukam czegoś, co uprości szyfrowanie kluczem publicznym / prywatnym, abym mógł powiedzieć klientowi: „Nie wysyłaj mi tego e-mailem, po prostu przejdź na stronę ___.com/tjlytle i wypełnij formularz”.

Czy przegapiłem jakąkolwiek stronę, która to robi?

Pracowałem w przeszłości dla firm zarządzających usługami, szukałem czegoś takiego, ale nigdy tego nie znalazłem. Od czasu założenia własnej firmy nie miałem czasu ani ochoty na pisanie takich rzeczy, ale na pewno jest na to rynek. Zdecydowanie przydałby się również do użytku wewnętrznego w organizacji IT większej niż 1 osoba.

Widziałem zbyt wiele „klarownych” rozwiązań wykorzystujących takie rzeczy, jak „Bezpieczne hasło”, które nie mają silnych (ani żadnych) mechanizmów kontroli. Zmiana wszystkich haseł w „sejfie”, gdy ktoś odchodzi z firmy, jest ogromnym problemem. Przechowywanie haseł przechowywanych po stronie serwera za pomocą mechanizmów dostępu szczegółowego i ścieżki audytu ułatwiłoby życie w takiej sytuacji.

Funkcje, które chciałbym obejmować:

• Uwierzytelnianie poszczególnych użytkowników w bazie danych w celu wygenerowania ścieżki audytu. Najlepiej byłoby, gdyby system uwierzytelniania używał zwykłego uwierzytelniania HTTP.

• Twój „dostęp bez rejestracji” (funkcja „żądania”) brzmi jak użycie unikalnego adresu URL jako „skrótu” do ominięcia uwierzytelnienia dla danych uwierzytelniających, które mogą uzyskać dostęp do jednego hasła. To brzmi dość prosto do wdrożenia. Podczas tworzenia tego jednorazowego poświadczenia powinieneś mieć jakieś metadane opisujące, dlaczego poświadczenie zostało utworzone (na potrzeby raportowania).

• Raporty pokazujące, do jakich haseł uzyskali dostęp użytkownicy, którzy zezwalają na zmianę tylko haseł niepotrzebnych, gdy ktoś odchodzi z firmy. Gdy dane znajdą się w zapleczu bazy danych, jest to łatwe.

• Terminy ważności hasła. Używałbym ich do uruchamiania skryptów w celu automatycznego obracania haseł i odpisywania nowych haseł do systemu. Często mam takie hasła, jak hasła do kont serwisowych, których nie chcę podlegać wymaganiom starzenia się haseł systemu operacyjnego, ale jednocześnie chciałbym, aby hasła były zmieniane raz na jakiś czas.

Back-end bazy danych z interfejsem web CRUD opakowanym w SSL powinien w tym celu dobrze działać.

Nie powinno być zbyt wiele pracy, aby połączyć coś szybkiego i brudnego, ale sprawienie, by było naprawdę dopracowane i czyste (z ładnym interfejsem API klienta) prawdopodobnie będzie trochę pracy.

Korzystamy z naszej wyżej wspomnianej biblioteki pidCrypt w pidder ( https://www.pidder.com ) - platformie internetowej, która koncentruje się na bezpiecznym zarządzaniu i udostępnianiu tajemnic (haseł, wiadomości, informacji o tożsamości itp.).

Na naszej liście rzeczy do zrobienia mieliśmy już funkcję „dropbox”, choć z niewielkim priorytetem i zaplanowaną na późniejsze wydanie. Po napotkaniu tego pytania, zdecydowaliśmy się na jego wdrożenie na początku naszej otwartej wersji beta jeszcze w tym roku.

Tak więc, chociaż główne funkcje będą wymagały rejestracji, pojawi się również „dropbox”, w którym każdy może wysyłać zaszyfrowane wiadomości do zarejestrowanego użytkownika, pod warunkiem, że zna jego adres URL.

Istnieją co najmniej dwa menedżery haseł online, które są wolnym oprogramowaniem:

W3PW

http://w3pw.sourceforge.net/

Clipperz

http://www.clipperz.com/open_source/clipperz_community_edition

Oba wyglądają całkiem dobrze (jeszcze ich nie użyłem).

O ile wiem, jedyną brakującą funkcją jest możliwość dodania hasła bez posiadania konta (jeśli dobrze cię zrozumiałem).

Nie powinno to być zbyt trudne do dodania, więc warto oprzeć się na jednym z tych produktów. W końcu o to chodzi w wolnym oprogramowaniu :-).

Jednym ze sposobów byłoby zaimplementowanie funkcji, która pozwala ograniczyć użytkownikowi dodawanie nowych haseł. Następnie możesz po prostu utworzyć użytkownika „addpassword” z domyślnym (lub pustym) hasłem i wysłać go do klientów (lub zaimplementować funkcję tworzenia identyfikatora URI, który wstępnie uwierzytelni cię, abyś mógł po prostu wysłać link). To powinno działać i być bezpieczne ...

Jednym z rozwiązań, które znalazłem (w celu uzyskania haseł) jest zaszyfrowanie w javascript, odzyskanie zaszyfrowanych danych (przez e-mail / przeglądarkę), a następnie ręczne odszyfrowanie ich lokalnie (aby niezaszyfrowane dane nigdy nie były niezabezpieczone). Nie jest dopracowany, ale w zasadzie byłby taki sam, jak szyfrowanie i wysyłanie hasła przez klienta - tylko oni mogliby to zrobić po prostu w formie internetowej.

Oto przykład .

Uważam, że LastPass jest wspaniałym menedżerem haseł do moich haseł. Sprawdź listę funkcji .

Chociaż szukam najlepszego (ale niedrogiego) godnego menedżera haseł dla przedsiębiorstw .