Cześć, chciałbym się podzielić apką, którą napisałem ponad rok temu, a ostatnio zoptymaliwoałem pod kątem user experience.
Przyda się każdemu kto na poważnie traktuje bezpieczeństwo w sieci, tym bardziej ludziom, którzy przechowują kryptowaluty w portfelach z hasłem, albo potrzebują bezpieczne hasło do giełdy.
Cel apki (dla mnie) - 1. ułatwienie sobie życia z hasłami + 2. maksymalne bezpieczeństwo (niezależność od tzw stron trzecich).
1. Ułatwienie sobie życia = nie muszę pamiętać haseł + łatwo je zmienić (to założenie spełnia każdy menedżer haseł)
2. Maksymalne bezpieczeństwo (dla mnie) to kiedy hasła nie są przechowywane, trwale gdzieś zapisane, a tym bardziej wysyłane (synchronizacja) gdzieś przez internet (choćby w postaci zaszyfrowanej). Powód chyba jasny. Jak deweloper aplikacji się pomyli przy aktualizacji aplikacji, hasła "gdzieś wysyłane" mogą wyciec. Efekt tego założenia - standardowy menedżer haseł odpada.
Rezultat przemyśleń jest taki, żeby zrobić aplikację typu master password ->
https://en.wikipedia.org/wiki/Master_PasswordMoja osobista implementacja (używana od roku) ->
https://haslowygaslo.pl/Są też inne np. lesspass ->
https://lesspass.com/Zalety:1. brak przechowywania haseł!!!
2. wszystkie obliczenia (poszczególne hasła są za każdym razem obliczane) wykonywane lokalnie w przegladarce (żadne dane nie są wysyłane nigdzie przez internet)
3. łatwo pozyskać nowe hasło
4. stosunkowo łatwe użytkowanie (o to starałem się w implementacji)
5. poręczne 3 typy haseł dla szybszego efektu
6. 100% odpowiedzialności za hasła po stronie użytkownika (hasła mogąwyciec tylko z winy użytkownika - jeśli złapie wirusa albo opublikuje je sam w necie)
7. Muszę pamiętać tylko 1 hasło nazwane w aplikacji SuperPIN'em
Wady:1. 100% odpowiedzialności za hasła po stronie użytkownika (wymagana świadomość tego co się robi i jak działa aplikacja)
2. trzeba trochę dbać o metadane - są one bardzo istotne (samemu synchronizować je pomiędzy aplikacjami na różnych urządzeniach/przeglądarkach)
3. zasadę działania aplikacji i to dlaczego jest bezpieczniejsza od menedżera haseł mogą zrozumieć tylko nieliczni :/
W praktyce jak zmieniłem swoje 30 haseł na serio mam łatwiejsze życie z hasłami. Muszę pamiętać tylko 1 hasło, które jest kluczem do generowania całej reszty.
Nie muszę się np. martwić jak w sytuacji gdy miałem hasła w pliku - jeśli komputer się spali - tracę dostęp, lub jeśli się uszkodzi i dam do naprawy, że w naprawie ktoś mi przeskanuje dysk i zyska dostęp do haseł, albo w przypadku używania menedżera haseł, że programista się pomyli i hasła wyciekną / co się zdarzyło jak gdzieś czytałem.
Jedyne o co muszę odrobinę dbać to archiwizacja i synchronizacja metadanych, któe same w sobie nawet gdyby wyciekły nie dają dostępu do haseł, bo klucz główny/SuperPIN mam w głowie
Polecam używać wtyczki Chrome, a gdy to nie możliwe - wersji lokalnej pobieranej jako plik zip (na fanpage'u jest link do skanu oraz hasze md5 i sha256, żeby rozpoznać zgodność). Wersji "online" tylko w ostateczności po upewnieniu sięże mamy https, ale wiadomo do wersji online lepiej mieć ograniczone zaufanie, dlatego lepiej wtyczka Chrome albo zestaw zip.
Wtyczka Chrome jest na razie za free w Chrome Web Store.
Może komuś się przyda, pozdro
