Basis Data Berbasis Web (dan Dienkripsi) Kata Sandi / Lisensi / Dll [ditutup]

9

Mencari sistem untuk menyimpan banyak kredensial yang saya gunakan sebagai konsultan / programmer kontrak. Meskipun saya tahu saya bisa menggunakan KeePass atau serupa untuk penggunaan desktop, atau sesuatu seperti PassPack untuk penyimpanan kata sandi (enkripsi sisi klien) berbasis web, bahkan Evernote dapat digunakan untuk membuat 'notebook' untuk setiap klien / proyek dengan data sensitif dienkripsi - yang saya cari adalah layanan yang menyediakan:

  • Penyimpanan berbagai kredensial (Kunci WPA, Lisensi Perangkat Lunak, kunci API Amazon).
  • Cara aman untuk meminta kredensial, tanpa memaksa mendaftar.

Saya mungkin akan baik-baik saja dengan menyimpan berbagai data sebagai kata sandi - yang paling penting adalah mendapatkan data. Sementara PassPack memiliki antarmuka 'berbagi', itu akan memaksa klien untuk mendaftar. Saya mencari sesuatu yang menyederhanakan enkripsi kunci publik / pribadi sehingga saya dapat memberi tahu klien, "Jangan kirimkan email kepada saya, cukup buka ___.com/tjlytle dan isi formulir."

Apakah saya melewatkan situs apa pun yang melakukan itu?

untagged Tim Lytle
sumber
1
Saya sedang membangun ini untuk saya dan klien saya dan karyawan dan mitra; jika tidak ada yang menjawab saya kira ada bisnis yang siap terjadi ...
Devin Ceartas
@ Devin Ya, itulah yang saya pikirkan, saya hanya mencari solusi yang sudah ada sebelum mencoba menulis sesuatu. Seberapa jauh Anda?
Tim Lytle
Hanya berpikir saya akan menunjukkan, menemukan posting terkait pada pengguna super ( superuser.com/questions/255/… ), setelah memposting di sini, tetapi tidak melihat apa-apa dengan fitur 'permintaan' yang saya cari.
Tim Lytle
@Devin PassPack, perpustakaan crypto bersumber terbuka, tetapi seluruh sistem Clipperz terbuka ( clipperz.com/open_source/clipperz_community_edition ), mungkin itu tempat awal yang bagus?
Tim Lytle
Berikut adalah perpustakaan JS lain ( pidder.com/pidcrypt ), dan tampaknya menjadi bagian dari situs manajemen kata sandi berbasis web lainnya. Karena perpustakaan mendukung RSA (passpack menggunakan AES) mereka mungkin bekerja pada publik / pribadi 'kirim kata sandi'.
Tim Lytle

Jawaban:

3

Setelah bekerja untuk perusahaan "layanan terkelola" di masa lalu, saya mencari sesuatu seperti ini tetapi tidak pernah menemukannya. Saya belum punya waktu atau kecenderungan untuk menulis hal seperti itu sejak memulai bisnis saya sendiri, tetapi pasti ada pasar untuk itu. Ini pasti akan berguna untuk penggunaan internal di dalam organisasi TI lebih dari 1 orang juga.

Saya telah melihat terlalu banyak "solusi" terkotak menggunakan hal-hal seperti "Password Safe" yang tidak memiliki mekanisme audit yang kuat (atau apa pun). Sangat menyakitkan untuk mengubah semua kata sandi di "aman" ketika seseorang meninggalkan perusahaan. Menyimpan kata sandi disimpan di sisi server dengan mekanisme akses granular dan jejak audit akan membuat hidup jauh lebih mudah dalam kemungkinan seperti itu.

Fitur yang saya suka meliputi:

  • Otentikasi untuk pengguna individu ke basis data sehingga jejak audit dapat dihasilkan. Idealnya sistem otentikasi akan menggunakan otentikasi HTTP biasa.

  • "Akses tanpa pendaftaran" ("permintaan" fitur) Anda kedengarannya seperti menggunakan URL unik sebagai "pintasan" untuk melewati otentikasi untuk kredensial yang diberikan yang dapat mengakses satu kata sandi. Kedengarannya cukup mudah untuk diterapkan. Saat Anda membuat kredensial sekali pakai itu, Anda harus memiliki semacam metadata untuk menjelaskan mengapa kredensial itu dibuat (untuk pelaporan).

  • Laporan yang menunjukkan kata sandi apa yang diakses oleh pengguna untuk mengizinkan hanya kata sandi yang diperlukan untuk diubah ketika seseorang meninggalkan perusahaan. Setelah data dalam database back-end ini mudah.

  • Tanggal kedaluwarsa kata sandi. Saya akan menggunakan ini untuk mendorong skrip untuk melakukan rotasi kata sandi otomatis dan check-in kata sandi baru ke sistem. Seringkali saya mendapatkan hal-hal seperti kata sandi akun layanan yang saya tidak ingin dikenakan persyaratan penuaan kata sandi sistem operasi tetapi, pada saat yang sama, saya ingin kata sandi berubah sesekali.

Database back-end dengan antarmuka web CRUD semua dibungkus dalam SSL harus bekerja dengan baik untuk ini.

Seharusnya tidak terlalu banyak pekerjaan untuk menyatukan sesuatu yang cepat dan kotor, tetapi membuatnya benar-benar halus dan bersih (dengan API klien yang bagus) mungkin akan menjadi pekerjaan.

Evan Anderson
sumber
Kedengarannya seperti sistem yang cukup kuat, sementara saya hanya mencari sistem pengguna tunggal (sebagai konsultan) daftar fitur Anda jauh lebih komprehensif. Tentang fitur permintaan, saya tidak mencari akses satu kali ke kata sandi, hanya kemampuan untuk menambahkan kata sandi. Jadi, seorang klien dapat mengisi kata sandi, untuk apa, dll, kemudian membuatnya dienkripsi dengan kunci publik saya, sehingga mereka 'mengirim' saya kredensial dengan cara yang aman (tentu saja, mereka dapat mengirim saya email terenkripsi) , tapi saya mencari sesuatu yang sederhana untuk mereka).
Tim Lytle
Oh! Saya salah mengerti fitur permintaan Anda. Apa yang Anda gambarkan, bisa memasukkan kata sandi ke dalam basis data, juga terdengar sangat berguna! Kira itu akan membantu jika saya membaca sesuatu, eh? > tersenyum <
Evan Anderson
Catatan tambahan: Saya bersedia memberikan $ 500 kepada seseorang yang mengembangkan hal seperti itu dengan lisensi gaya BSD atau gaya GPL. Siapa pun yang tertarik harus menghubungi saya secara offline dan kami dapat berbicara tentang melakukan dokumen persyaratan dan kontrak untuk pekerjaan tersebut.
Evan Anderson
2

Kami menggunakan perpustakaan pidCrypt kami di pidder ( https://www.pidder.com ) - platform berbasis web yang berfokus pada pengelolaan dan berbagi rahasia (kata sandi, pesan, informasi identitas, dll.) Dengan aman.

Kami sudah memiliki fitur "dropbox" di daftar todo kami, meskipun dengan sedikit prioritas dan dijadwalkan untuk rilis nanti. Setelah menemukan pertanyaan ini, kami memutuskan untuk menerapkannya pada awal beta terbuka kami akhir tahun ini.

Jadi, sementara fitur utama akan memerlukan registrasi, ada juga akan menjadi "dropbox" di mana siapa saja dapat mengirim pesan terenkripsi ke pengguna terdaftar asalkan mereka tahu URL dropbox-nya.

Jonah
sumber
Lagi pula untuk masuk pada beta pribadi?
Tim Lytle
@Tim Tentu, cukup kirimi kami email ke alamat yang diberikan di pidder.com/en/impressum.html
Jonah
Terlihat sangat bagus - setelah Anda memiliki dropbox, itu akan menjadi apa yang saya cari.
Tim Lytle
@Tim: Dropbox tersedia sekarang dan pidder adalah beta terbuka. Beri tahu kami pendapat Anda.
Jonah
1

Setidaknya ada dua pengelola kata sandi online yang merupakan perangkat lunak gratis:

W3PW

http://w3pw.sourceforge.net/

Clipperz

http://www.clipperz.com/open_source/clipperz_community_edition

Keduanya terlihat cukup bagus (belum pernah menggunakannya).

Satu-satunya fitur yang hilang, sejauh yang saya tahu, adalah kemampuan untuk menambahkan kata sandi tanpa memiliki akun (jika saya mengerti Anda dengan benar).

Ini seharusnya tidak terlalu sulit untuk ditambahkan, jadi mungkin masuk akal untuk membangun ke salah satu produk ini. Lagipula itulah intinya perangkat lunak bebas :-).

Salah satu caranya adalah dengan mengimplementasikan fitur yang memungkinkan Anda membatasi pengguna untuk menambahkan kata sandi baru. Kemudian Anda bisa membuat "addpassword" pengguna dengan kata sandi default (atau kosong), dan mengirimkannya ke klien (atau mengimplementasikan fitur untuk membuat URI yang melakukan preauthenticates Anda, sehingga Anda bisa mengirim tautan). Itu harus bekerja dan aman ...

sleske
sumber
0

Salah satu solusi yang saya temukan (hanya untuk mendapatkan kata sandi) adalah mengenkripsi dalam javascript, mengambil data terenkripsi (melalui email / browser) kemudian secara manual mendekripsi secara lokal (sehingga data yang tidak terenkripsi tidak pernah melakukan perjalanan tanpa jaminan). Ini tidak dipoles, tetapi pada dasarnya akan sama dengan meminta klien mengenkripsi dan mengirim kata sandi - hanya mereka yang bisa melakukannya hanya dalam bentuk web.

Ini sebuah contoh .

Tim Lytle
sumber