SecureLogin, decentralizovaný autentizační protokol

Egor Homakov představil verzi 1.0 svého decentralizovaného autentizačního protokolu SecureLogin, pomocí kterého se lze "zbavit hesel". K vyzkoušení je demo. Zdrojové kódy jsou k dispozici na GitHubu pod licencí MIT [Hacker News].

6.6.2017 22:22 | Ladislav Hagara | Zajímavý software

Komentáře

[plka]

Jsem jediný kdo nenašel dokumentaci jak to funguje?

[Ladislav Hagara]

S dokumentací je to horší. Use the source, Luke.
Zveřejněn byl alespoň vývojový diagram.

[.]

Takové to domácí programováníčko na víkend. U něj teda 3 roky a pocit, že je to úplně úžasné :D

[petrfm]

Kdyz se chci zbavit hesek, staci dat zapamatovat, ne? Nebo vsude pouzivat jedno heslo, idealne neco jako xxx nebo 123. A je to, nemusim instalovat nejakou hruzu, ktera ve finale dela to same.

[Josef Kufner]

Používat všude jedno heslo je nebezpečné. Ale používat náhodná hesla a nechávat na svém prohlížeči, aby si je pamatoval mi přijde jako to nejlepší, co jde udělat (v poměru bezpečnost/pohodlí). Tedy pokud si nezapamatuješ ta náhodná hesla sám a nezanedbáš zabezpečení prohlížeče.

[petrfm]

To je fakt, ale když se někdy potřebuješ připojit mimo svůj PC, tak jsi v pytli. Pokud teda nemáš nějaký sync těch hesel, ale to už je zase díra jak vrata.

[Sten]

Šifrovaný KeePass v mobilu

[petrfm]

V mobilu? Takže hesla v cloudu bez zabezpečení?

[Picard0147]

Proč by se hesla v mobilu musela nutně nahrávat do cloudu? A když už mají opustit mobil, tak proč ne na vlastní server (owncloud, nextcloud apod.) a ještě k tomu bez zabezpečení?
Navíc už i na android je pass kompatibilní heslovník, jmenuje se Password Store a je ke stažení z F-Droidu.
Nicméně tyhle heslovníčky, pokud nejedou na stroji odkud se přihlašuju a jsou tedy v určité fázi použití napadnutelné malwarem, neřeší opisování nějaký šilenosti o 30ti či více znacích.Další možností je šifrovaný oddíl a v něm soubor s hesly a další věci hodné bezpečnějšího uschování, ale zase jakmile je oddíl připojen (a tím i dočasně odheslován) vidí ho systém a tedy i případný virus - zas špatně...
Takže na nedůležité/neškodné profily, které nemohou způsobit finanční či jiné ztráty asi ukládání hesel v prohlížeči a na ten zbytek bych byl fakt rád, kdyby se masivně rozšířil Trezor login či U2F (rovněž podporovaný Trezorem a nejen tím).

[Picard0147]

EDIT: "a ještě k tomu bez zabezpečení?" patří do první věty.

[petrfm]

Jenom že google má nad androidem kopletní moc. Apple nad iPhone taky. Tak mi jen ukaž nějaký chytrý mobil, který by buď kompletně nebyl řízený z cloudu nebo nebyl samá díra? IMHO psát si ty hesla na papírek a nosit je v kapse, nebo používat něco jako 123456 je mnohem bezpečnější.

[Picard0147]

Pokud bych chtěl mít jistotu (vím,nikdy není na 100%), tak začnu s čistým androidem bez google apps, na XDA Developers je docela dobrej výběr romek i se zaměřením na "paranoiky", kdo umí, může si systém zkontrolovat sám, ten kdo ne, musí se spolehnout na to, že danou romku sestavoval ten, kdo umí a že komenty s možnými změnami taky nejsou od úplných pitomců - což je ostatně společný pro celý opensource. Apky budu brát z alternativních zdrojů např F-Droid atd.
Absolutní moc googlu nad telefonem prochází přes integraci google účtu (google apps) do systému a ta není nezbytná, synchronizace kontaktů a dat (pokud ji někdo chce, může probíhat pomocí own či next cloudu, maily včetně gmailu lze odesílat a přijímat například přes K-9 mail, který krom jinýho podporuje v kombinaci s OpenKeychainem i GPG podpisy a šifrování, atd.
Je fakt, že tento postup systém poněkud ořeže, ale holt vše funguje ve stylu něco za něco...

[petrfm]

Jo, přesně takhle svůj android mám nastaven. Používám k tomu cyanogenmod, bez google apps. Přesto bych tomu systému nesvěřil nic víc než své kontakty, komunikaci a pár hambatých fotek. Nikdy nevíš, co kdo do těch ROMek nacpal, nikdy nevíš, co si stáhneš za humus z toho fdroidu, nikdy nevíš, kdy se objeví nějaká díra, která se dá lehce zneužít. Android je těch děr plný a tyhle alternativní ROMky mají problém, že většinou nejsou moc často aktualizované - pokud máš nějaký exotický HW, pak je to ještě horší - moje poslední aktualizace proběhla cca před dvěmi lety? Takže ten telefon je děravý jak cedník.

Navíc, co mě na androidu sere nejvíc, že každá aktualizace aplikace = potenciální rozbití, případně úplná změna UI, apod. Proto i aplikace aktualizuji až když opravdu musím. Nesnáším, když se mi to totálně mění pod rukama, to je fičura pro puberťáky, každý měsíc mít jiný vzhled aplikací a systému.

[Vladimír Čunát]

Jsou různé nástroje které z jednoho hesla a názvu domény vygenerují deterministické heslo (crypto-hashem). Stačí pak pamatovat to jedno heslo a nainstalovat ten nástroj. Samozřejmě, tím se leaknutí toho hesla stává dost nebezpečnou záležitostí - zvlášť pokud tohle chceš dělat "mimo svůj PC". Ale pokud chce člověk bez synchronizace (a dobré paměti) mít přístup k hromadě hesel, tak to asi vždycky bude risk.

Alternativně, pokud bych se měl často pohybovat po různých PC, asi bych volil nějaké hardwarové zařízené, třeba yubikey...

[pavlix]

Něco takového jsem si nedávno zkusmo napsal. Jenže jsem narazil na to, že jsou všude různá pravidla pro hesla. Někde má shora omezený počet znaků nebo dokonce množinu znaků, jinde zase jsou nesmyslně vyžadovány znaky navíc z různých skupin.

[petrfm]

Ta pravidla mě úplně vytáčejí. Když to chce písmena, jak tam mám napsat 123456? Je to opruz. Přitom tím dosáhnou jen toho, že tam člověk dá A123456, případně Aa123456. Úplná blbost, protože když už teda nějaké heslo fakt používám a musím ho kvůli tomu změnit, tak ho za dva dny zapomenu a každé přihlášení se děje přes email a obnovu hesla.

[pavlix]

A proto většina mých hesel končí... nenapíšu jak, protože by někoho mohlo napadnout to explicitně zakázat a já bych si musel hledat novou znakově obohacovací konstantu.

[Josef Kufner]

Téměř všechny služby umožňují nechat poslat odkaz pro jednorázové přihlášení na e-mail, kam si heslo pamatuju. Není to moc pohodlné, ale pokud je to občas potřeba, tak to jde.

Na služby, kam se přihlašuju často z různých počítačů, se to samozřejmě nehodí, ale takových je jen pár.

[petrfm]

Nejlepší je, když ten email dorazí třeba za 10 minut. Takže než se přihlásím do eshopu, vypiju si třeba kafe?

[Josef Kufner]

Maily obvykle chodí do minuty, takže to nebývá problém. Ale jak už jsem psal, je to záložní možnost, nikoliv pro každodenní použití.

[kaaja]

Co je na tom decentralizovaného, když vás stejně ověřuje jedna centrální autorita? Nebo jsem to nepochopil?