Passwort Manager, automatisches ausfüllen von Feldern Systemweit

[hedie]

Hallo zusammen

Ich wollte fragen, welche Möglichkeiten es für mein Vorhaben denn so gibt.

Was ich machen möchte, ist eine Art Passwortmanager.
Ablaufen soll das ganze etwa so, dass wenn man irgendwo im System sein Passwort eingeben muss, sei es im E-Mail Client
oder auf im Netz, der Passwort Manager dies übernimmt.

Dies soll den Komfort maximieren.

Ich dachte mir, dass es eventuell möglich sei, dass man beim ersten erscheinen des Fensters, in das Textfeld klickt und
dann dem Manager mitteilt, dass hier ein Passwort hingehört.

Nun soll der Manager selbständig das System überwachen, und prüfen, ob besagtes Fenster aufgegangen ist und dies dann ausfüllen und bestätigen.
Ist sowas möglich?

Wäre dies auch möglich für Webseiten ohne ein Add-On zu verwenden?

Danke

[mensch72]

das einfachste ist ein Systemweiter "hook" auf Mouse&Tastatur, wenn man dann "irgendwo" z.B. "Rechtsklick" mit "LinksShift+Alt" drückt, dann geht (d)ein PopupMenu auf und du bietest kontextsensiv soweit du es anhand von Focus und Fenster,... erkennen kannst hinterlegte Passwörter an...

ABER, komfort hin oder her, Passwörter gehören niemals nur in Software gespeichert! Dafür externe (Crypto)Chipkarten oder sonstige externe Hardware, dann ja... vor langer Zeit bot Towitoko z.B. mal sowas an.

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

[dummzeuch]

Zitat:

Zitat von mensch72 (Beitrag 1353442)

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?

[hedie]

Zitat:

Zitat von mensch72 (Beitrag 1353442)

ABER, komfort hin oder her, Passwörter gehören niemals nur in Software gespeichert! Dafür externe (Crypto)Chipkarten oder sonstige externe Hardware, dann ja... vor langer Zeit bot Towitoko z.B. mal sowas an.

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

Danke für deine Antwort.
Genau an solch einer Hardware arbeite ich. Bei mir besteht die Hardware jedoch aus einer RFID Karte auf welcher die Passwörter gespeichert sind. Diese lassen sich jedoch nur mittels Passwort von der Karte lesen. Dieses müsste dann zu beginn definiert werden und in der Hardware hinterlegt werden. Somit wird die Karte an die Hardware gekoppelt. Ich denke dies bietet eine sehr hohe Sicherheit.

Zitat:

Zitat von dummzeuch (Beitrag 1353443)

Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?

Es ist unser Verein http://blselectronics.ch welcher an der RFID Lösung arbeitet.
Sobald das ganze Fertig ist, kann man die Hardware auf unserer Seite kaufen. Wir nicht viel kosten, ohne Gehäuse denke ich mal um die 15-20 EUR.

Nun müsste ich nur die Software auf dem PC vernünftig hinkriegen.

Idealerweise, erkennt die Software dass eben ein solches Fenster offen ist und meldet dann "bitte Badge platzieren..."
Nach dem Platzieren, wird das Passwort aus dem Badge ausgelesen und im Fenster eingegeben.

Es sollen zudem verschiedene Passwörter auf der Karte hinterlegt werden können.

[Benedikt Magnus]

Zitat:

Zitat von hedie (Beitrag 1353444)

Idealerweise, erkennt die Software dass eben ein solches Fenster offen ist und meldet dann "bitte Badge platzieren..."

Wenn es sowieso danach fragt, warum das Eintragen dann nicht über eine Tastenkombination initiieren? Das Passwort könnte dann dort eingefügt werden, wo der Mauszeiger aktiv ist (also über eine simulierte Tastatureingabe).

[hedie]

Zitat:

Zitat von Benedikt Magnus (Beitrag 1353448)

Zitat:

Zitat von hedie (Beitrag 1353444)

Idealerweise, erkennt die Software dass eben ein solches Fenster offen ist und meldet dann "bitte Badge platzieren..."

Wenn es sowieso danach fragt, warum das Eintragen dann nicht über eine Tastenkombination initiieren? Das Passwort könnte dann dort eingefügt werden, wo der Mauszeiger aktiv ist (also über eine simulierte Tastatureingabe).

Das ist ein durchaus legitimes Argument.
Ich würde eben gerne verschiedene Passwörter unterstützten. Da wäre es dann sinnvoll, wenn das Programm automatisch erkennen könnte, welches Passwort verwendet werden sollte anhand der "umgebungsbedingungen"

[mensch72]

..."Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?"...
Im Prinzip kann das jeder MicroControler mit USB-HID-Softwarestack...

Es reicht bei uns neben eigener MiniHardware aktuell z.B. völlig auch das(Incl. Display und kontaktlosen Bedientasten für 50Eur plus kleinem flachem Gehäuse mit USB+Display Löchern):
http://www.microchipdirect.com/Produ...words=DM240011



Da ich täglich mit MicroChip Zeug arbeite und auch was für "Show" und ein paar andere Features wollte, habe ich zusätzlich auch einfach nochmal ein fertiges Board mit schickem 4,3"Touch-LCD genommen... daher ist meine LuxusVariante ist nicht mehr ganz billig:

http://www.microchipdirect.com/Produ...words=DM320015
http://www.mikroe.com/mikromedia/plus/pic32mx7/
200Eur Netto + simples flaches Gehäuse(oben für Display offen, an der Seite für USB ein "Loch") und fertisch ist der Zauberkasten


Wir verwenden solche externen USB Devices mit 32Bit MicroControlern in unserem System als intelligente Dongle zur Hardware basierten externen Dekodierung unseres LiveDatenstreams und Datenarchive, denn unsere externe (PC)Software beim Kunden kennt definitiv keine Keys oder Algos, Analyse zwecklos (z.B. aktuelle und historische Finanzdaten unter Börsenlizenz).

Ich würde NIEMALS (m)einer PC-Softwarelösung vertauen... wer unser Daten hacken will, muss zuerst unsere Microcontroler cracken, um dann zu versuchen die Informationen innerhalb der PC Software zu manipulieren;)... und wer unsere MicroControler aufschleift um deren OTP Flash zu analysieren, um den mache ich mir keine Sorgen, denn das ist ein Level wo man sich dann schon geehrt fühlt wenn es jemandem diesen Aufwand wert ist:)

[Ghostwalker]

Zitat:

Zitat von hedie (Beitrag 1353451)

Ich würde eben gerne verschiedene Passwörter unterstützten. Da wäre es dann sinnvoll, wenn das Programm automatisch erkennen könnte, welches Passwort verwendet werden sollte anhand der "umgebungsbedingungen"

*Reicht eine Wahrsage-Kugel*

Automatisch zu erkennen das eine beliebige Software in einer beliebigen Umgebung ein Passwort benötigt, dürfte ohne eingreifen des Users ein ziemlich aussichtsloses Unterfangen. Dafür gibts
einfach zu viele unterschiedliche Bedingungen. :)

ABER...wie schon angesprochen das via Shortcut oder Context-Menü zu machen (der, der weiß das jetzt
Zugangsdaten gebraucht werden ist schließlich der Heini vor dem Kasten) find ich für eine gute Lösung.

[Benedikt Magnus]

Zitat:

Zitat von hedie (Beitrag 1353451)

Zitat:

Zitat von Benedikt Magnus (Beitrag 1353448)

Zitat:

Zitat von hedie (Beitrag 1353444)

Idealerweise, erkennt die Software dass eben ein solches Fenster offen ist und meldet dann "bitte Badge platzieren..."

Wenn es sowieso danach fragt, warum das Eintragen dann nicht über eine Tastenkombination initiieren? Das Passwort könnte dann dort eingefügt werden, wo der Mauszeiger aktiv ist (also über eine simulierte Tastatureingabe).

Das ist ein durchaus legitimes Argument.
Ich würde eben gerne verschiedene Passwörter unterstützten. Da wäre es dann sinnvoll, wenn das Programm automatisch erkennen könnte, welches Passwort verwendet werden sollte anhand der "umgebungsbedingungen"

Das könntest du anhand der geöffneten Programme ermitteln. Und falls es für dasselbe Programm (oder für mehrere der geöffneten Programme) mehrere gespeicherte Passwörter gibt, vielleicht in einem Overlay am Bildschirmrand eine Liste mit Bezeichnern und Tasten(kombinationen) zur Auswahl anzeigen lassen.

@mensch72:
Sehr interessant! Wäre das für mich als Privatperson nicht etwas zu teuer (lohnt sich dann nicht) würde ich es mir auf jeden Fall genauer ansehen!

[mensch72]

..."Genau an solch einer Hardware arbeite ich. Bei mir besteht die Hardware jedoch aus einer RFID Karte auf welcher die Passwörter gespeichert sind"...

"Zufällig" mache ich sowas auch, sowohl mit in unserer Hardware mit TI-TRF7970 als auch mit NXP+RC663 :)

Bei den RFID Karten nehmt kein MifareClassic!... geht bitte MINDESTENS auf UltralightEV1 oder besser gleich DesfireEV1.
(ich hoffe ihr habt bei NXP selbst echten Zugriff auf alle NDA geschützten Mifare und EV1 Dokumente)

Alternativ könnt ihr euch auch irgendeine ProzessorRFID Karte nehmen, nur deren Verfügbarkeit ist definiv schlechter wie irgendwas sogar billiges mit/nach NXP-EV1 Standard.

Letzter Tip: Verwendet NIEMALS eine (eigene) Sicherheitslogik, welche auf der "HardwareUID"(ISO Seriennummer) einer RFID Karte beruht!!!
1. es gibt Karten(chip)Hersteller, die verkaufen Karten wo man diese UID SELBST noch bestimmen und 1x schreiben kann
2. es gibt ISO14443 & ISO15693 Softwareemulatoren, die können mit passender Hardware jede UID simulieren

[mensch72]

..."Sehr interessant! Wäre das für mich als Privatperson nicht etwas zu teuer"...

- unter 25..30Eur Hardware als USB-Stick mit einer 3Farb/RGB LED und ein/zwei Tasten kann das (hier)keiner samt Gehäuse in Kleinstückzahl fertigen
- 25..30Eur für Software und Umlage der Entwicklungskosten sind auch ohne davon reich werden zu wollen einfach notwendig

=> ich würde für sowas "einfaches" ohne Text-Display in Kleinstückzahl("als "Entwicklungsmuster") 50..60Eur Ziel-VK kalkulieren, aber da ist noch keine CE Zulassung usw. dabei. Wer sowas echt vertreiben wollte, müsste dann bei 75Eur Ziel-Endkunden-VK dies über die Stückzahl selbst finanzieren


ps:
"http://blselectronics.ch"... wie ihr eine RFID Lösung samt Funk&CE Zulassung im Kleinstückzahl für 15..20Eur anbieten wollt, ist mir ein Rätsel... wenn ihr das könnt, lasse ich meine Hardware gerne bei euch fertigen und ihr produziert mir die sammt dieser Zulassungen:)

[Ghostwalker]

Zitat:

Zitat von mensch72 (Beitrag 1353452)

Ich würde NIEMALS (m)einer PC-Softwarelösung vertauen... wer unser Daten hacken will, muss zuerst unsere Microcontroler cracken, um dann zu versuchen die Informationen innerhalb der PC Software zu manipulieren;)... und wer unsere MicroControler aufschleift um deren OTP Flash zu analysieren, um den mache ich mir keine Sorgen, denn das ist ein Level wo man sich dann schon geehrt fühlt wenn es jemandem diesen Aufwand wert ist:)

Vertrauen..hmmm...so gesehen vertrau ich nix anderem als mir selbst (in der hinsicht). :)

Via Trojaner, Virus oder ähnlichem wär das sicher möglich. Schließlich muss die Usb-Hardware mit der Software auf dem PC kommunizieren. Die kann man mitschneiden und analysieren. :)

Harwarelösungen sind (imho) eher für Firmen geeignet, wärend Softwarelösungen eher was für den Otto-Normal-Dau sind.

[mensch72]

..."Die kann man mitschneiden und analysieren."...
eben nicht, weil NUR in der USB Hardware der "Dekoder" ist, die PC Software zeigt letztendlich nur noch DUMM nur die zurückgelieferten "Resultate" der USB Hardware an.

=> Ich könnte die PC Software auch als OpenSouce veröffentlichen, es würde sich nix am Sicherheitskonzept ändern:)

Hardware Sachen mehr für Firmen, "privat" besser Software?..
Eben NICHT, ganau darum analysieren wir ja hier gerade den "BreakEven", ab wann man eine taugliche Hardware herstellen kann, welche trotz ihrer Einfachheit besser ist wie 90% aller teils auch schon deutlich teureren Softwarelösungen:):):)

[Ghostwalker]

Zitat:

Zitat von mensch72 (Beitrag 1353462)

..."Die kann man mitschneiden und analysieren."...
eben nicht, weil NUR in der USB Hardware der "Dekoder" ist, die PC Software zeigt letztendlich nur noch DUMM nur die zurückgelieferten "Resultate" der USB Hardware an.

=> Ich könnte die PC Software auch als OpenSouce veröffentlichen, es würde sich nix am Sicherheitskonzept ändern:)

Was aber schon aussreichenw würde, die Software ohne Hardware zu nutzen :) Aber egal, darum gehts
hier nicht.

Zitat:

Zitat von mensch72 (Beitrag 1353462)

Hardware Sachen mehr für Firmen, "privat" besser Software?..
Eben NICHT, ganau darum analysieren wir ja hier gerade den "BreakEven", ab wann man eine taugliche Hardware herstellen kann, welche trotz ihrer Einfachheit besser ist wie 90% aller teils auch schon deutlich teureren Softwarelösungen:):):)

Den sag ich dir für die Masse der DAU's aus dem FF: 0,00 EUR :)

Wer ein gewisses "Sicherheitsbewußtsein" als User hat, wird sicher auch mal 30-40 Euro's springen lassen. Mehr aber auch nicht. Dafür sind manche Softwarelösungen einfach zu gut (zumindest bis jetzt) und kostenlos.

Für Paranoiker wie uns dürfens gern auch 100 Euro sein.

Im privaten Umfeld muss meines erachtents erstmal ein Sicherheitsbewusstsein geschaffen werden, damit sowas zur Anwendung kommen kann. Im Bereich der Firmen sieht es da in der zwischenzeit etwas
besser aus (deshalb auch da meine Aussage hinsichtlich Hardware-Einsatz; Eine Firma ist da wesentlich eher Bereit Geld dafür auszugeben :)

Ich persönlich nutze die Software Keypass in Verbindung mit einem USB-Stick. Sicher nicht die sicherste aller Lösungen. Aber um einiges sicherer als so manches was ich bei anderen gesehen hab.
Und dazu kostet das ganze 10,- Euro für den USB-Stick. Die Software is für lau.

Nichts destowenige ist das Projekt interresant und ich will das hier wirklich nicht madig machen :)

[mensch72]

..."Nichts destowenige ist das Projekt interresant und ich will das hier wirklich nicht madig machen "...
alles gut, jede sachlich begründete Meinung ist doch hilfreich!

Ich habe mich warum auch immer eben sehr früh auf ein Konzept "dummer" PC (Anzeige)Software festgelegt, welche ohne die per externer Hardware dekodierten Daten im Prinzip völlig wertlos ist und mit der man auch Opensource mangels passender (live/historical)Daten nix anfangen könnte.


Es hängt immer von der Anwendung ab, hier im Thread geht es ja "primär" um was mit Passwörtern welche auf RFID gespeichert seinen und dann "irgendwie" wieder zurück in das "Eingabefeld" kommen. HW-Kosten angeblich unter 20Eur... plus etwas Software... im Prinzip SUPER, nur glaube ich aus eigener Erfahrung eben nicht daran etwas "zugelassenes" für den Preis in "kleiner" Stückzahl produzieren und verkaufen zu können.



=> Ich würde mich aber freuen wenn es möglich ist und wäre auch bereit die zertifzierte Produktion meiner Lösung dort zu ähnlichen Konditionen realisieren zu lassen:)

[mm1256]

Hallo,

nur mal so zum Vergleich, was bereits am Markt befindliche Produkte kosten und leisten. Ich habe schon seit einigen Jahren CHIPDRIVE MYKEY im Einsatz und bin sehr zufrieden damit. Leider gibt es das Teil momentan nicht zu kaufen, ich könnte mir aber auch gut vorstellen, dass die Produktion komplett eingestellt wurde. Die Kosten sind einfach zu hoch für eine vernünftige Lösung und wie schon angesprochen, das Sicherheitsbewusstsein ist bei vielen Usern wohl nicht besonders gut ausgeprägt. Die Bereitschaft, für eine gute auf Hardware basierende Lösung ein paar Euros in die Hand zu nehmen, ist wohl noch geringer. Ich will deine Hoffnungen und Ambitionen ja nicht zerreden, aber Geld verdienen geht vermutlich etwas anders :pale: