Passwort Manager, automatisches ausfüllen von Feldern Systemweit

**mensch72**

das einfachste ist ein Systemweiter "hook" auf Mouse&Tastatur, wenn man dann "irgendwo" z.B. "Rechtsklick" mit "LinksShift+Alt" drückt, dann geht (d)ein PopupMenu auf und du bietest kontextsensiv soweit du es anhand von Focus und Fenster,... erkennen kannst hinterlegte Passwörter an...

ABER, komfort hin oder her, Passwörter gehören niemals nur in Software gespeichert! Dafür externe (Crypto)Chipkarten oder sonstige externe Hardware, dann ja... vor langer Zeit bot Towitoko z.B. mal sowas an.

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

**dummzeuch**

Zitat von mensch72:

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?

**mensch72**

..."Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?"...
Im Prinzip kann das jeder MicroControler mit USB-HID-Softwarestack...

Es reicht bei uns neben eigener MiniHardware aktuell z.B. völlig auch das(Incl. Display und kontaktlosen Bedientasten für 50Eur plus kleinem flachem Gehäuse mit USB+Display Löchern):

http://www.microchipdirect.com/Produ...words=DM240011

Da ich täglich mit MicroChip Zeug arbeite und auch was für "Show" und ein paar andere Features wollte, habe ich zusätzlich auch einfach nochmal ein fertiges Board mit schickem 4,3"Touch-LCD genommen... daher ist meine LuxusVariante ist nicht mehr ganz billig:

http://www.microchipdirect.com/Produ...words=DM320015

http://www.mikroe.com/mikromedia/plus/pic32mx7/
200Eur Netto + simples flaches Gehäuse(oben für Display offen, an der Seite für USB ein "Loch") und fertisch ist der Zauberkasten

Wir verwenden solche externen USB Devices mit 32Bit MicroControlern in unserem System als intelligente Dongle zur Hardware basierten externen Dekodierung unseres LiveDatenstreams und Datenarchive, denn unsere externe (PC)Software beim Kunden kennt definitiv keine Keys oder Algos, Analyse zwecklos (z.B. aktuelle und historische Finanzdaten unter Börsenlizenz).

Ich würde NIEMALS (m)einer PC-Softwarelösung vertauen... wer unser Daten hacken will, muss zuerst unsere Microcontroler cracken, um dann zu versuchen die Informationen innerhalb der PC Software zu manipulieren

... und wer unsere MicroControler aufschleift um deren OTP Flash zu analysieren, um den mache ich mir keine Sorgen, denn das ist ein Level wo man sich dann schon geehrt fühlt wenn es jemandem diesen Aufwand wert ist

**mensch72**

..."Genau an solch einer Hardware arbeite ich. Bei mir besteht die Hardware jedoch aus einer RFID Karte auf welcher die Passwörter gespeichert sind"...

"Zufällig" mache ich sowas auch, sowohl mit in unserer Hardware mit TI-TRF7970 als auch mit NXP+RC663

Bei den RFID Karten nehmt kein MifareClassic!... geht bitte MINDESTENS auf UltralightEV1 oder besser gleich DesfireEV1.
(ich hoffe ihr habt bei NXP selbst echten Zugriff auf alle NDA geschützten Mifare und EV1 Dokumente)

Alternativ könnt ihr euch auch irgendeine ProzessorRFID Karte nehmen, nur deren Verfügbarkeit ist definiv schlechter wie irgendwas sogar billiges mit/nach NXP-EV1 Standard.

Letzter Tip: Verwendet NIEMALS eine (eigene) Sicherheitslogik, welche auf der "HardwareUID"(ISO Seriennummer) einer RFID Karte beruht!!!
1. es gibt Karten(chip)Hersteller, die verkaufen Karten wo man diese UID SELBST noch bestimmen und 1x schreiben kann
2. es gibt ISO14443 & ISO15693 Softwareemulatoren, die können mit passender Hardware jede UID simulieren

**mensch72**

..."Sehr interessant! Wäre das für mich als Privatperson nicht etwas zu teuer"...

- unter 25..30Eur Hardware als USB-Stick mit einer 3Farb/RGB LED und ein/zwei Tasten kann das (hier)keiner samt Gehäuse in Kleinstückzahl fertigen
- 25..30Eur für Software und Umlage der Entwicklungskosten sind auch ohne davon reich werden zu wollen einfach notwendig

=> ich würde für sowas "einfaches" ohne Text-Display in Kleinstückzahl("als "Entwicklungsmuster") 50..60Eur Ziel-VK kalkulieren, aber da ist noch keine CE Zulassung usw. dabei. Wer sowas echt vertreiben wollte, müsste dann bei 75Eur Ziel-Endkunden-VK dies über die Stückzahl selbst finanzieren

ps:
"http://blselectronics.ch"... wie ihr eine RFID Lösung samt Funk&CE Zulassung im Kleinstückzahl für 15..20Eur anbieten wollt, ist mir ein Rätsel... wenn ihr das könnt, lasse ich meine Hardware gerne bei euch fertigen und ihr produziert mir die sammt dieser Zulassungen

**Ghostwalker**

Zitat von mensch72:

Ich würde NIEMALS (m)einer PC-Softwarelösung vertauen... wer unser Daten hacken will, muss zuerst unsere Microcontroler cracken, um dann zu versuchen die Informationen innerhalb der PC Software zu manipulieren

... und wer unsere MicroControler aufschleift um deren OTP Flash zu analysieren, um den mache ich mir keine Sorgen, denn das ist ein Level wo man sich dann schon geehrt fühlt wenn es jemandem diesen Aufwand wert ist

Vertrauen..hmmm...so gesehen vertrau ich nix anderem als mir selbst (in der hinsicht).

Via Trojaner, Virus oder ähnlichem wär das sicher möglich. Schließlich muss die Usb-Hardware mit der Software auf dem PC kommunizieren. Die kann man mitschneiden und analysieren.

Harwarelösungen sind (imho) eher für Firmen geeignet, wärend Softwarelösungen eher was für den Otto-Normal-Dau sind.

**mensch72**

..."Die kann man mitschneiden und analysieren."...
eben nicht, weil NUR in der USB Hardware der "Dekoder" ist, die PC Software zeigt letztendlich nur noch DUMM nur die zurückgelieferten "Resultate" der USB Hardware an.

=> Ich könnte die PC Software auch als OpenSouce veröffentlichen, es würde sich nix am Sicherheitskonzept ändern

Hardware Sachen mehr für Firmen, "privat" besser Software?..
Eben NICHT, ganau darum analysieren wir ja hier gerade den "BreakEven", ab wann man eine taugliche Hardware herstellen kann, welche trotz ihrer Einfachheit besser ist wie 90% aller teils auch schon deutlich teureren Softwarelösungen

**Ghostwalker**

Zitat von mensch72:

..."Die kann man mitschneiden und analysieren."...
eben nicht, weil NUR in der USB Hardware der "Dekoder" ist, die PC Software zeigt letztendlich nur noch DUMM nur die zurückgelieferten "Resultate" der USB Hardware an.

=> Ich könnte die PC Software auch als OpenSouce veröffentlichen, es würde sich nix am Sicherheitskonzept ändern

Was aber schon aussreichenw würde, die Software ohne Hardware zu nutzen

Aber egal, darum gehts
hier nicht.

Zitat von mensch72:

Hardware Sachen mehr für Firmen, "privat" besser Software?..
Eben NICHT, ganau darum analysieren wir ja hier gerade den "BreakEven", ab wann man eine taugliche Hardware herstellen kann, welche trotz ihrer Einfachheit besser ist wie 90% aller teils auch schon deutlich teureren Softwarelösungen

Den sag ich dir für die Masse der DAU's aus dem FF: 0,00 EUR

Wer ein gewisses "Sicherheitsbewußtsein" als User hat, wird sicher auch mal 30-40 Euro's springen lassen. Mehr aber auch nicht. Dafür sind manche Softwarelösungen einfach zu gut (zumindest bis jetzt) und kostenlos.

Für Paranoiker wie uns dürfens gern auch 100 Euro sein.

Im privaten Umfeld muss meines erachtents erstmal ein Sicherheitsbewusstsein geschaffen werden, damit sowas zur Anwendung kommen kann. Im Bereich der Firmen sieht es da in der zwischenzeit etwas
besser aus (deshalb auch da meine Aussage hinsichtlich Hardware-Einsatz; Eine Firma ist da wesentlich eher Bereit Geld dafür auszugeben

Ich persönlich nutze die Software Keypass in Verbindung mit einem USB-Stick. Sicher nicht die sicherste aller Lösungen. Aber um einiges sicherer als so manches was ich bei anderen gesehen hab.
Und dazu kostet das ganze 10,- Euro für den USB-Stick. Die Software is für lau.

Nichts destowenige ist das Projekt interresant und ich will das hier wirklich nicht madig machen

**mensch72**

..."Nichts destowenige ist das Projekt interresant und ich will das hier wirklich nicht madig machen "...
alles gut, jede sachlich begründete Meinung ist doch hilfreich!

Ich habe mich warum auch immer eben sehr früh auf ein Konzept "dummer" PC (Anzeige)Software festgelegt, welche ohne die per externer Hardware dekodierten Daten im Prinzip völlig wertlos ist und mit der man auch Opensource mangels passender (live/historical)Daten nix anfangen könnte.

Es hängt immer von der Anwendung ab, hier im Thread geht es ja "primär" um was mit Passwörtern welche auf RFID gespeichert seinen und dann "irgendwie" wieder zurück in das "Eingabefeld" kommen. HW-Kosten angeblich unter 20Eur... plus etwas Software... im Prinzip SUPER, nur glaube ich aus eigener Erfahrung eben nicht daran etwas "zugelassenes" für den Preis in "kleiner" Stückzahl produzieren und verkaufen zu können.

=> Ich würde mich aber freuen wenn es möglich ist und wäre auch bereit die zertifzierte Produktion meiner Lösung dort zu ähnlichen Konditionen realisieren zu lassen

**hedie**

Zitat von mensch72:

ABER, komfort hin oder her, Passwörter gehören niemals nur in Software gespeichert! Dafür externe (Crypto)Chipkarten oder sonstige externe Hardware, dann ja... vor langer Zeit bot Towitoko z.B. mal sowas an.

Da ich bei Passwörtern nur meiner eigenen Hardware vertraue, habe ich mir genau für solche Zwecke eine kleine Box gebaut, die wie eine zweite Tastatur per USB angeschlossen ist und mir auf Knopfdruck oder per Befehl darin gespeicherte Nutzernamen und/oder Passwörter in den Rechner völlig unbemerkt von anderer Software automatisiert eingeben kann.
(Funktioniert sogar für BIOS-Passwörter oder in/mit beliebigen VMs)

Danke für deine Antwort.
Genau an solch einer Hardware arbeite ich. Bei mir besteht die Hardware jedoch aus einer RFID Karte auf welcher die Passwörter gespeichert sind. Diese lassen sich jedoch nur mittels Passwort von der Karte lesen. Dieses müsste dann zu beginn definiert werden und in der Hardware hinterlegt werden. Somit wird die Karte an die Hardware gekoppelt. Ich denke dies bietet eine sehr hohe Sicherheit.

Zitat von dummzeuch:

Nette Idee, eigentlich. Gibt's dafuer eine Bauanleitung?

Es ist unser Verein

http://blselectronics.ch welcher an der RFID Lösung arbeitet.
Sobald das ganze Fertig ist, kann man die Hardware auf unserer Seite kaufen. Wir nicht viel kosten, ohne Gehäuse denke ich mal um die 15-20 EUR.

Nun müsste ich nur die Software auf dem PC vernünftig hinkriegen.

Idealerweise, erkennt die Software dass eben ein solches Fenster offen ist und meldet dann "bitte Badge platzieren..."
Nach dem Platzieren, wird das Passwort aus dem Badge ausgelesen und im Fenster eingegeben.

Es sollen zudem verschiedene Passwörter auf der Karte hinterlegt werden können.