这是一个专门讨论 idea 的地方。
每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。
那这个时候，不妨可以把那些 idea 分享出来，启发别人。
每个人的时间，资源是有限的，有的时候你或许能够想到很多 idea，但是由于现实的限制，却并不是所有的 idea 都能够成为现实。
那这个时候，不妨可以把那些 idea 分享出来，启发别人。
这是一个创建于 3619 天前的主题，其中的信息可能已经有所发展或是发生改变。
我想自己造个“密码管理器”的轮子，通过Web实现，不考虑类似LastPass的自动填充的功能，只用于存储密码。
我初步设想是这样的：
- 只需要记住一个密码，暂且称之为“last pass”好了。
- “last pass”通过PBKDF2函数生成一个key，这个key用于AES加密，这个key我们称之为“PBKDF2 key”
- “PBKDF2 key”用来加密（使用AES算法）另一个key，这个“另一个key”我们用来加密（也是使用AES算法）我们在各个网站的登录密码（或其它需要加密的密码），“另一个key”我们称为“password key”
- 需要一个密码（比如GitHub的登录密码）的时候，输入“last pass”，通过PBKDF2函数得到“PBKDF2 key”，然后用“PBKDF2 key”去解密加密后的“password key”，最后通过解密得到的“password key”去解密我们存储的密码
- 全站https
除了密码管理以外，还有一个想整合进去的功能，就是为每个网站生成一个唯一的用户名，增加社工的成本。
不知道这个设计有没有缺陷，想听下大家的看法。 :)
我初步设想是这样的：
- 只需要记住一个密码，暂且称之为“last pass”好了。
- “last pass”通过PBKDF2函数生成一个key，这个key用于AES加密，这个key我们称之为“PBKDF2 key”
- “PBKDF2 key”用来加密（使用AES算法）另一个key，这个“另一个key”我们用来加密（也是使用AES算法）我们在各个网站的登录密码（或其它需要加密的密码），“另一个key”我们称为“password key”
- 需要一个密码（比如GitHub的登录密码）的时候，输入“last pass”，通过PBKDF2函数得到“PBKDF2 key”，然后用“PBKDF2 key”去解密加密后的“password key”，最后通过解密得到的“password key”去解密我们存储的密码
- 全站https
除了密码管理以外，还有一个想整合进去的功能，就是为每个网站生成一个唯一的用户名，增加社工的成本。
不知道这个设计有没有缺陷，想听下大家的看法。 :)
第 1 条附言 · 2014-12-27 13:37:48 +08:00
感谢 @silver @endoffight 提醒，才知道 KeePass 有Android客户端，已经打消自己设计一个“密码管理器”的想法了。谢谢各位提供的建议。
 |
1
4everLoveU 2014-12-26 13:31:41 +08:00
不太懂，唯一的疑问就是密码输入框输入的不都是暗文吗？你怎么知道用户输入的是“last pass”？
|
 |
2
gno23x OP @4everLoveU 存储的密码都是加密过的，用户输入了“last pass”后能解密得到需要的密码，用户输入的“last pass”就是正确的。具体的加解密流程看我的描述。
|
 |
3
tojoevan 2014-12-26 13:44:28 +08:00
应该属于非对称加密方法吧，可以度娘下，有很多。
|
 |
4
lsmgeb89 2014-12-26 13:51:46 +08:00
你不觉得很麻烦吗？LastPass 这种，都不需要输，直接快捷键或者自动输了。
|
 |
5
nicai000 2014-12-26 13:54:12 +08:00
我一直在用自己的密码管理器
|
|
6
gno23x OP @lsmgeb89 嗯嗯，可以理解为实现一个LastPass出来。用自己电脑的话，密码是可以通过浏览器记住的，并且很多网站登录态都可以维持一段时间，所以从“密码管理器”中复制一下密码也不算太费事。
就是不想用LastPass，没有原因。 |
 |
8
9hills 2014-12-26 14:00:08 +08:00
不如用这个，每次动态计算。。也不用去存
http://flowerpassword.com/ |
|
9
gno23x OP @9hills 貌似这个暴力破解的成本比较低？我知道你用的是“花密”，一般你用于qq密码的代号就极有可能是qq，“记忆密码”一般还是比较简单，比较容易穷举出来。（当然，这个容易是相对的，也不是特指穷举qq的密码）
|
 |
10
tt7 2014-12-26 15:24:15 +08:00  1
@gno23x 如果把花密的算法改成使用者提供呢？ 对于普通用户而言， 可以在后台提供多种算法， 选择加密算法的算法由用户提供， 提供的方式可以很简单， 比如回答一系列问题， 或者画一个自定义的图形。
|
 |
11
wadezhao 2014-12-26 15:47:40 +08:00
keepass是开源的，直接用人家久经考验的算法不好么……………………
自己造个外观漂亮的界面就好。 |
 |
12
wolfan 2014-12-26 15:50:58 +08:00
我觉得可以改造花密将记忆码设为一个固定值，区码改为自动获取DNS主域段。自动完成应该也不错。
|
 |
14
omegaga 2014-12-26 15:57:37 +08:00
@gno23x 看上去就是1password的思路，不过为什么要多一层password key呢？是为了使每一个密码都有独立的AES加密的密钥吗？这样的好处是什么？
|
|
15
gno23x OP @tt7 如果是自己用的话，自己搞一套算法的话相对就没那么容易被暴力破解了。问题就是如果算法因为服务器入侵啥的被知道了，就和花密一样了。因为是自己用的，所以考虑得比较极端，哈哈。总的来说，你这个思路还是足够安全的。
|
|
17
gno23x OP @omegaga 如果只是用“PBKDF2 key”（“last pass”通过PBKDF2函数生成）去加密我们存储的密码的话，那如果你要修改“last pass”的话，就必须解密所有已存储的的密码，然后再用新的“PBKDF2 key”去加密。
有了“password key”后，我们修改“last pass”后，只需要用新的“PBKDF2 key”重新加密一下“password key”就行了。 :) |
|
18
gno23x OP 1
@omegaga 上面还没说完，所有密码用的都是同一个“password key”，这个“password key”用“PBKDF2 key”加密。
|
 |
19
zix 2014-12-26 17:29:53 +08:00
目前在Linux、Windows都是用keepassx，觉得还是挺不错的，看了下，keepassx也支持Mac os
|
|
21
gno23x OP @zix KeePass通过Mono平台可以在OS X下使用，不过毕竟不是原生UI，会有一些小问题。而且用KeePass的话，人不在电脑旁的话，需要密码怎么办？
|
|
22
9hills 2014-12-26 17:48:27 +08:00
@gno23x 穷举说的简单。。求穷举
huami算法，你现在获取我在一个叫 cracker 的论坛的加密密码是：K3945b18c8426F51。这个论坛我明确告诉你，我用的代号就是cracker 求穷举我的密码，谢谢 |
|
23
9hills 2014-12-26 17:51:31 +08:00
|
|
24
gno23x OP @9hills 上面说了考虑得比较极端，如果cracker论坛没有任何防刷机制的话，你的密码比较短且不复杂的话，穷举还是有可能的。 :)
|
|
25
9hills 2014-12-26 17:55:09 +08:00
@gno23x 已经和cracker没关系了吧。我在cracker论坛的密码你都知道了
huami本质是一个算法 Z = huami(X, Y) 现在你知道了Z是K3945b18c8426F51，Y是cracker，求X 你是可能穷举，那可以试试。。 |
 |
26
geew 2014-12-26 18:05:02 +08:00
|
|
27
gno23x OP @9hills
纯数字，8位，一年时间，每秒需要试3.17个密码。 英文数字混合的话，8位，一年时间，每秒试89456.8个密码。 如果只有一个密码的话，这个密码当然会设置得相对复杂，所以穷举成本确实蛮高。 实际上我也没仔细算过这个成本，所以我上面保守得说了“考虑得比较极端”，也提了“容易是相对的”。 :) |
 |
29
fityme 2014-12-26 19:17:53 +08:00
写了个离线版alfred的workflow，能自动复制到剪切板。。。
然后我自己没在用（还没买正版alfred... |
 |
32
KentY 2014-12-26 21:42:32 +08:00 via iPhone 1
我从写了自己的密码管理器一直用，5，6年了。但不是web的。
https://github.com/sk1418/passwdmanager |
|
33
gno23x OP |
 |
34
shepherd 2014-12-27 03:30:03 +08:00
@gno23x 一直在用黑莓上的密码管理器，重要一点的账号基本上都是不同密，强度足够，而且定期更换。
有段时间有过一个想法，就是设计一个跟工行电子密码器类似的便携设备，主要功能就跟1Password一类的密码管理软件类似，既方便携带，又能保证一定安全性。 其实，总感觉密码这种东西记脑子里最安全，但是人不可能记住那么多复杂无规律的密码，所以如果要借助工具记录的话，这种工具越远离互联网越安全吧。“安全”这东西都是有依赖性的，不存在独立的绝对的安全。 |
 |
35
sNullp 2014-12-27 03:58:40 +08:00
|
 |
36
endoffight 2014-12-27 07:09:05 +08:00 via iPhone
keepass满足不了你吗？
|
|
37
gno23x OP @shepherd 黑莓随身带挺麻烦吧，突然想到准备换手机，旧手机里头放个密码管理器貌似不错，还能如你所说远离互联网，哈哈。
@sNullp 不错，php写的，可以研究一下。 @endoffight KeePass功能是不错，就是人不在电脑旁边就拿不到密码了。 |
 |
38
kstsca 2014-12-27 08:52:26 +08:00
如何解决 类似 qq 登陆 密码输入，一个一个输？
|
 |
39
GeekGao 2014-12-27 10:21:33 +08:00
自编算法表，然后把人肉加密记录在email里发给自己多个账户比啥都靠谱
|
 |
40
silver 2014-12-27 13:02:10 +08:00 1
@gno23x 人不在电脑旁什么意思，总会有个手持设备吧。keepass下分支版覆盖各种系统和手持，同步数据库啊。要有心还不如以keepass为基础做个不错的界面。
|
|
41
endoffight 2014-12-27 13:21:45 +08:00 via Android 1
keepass 的手机客户端啊，osx啊什么的
|
|
42
gno23x OP |
 |
43
llbxwj 2014-12-27 14:06:17 +08:00
试试花瓣
|
|
44
llbxwj 2014-12-27 14:09:15 +08:00
错了，是花密
|
 |
46
AlexaZhou 2014-12-30 13:05:39 +08:00
很早之前我也自己实现了一个，和LZ的思路基本一致，不过是本地运行的。因为我觉得密码这些东西通过web来处理不太安全
传送门：code.google.com/p/text-encrypt 后来换Mac之后发现系统自带的安全备注很好用，就没继续用这个 |
Select Language