Webbasierter Passwortmanager zum selbst hosten

[Encoder]

Hallo
Hab das erst jetzt gesehen.

Damit es später nicht zur Verwirrung kommt, wollte ich das eben klar stellen.

Gute Idee.

Da nimmt man am besten was existierendes, TripleDES dürfte gerade aktuell sein und sich für jede Sprache als was fertiges finden lassen.

Und wieso symmetrische Verschlüsselung? Die Wahl sollte begründet ausfallen und vorher mit seinen Alternativen diskutiert worden sein.

Ich meinte die Verschlüsselung der Daten in der Datenbank. Asymmetrisch würde bedeuten, es muss irgendwo ein privater Schlüssel sitzen mit dem die Daten entschlüsselt werden. Den auf dem Server zu halten würde die Sache sinnlos machen. Auf den Clients wäre es auch nicht handlebar. Daher dachte ich daran, ein vom Nutzer eingegebenes Passwort zur Ver/Entschlüsselung zu verwenden. Dann ist das Passwort nirgends gespeichert, was natürlich bedeutet dass bei Verlust die Daten alle verloren sind. Das ließe sich aber durch ein Backup an einer sicheren Stelle lösen.

Weitere Maßnahmen.
Um das ganze noch etwas sicherer zu halten könnte man zum Beispiel ein Cookie auf dem Rechner oder Smartphone setzen das einen Teil des Passworts enthält. Sofern das möglich ist, wenn nur von vorher bekannten Rechnern auf das System zugegriffen werden soll.
Dann kann selbst jemand der das Passwort kennt von einem fremden Rechner aus nicht auf das System zugreifen.
Wenn man es noch etwas sicherer halten will, könnte man das Passwort um einen Zufallswert ergänzen, den man bei der Ausgabe selbstverständlich wieder abziehen muss. Z.B. 3 beliebige Zeichen anhängen. Dann hätten gleiche Passwörter verschiedene verschlüsselte Werte, wer die Datenbank sieht kann dann nicht erkennen dass mehrmals das selbe Passwort verwendet wird.