Webbasierter Passwortmanager zum selbst hosten

[Encoder]

Hallo, in meinem Beitrag waren mehrere Gedanken enthalten. Ich versuche das zu entwirren.

Bei symmetrischer Verschlüsselung müssen beide Schlüssel geheim gehalten werden.

Dass es nur einen gibt hat ja Christian Kruse bereits gesagt. Hier kommt es drauf an wie der Schlüssel aussehen soll. Wenn das ein Passwort ist das der Eigentümer weiß und jedes mal eingeben will (im Gegensatz zu einer Passwort-Datei was ja auch denkbar wäre, die aber nicht auf beliebigen Rechnern vorhanden ist), wird dieser Schlüssel nirgends abgelegt sondern sich nur gemerkt.

Dann ist das Passwort nirgends gespeichert, was natürlich bedeutet dass bei Verlust die Daten alle verloren sind. Das ließe sich aber durch ein Backup an einer sicheren Stelle lösen.
Ob ein Nutzer das Passwort oder den Schlüssel in digitaler Form speichert, kann man nicht vorhersehen. Und das ist im Endeffekt auch egal, der Nutzer muss dafür sorgen, dass der Schlüssel (das Geheimnis) geheim! bleibt, darauf kommt es an.

Dabei dachte ich an Plaintext der ausgedruckt zuhause im Schrank liegt :-) Dann kann man das Passwort zum System vergessen und hat wenigstens nicht alle darin gespeicherten Passwörter verloren.

Um das ganze noch etwas sicherer zu halten könnte man zum Beispiel ein Cookie auf dem Rechner oder Smartphone setzen das einen Teil des Passworts enthält. Sofern das möglich ist, wenn nur von vorher bekannten Rechnern auf das System zugegriffen werden soll.
Ich verstehe nicht, wie ein Cookie hier zu mehr Sicherheit beitragen sollte.

Damit könnte ein Teil des Passworts in ein Cookie ausgelagert werden, das natürlich vorher ausdrücklich gesetzt werden muss. Somit würde praktisch das Passwort verlängert und selbst wenn jemand dem Nutzer bei der Eingabe des Passworts zusieht, kann derjenige von seinem Rechner aus immer noch nichts damit anfangen. War aber nur eine Idee, so sehr praktikabel dürfte die nicht sein.

Wenn man es noch etwas sicherer halten will, könnte man das Passwort um einen Zufallswert ergänzen, den man bei der Ausgabe selbstverständlich wieder abziehen muss. Z.B. 3 beliebige Zeichen anhängen. Dann hätten gleiche Passwörter verschiedene verschlüsselte Werte, wer die Datenbank sieht kann dann nicht erkennen dass mehrmals das selbe Passwort verwendet wird.
Redest du von Salting? Das ist ein Verfahren, dass man oft in Verbindung mit Hashing benutzt. Bei der Verschlüsselung kann man dadurch afaik die Sicherheit nicht erhöhen.

Damit würde man erreichen dass mehrere gleiche gespeicherte Werte - man hat vielleicht öfter das selbe Passwort verwendet - mit verschiedenen Zufallsstrings ergänzt wird und somit ein unterschiedlicher verschlüsselter Wert rauskommt. In gewissem Sinn wäre das mit Salting also schon vergleichbar, es ist aber letztendlich doch was anderes gemeint.