Sprzętowy menedżer haseł DIY

Zaprezentowane urządzenie - PasswordPump - to menedżer haseł na USB, który pozwala przechowywać do 254 kompletów danych do logowania (nazwa konta, nazwa użytkownika i hasło). Są one przechowywane tylko w pamięci tego urządzenia, na dwóch wbudowanych w system pamięciach EEPROM. System wykorzystuje szyfrowanie AES-128 dla bezpieczeństwa danych. Nie są one składowane w chmurze ani w pliku na komputerze, gdzie są bardziej narażone na działania hakerów. Poświadczenia są archiwizowane tylko na samym urządzeniu; znajduje się tutaj też kopia zapasowa - zaszyfrowane dane uwierzytelniające są przenoszone z podstawowej pamięci EEPROM do zapasowego układu. Można usunąć chip z urządzenia (np. aby zachować trzecią lub czwartą kopię zapasową).

Dane wprowadzane są do układu za pomocą enkodera obrotowego (po lewej stronie) lub klawiatury i terminala szeregowego. Samo urządzenie ma w przybliżeniu 29 mm x 71 milimetrów. Obecnie autor nie zaprojektował jeszcze finalnej obudowy. Wstępny projekt obudowy zaprezentowano w artykule źródłowym; jest ona dedykowana do druku 3D.

Jak pisze autor projektu - "Uważam, że wiele osób nadal używa najprostszej techniki do zapamiętywania swoich haseł - zapisuje je w notatniku lub na kartce. Jest to niebezpieczne z dwóch powodów. Oczywiście, jeśli ktoś ukradnie twój notatnik pełen haseł, gra się kończy. PasswordPump szyfruje Twoje hasła i wymaga wprowadzenia hasła głównego, aby uzyskać dostęp do wszystkich innych haseł; więc jeśli ktoś go ukradnie, nadal nie może uzyskać dostępu do haseł. Po drugie, ludzie nie zawsze wybierają hasła, które są naprawdę trudne do odgadnięcia, a nawet pokonaniu przy użyciu ataku słownikowego. Jedną z najlepszych cech tego menedżera haseł jest to, że pozwala ona wygenerować i zapamiętać 31 haseł składających się z losowych kombinacji znaków ASCII, liczb i symboli".

Autor wskazuje także, że urządzenie to jest istotnie tańsze od komercyjnych odpowiedników. Podaje przykład Mooltipass Mini Offline Password Keeper - kosztującego 79 dolarów menedżera haseł. Mooltipass różni się pod wieloma istotnymi względami od przedstawionej konstrukcji i wydaje się być ładnym, dojrzałym produktem open source. Jest on również zbudowany na ATMega32u4.

Innym układem, jaki podaje autor jest Memtype, który opisywany jest jako "eleganckie rozwiązanie do przechowywania Twoich danych uwierzytelniających wszędzie". Wizualnie prezentuje się bardzo dobrze. Oparty jest na układzie ATTiny!

Jest jeszcze kilka innych otwartych projektów, na przykład Password Keeper oparty na Arduino Pro Micro, który jest doskonałym przykładem, jak zrealizować takie urządzenie. W projekcie zapewniono nawet sposób edycji danych uwierzytelniających za pomocą programu na komputerze. Mooltipass, Memtype czy The Password Keeper nie były jednak inspiracją dla tego projektu. Inspiracją dla tego projektu był Automated Password Typer. Poświadczenia w tym urządzeniu są jednak zakodowane na stałe i nie ma tutaj możliwości dodawania nowych, usuwania starych lub edytowania istniejących danych uwierzytelniających (poza modyfikacją kodu źródłowego, ponowną kompilacją i ponownym flashowaniem układu). Dodatkowo, pamięć nie jest zabezpieczona przed odczytem, aby chronić poświadczenia. "Postanowiłem rozwinąć pomysł przedstawiony w tym projekcie i 2000 linii kodu później wylądowałem tutaj z PasswordPump" - podsumowuje autor konstrukcji.


Podstawowe cechy

* Zapamiętywanie do 254 zestawów danych do logowania na pojedynczym EEPROMIE 25LC256.
* Dane zapisywane są w kolejności alfabetycznej celem ułatwienia ich przeszukiwania.
* Do 10 prób wprowadzenia głównego hasła. Po tym dane są kasowane z EEPROM.
* Wszystkie dane są szyfrowane z pomocą AES128, główne hasło jest hashowane z wykorzystaniem SHA256.
* Urządzenie jest odporne na standardowe ataki słownikowe.
* Kopie zapasowe na dodatkowych EEPROMach także są szyfrowane.
* Wszystkie dane można zgrać do pliku tekstowego.
* Dane do urządzenia zapisywać można poprzez interfejs szeregowy, klawiaturę komputera lub enkoderem obrotowym w układzie.
* Pojedyncze główne hasło master mające do 14 znaków.
* Automatyczne wylogowanie po godzinie bezczynności.
* Opcjonalny generator bezpiecznych haseł - 31 znaków losowych liter, symboli i liczb.
* Konfigurowalne wyświetlanie haseł na układzie.

Potrzebne elementy:

W dalszej części artykułu znajdziemy informacje o montażu całego urządzenia i oprogramowaniu do niego.

Źródło: https://www.instructables.com/id/PasswordPump-Passwords-Manager/

Fajne. Przydała by się jeszcze emulacja klawiatury USB, w celu łatwiejszego wprowadzania losowych haseł do formularza. Bo rozumiem, że obecnie jedyna możliwość to ręczne przepisanie hasła z wyświetlacza.

Cytat:

If you only want to send the password to the computer, followed by a carriage return, scroll down once using the rotary encoder until you see:

Send Password
[the account name you entered]

And short click to send the password and the carriage return character.

Urządzenie potrafi wysyłać hasła do komputera (emuluje klawiaturę)

Ok. Dziękuję

Fajne ale jako ciekawostka dla majsterkowiczów.
Prościej, pewniej i wygodniej jednak chyba aplikacja na desktop (Win/Mac/Linux) typu KeePass (opensource) z portami na Androida/IPhona/Windows Phone.

A ja polecam OnlyKey. Może nie taka pojemność haseł jak w tym projekcie, ale mi w zupełności wystarcza.

pioteer napisał:

Prościej, pewniej i wygodniej jednak chyba aplikacja na desktop (Win/Mac/Linux) typu KeePass (opensource) z portami na Androida/IPhona/Windows Phone.

Oczywiście, że tak, ale chodziło o pokazanie sposobu przechowywania poza pamięcią komputera.
Nie na darmo są sprzętowe portfele do "przechowywania" kryptowalut na przykład "Ledger Nano S"

vayo napisał:

A ja polecam OnlyKey. Może nie taka pojemność haseł jak w tym projekcie, ale mi w zupełności wystarcza.

To co polecasz to gotowe rozwiązanie, w dodatku znacznie droższe niż prezentowane tutaj DIY.

Konstrukcja tutaj prezentowana może nie wygląda tak ładnie ale jest za to bardzo funkcjonalna i tania.

gulson napisał:

pioteer napisał:

Prościej, pewniej i wygodniej jednak chyba aplikacja na desktop (Win/Mac/Linux) typu KeePass (opensource) z portami na Androida/IPhona/Windows Phone.

Oczywiście, że tak, ale chodziło o pokazanie sposobu przechowywania poza pamięcią komputera.
Nie na darmo są sprzętowe portfele do "przechowywania" kryptowalut na przykład "Ledger Nano S"

komercyjne (z zamkniętym oprogramowaniem) rozwiązania zawsze niosą niebezpieczeństwo backdoorów, to raz. (to nawet w przypadku portfela krypto wydarzyło się już chyba w przeszłości)
Dwa, to rozwiązanie które zaproponowałem pozwala przechowywać bazę haseł poza pamięcią komputera - może być przecież zapisywana na pendrivie i podłączana tylko w momencie korzystania, jeśli komuś bardzo na tym zależy. Sam fakt, że bazę można otwierać na telefonie w dowolnym systemie, bije to rozwiązanie DIY funkcjonalnie na głowę, nie wspominając nawet o wygodzie używania.. To rozwiązanie jest ciekawostką dla majsterkowiczów z funkcją edukacyjną.

pioteer napisał:

gulson napisał:

pioteer napisał:

Prościej, pewniej i wygodniej jednak chyba aplikacja na desktop (Win/Mac/Linux) typu KeePass (opensource) z portami na Androida/IPhona/Windows Phone.

Oczywiście, że tak, ale chodziło o pokazanie sposobu przechowywania poza pamięcią komputera.
Nie na darmo są sprzętowe portfele do "przechowywania" kryptowalut na przykład "Ledger Nano S"

komercyjne (z zamkniętym oprogramowaniem) rozwiązania zawsze niosą niebezpieczeństwo backdoorów, to raz. (to nawet w przypadku portfela krypto wydarzyło się już chyba w przeszłości)
Dwa, to rozwiązanie które zaproponowałem pozwala przechowywać bazę haseł poza pamięcią komputera - może być przecież zapisywana na pendrivie i podłączana tylko w momencie korzystania, jeśli komuś bardzo na tym zależy. Sam fakt, że bazę można otwierać na telefonie w dowolnym systemie, bije to rozwiązanie DIY funkcjonalnie na głowę, nie wspominając nawet o wygodzie używania.. To rozwiązanie jest ciekawostką dla majsterkowiczów z funkcją edukacyjną.

Kłóciłbym się z tą zaletą w postaci przechowywania haseł na pendrive. Ryzyko utraty danych z pendrive'a (awaria, zaszyfrowanie przez złośliwe aplikacje) wg mnie jest o wiele większe niż z urządzenia przedstawionego przez autora.

jarux napisał:

Kłóciłbym się z tą zaletą w postaci przechowywania haseł na pendrive. Ryzyko utraty danych z pendrive'a (awaria, zaszyfrowanie przez złośliwe aplikacje) wg mnie jest o wiele większe niż z urządzenia przedstawionego przez autora.

Ciekawe podejście: awaria pendrive wadą a awaria 25LC256 z zaprezentowanego urządzenia jest praktycznie niemożliwa..
Jeśli ktoś boi się awarii pendrive, to może kopiować swoją bazę haseł na dowolną ilość nośników zewnętrznych przechowując je w różnych sejfach..(paranoid mode on)

Są 2 EEPROMy, jak jeden padnie zostaje drugi. Mało prawdopodobne aby padły oba. Do tego odpada ryzyko malware który może namieszać w pendrive. Kiedyś wciągnąłem pendrive do odkurzacza wodnego i niestety nie przetrwał tego (po osuszeniu nie był w ogóle wykrywany). Nie wiem co się mu stało ale raczej niczego podobnego bym się nie spodziewał po tym EEPROMie. Jakby co to można dodatkowo zabezpieczyć układ przed ESD diodami, to go dodatkowo uodporni.

Cytat:

Jeśli ktoś boi się awarii pendrive, to może kopiować swoją bazę haseł na dowolną ilość nośników zewnętrznych przechowując je w różnych sejfach..

Jak podłączy się wszystkie te pendrive pod zainfekowane komputery to na wszystkich można stracić dane. To znaczy że ile by ich nie było to nieostrożny użytkownik może stracić wszystkie dane.

fotomh-s napisał:

Konstrukcja tutaj prezentowana może nie wygląda tak ładnie ale jest za to bardzo funkcjonalna i tania.

Funkcjonalna pod jakim względem? Jak to będziesz nosić, by się coś nie urwało? Wprowadzanie hasła za pomocą enkodera, to dla mnie też jakaś porażka. Nie przeglądałem kodu źródłowego, ale moje zastrzeżenia budzi też przechowywanie danych w zewnętrznych EEPROM'ach -posiadając ich kopie możemy potraktować urządzenie metodą brute-force i w końcu odgadnąć hasło, bo dane nawet jakby miały zostać wykasowane po kilku nieudanych próbach, to zawsze można je tam sobie ponownie wgrać, lub ustawić write protect na EEP. Tak więc, ani to ładne, ani praktyczne -po prostu zabawka. To co ja mam, to nie tylko menedżer haseł, to też dwuetapowe uwierzytelnianie, klucze PGP, RSA, emulacja Yubikey i wiele innych zaawansowanych opcji. Nikogo oczywiście nie namawiam do zakupu i jak najbardziej popieram ideę DIY, ale to urządzenie wg mnie nie ma racji bytu.

Cuda wianki szyfrowane a dostęp do haseł z enkodera... Na jakiej zasadzie to działa? Dwa w prawo, trzy w lewo?

pioteer napisał:

jarux napisał:

Kłóciłbym się z tą zaletą w postaci przechowywania haseł na pendrive. Ryzyko utraty danych z pendrive'a (awaria, zaszyfrowanie przez złośliwe aplikacje) wg mnie jest o wiele większe niż z urządzenia przedstawionego przez autora.

Ciekawe podejście: awaria pendrive wadą a awaria 25LC256 z zaprezentowanego urządzenia jest praktycznie niemożliwa..
Jeśli ktoś boi się awarii pendrive, to może kopiować swoją bazę haseł na dowolną ilość nośników zewnętrznych przechowując je w różnych sejfach..(paranoid mode on)

Awaria tutaj i tutaj może się zdarzyć natomiast w przytoczonym rozwiązaniu nie grozi nam zaszyfrowanie danych przez złośliwe oprogramowanie.


Abstrahując od wszystkiego, wolałbym takie rozwiązanie DIY niż notes z hasłami

Bardzo ciekawy projekt, na pewno zrobię dla siebie coś takiego tylko wyrzucę ten nieszczęsny enkoder i wstawię kilka przycisków. Wpisanie hasła tym enkoderem musi być męką.
Ciekawi mnie tylko żywotność tych kości EEPROM. Kiedyś trzymałem zaszyfrowane kontenery na karcie micro sd i niestety nie wytrzymała długo, z pendrive miałem podobne doświadczenie.
W tym projekcie są 2 kości EEPROM ale nie zagłębiałem się w kod źródłowy i nie wiem czy jest tam jakieś wykrywanie czy jedna z kości jest uszkodzona.

EEPROM zwykle ma wytrzymałość jakieś 100000 cykli zapisu. W praktyce to bardzo dużo. Już FLASHa co ma 10000 cykli ciężko jest ubić.

Wiadomo, że tych haseł nie nadpisuje się kilka razy na minutę, więc żywotność EEPROMu powinna być wystarczająca. Niemniej jednak też ciekawi mnie, czy zastosowali choćby jakiś prosty wear leveling, np. pisanie na okrętkę po kolejnych komórkach, a nie tylko ciągle w jedno miejsce.
No i czy jest jakiś algorytm, który w przypadku niezgodności pomiędzy dwoma pamięciami wie co zrobić Pewnie w obu jest CRC i jak w jednym jest ono prawidłowe, a w drugim nie, to bierze to prawidłowe.. a jak w obu błędne? To pewnie peszek Choć w opisie jest "Kopie zapasowe na dodatkowych EEPROMach", czyli podstawowy zestaw danych chyba jest w pamięci wewnętrznej, czyli mamy 3 lokalizacje.

Wpisywanie hasła z enkodera.. ekhmm.. w Rigolach tak się edytuje nazwy plików zapisywanych na USB i generalnie trochę to makabra. Niby jest to jakaś opcja, ale ja dziękuję. Dobrze, że mają też przez seriala i z klawiatury

szereg wad powodujących że łatwo wyciągnąć wszystkie hasła i będzie jeszcze dokładnie wiadomo do czego one są. A opowiadacie tu o jakichś zupełnie pobocznych sprawach

szlovak napisał:

szereg wad powodujących że łatwo wyciągnąć wszystkie hasła i będzie jeszcze dokładnie wiadomo do czego one są. A opowiadacie tu o jakichś zupełnie pobocznych sprawach

Jakich wad?

ghost666 napisał:

Jakich wad?

gwarantuję Ci, że mając to urządzenie w ręku i bazując na informacjach tzn. kodzie źródłowym i jak to urządzenie działa, prawdopodobne hasło do tego urządzenia będzie zbyt krótkie i wystarczy użyć zwykły bruteforce. Wprowadzanie tego hasła dostępowego do samego urządzenia jest upośledzone, co za tym idzie będzie ono najprawdopodobniej krótkie dosyć, żeby w ogóle to urządzenie było wygodne w użyciu. Wyobrażasz sobie kręcić tym kółkiem kilka minut żeby wprowadzić naprawdę skomplikowane hasło? to nawet nie hasło tylko liczenie obrotów lewo/prawo. Takie urządzenia są na tyle mocne jak najsłabsze ogniwo zabezpieczeń....pin

Ten enkoder to jedyny minus tego urządzenia. Wystarczy zrobić trochę większą wersję z klawiaturą i będzie idealne przynajmniej do moich zastosowań.