Δωρεάν εφαρμογή διαχείρισης κωδικών (password manager)

[zardoz]

Εδώ 2-3 μερικές μέρες έβγαλα στο Google Play μια εφαρμογή διατήρησης κωδικών
(password manager), το The Friendly Password Safe

https://play.google.com/store/apps/d...bonpeople.safe

Ουσιαστικά ο λόγος που τον έφτιαξα (εκτός από το να εμβαθύνω στο android programming) ήταν
ότι δε μπορεί κανεις να εμπιστευθεί password managers που... έχουν πρόσβαση στο internet
γιατί ποτέ δε ξέρεις που θα συνδεθούν για να δείξουν διαφημίσεις κλπ κλπ.

Το πρόγραμμα αυτό

- ΔΕΝ δείχνει διαφημίσεις
- Eίναι δωρεάν
- Δεν χρειάζεται internet ούτε έχει δικαίωμα πρόσβασης σε internet/cloud/sd
- Είναι απλό στη χρήση, δεν παριστάνει το ... organizer
- Δεν απαιτεί ΚΑΝΕΝΑ δικαίωμα εφαρμογής android
- Υποστηρίζει ΛΕΥΚΟ, ΜΑΥΡΟ και τα αντίστοιχα νεότερα HOLO θέματα εμφάνισης
- Τρέχει σε όλες τις συσκευές πάνω από android 2.1, από μικρές έως tablets

Μερικά screenshots (έχει και ελληνική γλώσσα φυσικά )



και


Δεν υποστηρίζει ούτε cloud sync ούτε backup . Θεωρώ ότι το να "σώζει" κανείς
τα password του στο cloud ή στην SD είναι σαν να τα δίνει στην ΝSΑ, ακόμα
και αν είναι κρυπτογραφημένα με DES

Όσοι ενδιαφέρεστε για τεχνικές λεπτομέρειες... ειδικά για την κρυπτογράφηση
εδώ είμαστε.

Ο παππούς zardoz

[nnn]

ωραίος "παππού"

[purpleaura]

Τι encryption χρησιμοποιεί;

[zardoz]

Τι encryption χρησιμοποιεί;

Στο Android το μόνο εγγυμένα παρόν specification είναι το javax.crypto με
DES specification

Το κλειδί από μόνο του κρυπτογραφείται ασύμμετρα, μόνο και μόνο για
τον έλεγχο "εισόδου" στη βάση (ειδικότερα: key->MD5->des->base64->md5 ξανά).
ΔΕΝ αποθηκεύεται εννοείται το κλειδί, ήδη από το πρώτο MD5 μετασχηματισμό
έχει "χαθεί" στο υπερπέραν, αλλά για ασφάλεια το επανακρυπτογραφώ και και
με τον δεύτερο ουσιαστικά είναι εντελώς μη αναστρέψιμο. Έτσι κι αλλιώς παρέχει
μόνο έλεγχο εισόδου. Το ίδιο το password αποκρυπτογραφεί το data stream
οπότε ακόμα και να χακάρεις την είσοδο στην εφαρμογή δεν θα δεις data.

Οι εγγραφές κρυπτογραφούνται συμμετρικά με DES στο πρώτο πέρρσμα (με KeySpec
που παράγεται από το κλειδί αφού περάσει), και πάλι ξανά συμμετρικά με DES βάση
ενός ενδιάμεσου υβριδικού κλειδιού του χρήστη συν κάτι άλλο (εδώ δεν αποκαλύπτω
πολλά, χα χα χα).

Όλα τελικά σώζονται base64 σε XML

Επειδή ΟΛΟ το stream γίνεται encrypt, και μάλιστα δύο φορές, είναι κάπως
αργό σε παλιές cpu, αλλά τουλάχιστο ασφαλές.

O DES έχει ψιλοκατηγορηθεί ως "ανασφαλής", αλλά σε δύο περάσματα είναι ότι
καλύτερο και να είναι διαθέσιμο σε όλα τα android api levels.

Από την άλλη, η NSA ίσως έχει brute force μηχανές που κάνουν θαύματα...

[purpleaura]

Στο Android το μόνο εγγυμένα παρόν specification είναι το javax.crypto με
DES specification

Το κλειδί από μόνο του κρυπτογραφείται ασύμμετρα, μόνο και μόνο για
τον έλεγχο "εισόδου" στη βάση (ειδικότερα: key->MD5->des->base64->md5 ξανά).
ΔΕΝ αποθηκεύεται εννοείται το κλειδί, ήδη από το πρώτο MD5 μετασχηματισμό
έχει "χαθεί" στο υπερπέραν, αλλά για ασφάλεια το επανακρυπτογραφώ και και
με τον δεύτερο ουσιαστικά είναι εντελώς μη αναστρέψιμο. Έτσι κι αλλιώς παρέχει
μόνο έλεγχο εισόδου. Το ίδιο το password αποκρυπτογραφεί το data stream
οπότε ακόμα και να χακάρεις την είσοδο στην εφαρμογή δεν θα δεις data.

Οι εγγραφές κρυπτογραφούνται συμμετρικά με DES στο πρώτο πέρρσμα (με KeySpec
που παράγεται από το κλειδί αφού περάσει), και πάλι ξανά συμμετρικά με DES βάση
ενός ενδιάμεσου υβριδικού κλειδιού του χρήστη συν κάτι άλλο (εδώ δεν αποκαλύπτω
πολλά, χα χα χα).

Όλα τελικά σώζονται base64 σε XML

Επειδή ΟΛΟ το stream γίνεται encrypt, και μάλιστα δύο φορές, είναι κάπως
αργό σε παλιές cpu, αλλά τουλάχιστο ασφαλές.

O DES έχει ψιλοκατηγορηθεί ως "ανασφαλής", αλλά σε δύο περάσματα είναι ότι
καλύτερο και να είναι διαθέσιμο σε όλα τα android api levels.

Από την άλλη, η NSA ίσως έχει brute force μηχανές που κάνουν θαύματα...

Δυστυχώς δεν θα πάρω, διότι ο DES είναι απλά deprecated. Καλή προσπάθεια όμως

[zardoz]

Δυστυχώς δεν θα πάρω, διότι ο DES είναι απλά deprecated. Καλή προσπάθεια όμως

Ούτε ο AES ούτε RSA/DSA (που έτσι κι αλλιώς δε θα χρησιμοποιούσα) είναι "εγγυημένοι" να υπάρχουν
σε όλες τις εκδόσεις Αndroid. Ακόμα χειρότερα, αν κάνεις enumerate τους διαθέσιμους με Security.getProviders()
και διαλέξεις τον "καλύτερο" διαθέσιμο, αν αναβαθμίσεις πχ από 4.04 σε 4.2 τότε παίρνεις διαφορετικό
secretkey (π.χ με AES). Ουσιαστικά χάνεις ... όλα σου τα password με μια αναβάθμιση android.

Από την άλλη, είναι γεγονόες ότι η NSA έχει αφήσει την Oracle (στη java) να "εξάγει" παγκοσμίως όλους αυτούς
τους αλγορίθμους επειδή έχει ήδη το αντίστοιχο raw power να τους σπάσει. Μόνο με proprietary επεκτάσεις είναι
κάποιος "σχετικά ασφαλής", κι εγώ απλά έκανα μια τέτοια κίνηση: διπλό des με διαφορετικά κλειδιά που το δεύτερο
εξαρτάται μόνο μερικώς από το πρώτο (του χρήστη).

[rebel1]

Σε ευχαριστώ πολύ, το δοκιμάζω σε ΝΟΤΕ ΙΙ , SG S3, και Νοτε 8000.

[purpleaura]

Ούτε ο AES ούτε RSA/DSA (που έτσι κι αλλιώς δε θα χρησιμοποιούσα) είναι "εγγυημένοι" να υπάρχουν
σε όλες τις εκδόσεις Αndroid. Ακόμα χειρότερα, αν κάνεις enumerate τους διαθέσιμους με Security.getProviders()
και διαλέξεις τον "καλύτερο" διαθέσιμο, αν αναβαθμίσεις πχ από 4.04 σε 4.2 τότε παίρνεις διαφορετικό
secretkey (π.χ με AES). Ουσιαστικά χάνεις ... όλα σου τα password με μια αναβάθμιση android.

Από την άλλη, είναι γεγονόες ότι η NSA έχει αφήσει την Oracle (στη java) να "εξάγει" παγκοσμίως όλους αυτούς
τους αλγορίθμους επειδή έχει ήδη το αντίστοιχο raw power να τους σπάσει. Μόνο με proprietary επεκτάσεις είναι
κάποιος "σχετικά ασφαλής", κι εγώ απλά έκανα μια τέτοια κίνηση: διπλό des με διαφορετικά κλειδιά που το δεύτερο
εξαρτάται μόνο μερικώς από το πρώτο (του χρήστη).

Γιατί δεν χρησιμοποίησες Blowfish ή Twofish;

[damastes]

τι πλεονέκτημα έχει σε σχέση με κάποιο πρόγραμμα σαν το Keepassdroid ;

[zardoz]

τι πλεονέκτημα έχει σε σχέση με κάποιο πρόγραμμα σαν το Keepassdroid ;

Εκτός από ότι θεωρώ ότι είναι απλούστερο και ομορφότερο , δεν απαιτεί ΚΑΝΕΝΑ
δικαίωμα εφαρμογών android, ούτε καν SD card permissions (πχ... keepassdroid)
και εξηγούμαι γιατί αυτό αποτελούσε ζήτημα για εμένα:

Σε ένα non-rooted κινητό/tablet, αν μια εφαρμογή έχει δικαιώματα sd card write, τότε μπορεί να
γράψει ΟΠΟΥΔΗΠΟΤΕ στην sd κάρτα "κάτι" και μια "άλλη" δίδυμη "κακόβουλη" εφαρμογή που έχει
απλά πρόσβαση στο internet να πάρει το συγκεκριμένο πακέτο και να το στείλει οπουδήποτε. Εγώ αν
ήμουν NSA ή κάποιος αδιάκριτος, περίπου αυτό θα έκανα ("συνεργαζόμενες" εφαρμογές).

Η πρόσβαση στην sd είναι είναι ΤΡΥΠΑ για το android, γιατί χωρίς αυτήν, οι εφαρμογές είναι isolated
μεταξύ τους όταν είναι κλεισμένες ερμητικά στο /apps ή στο /data/data/

Σε rooted κινητά/tablet, αυτό αλλάζει, και θέλει ακόμα μεγαλύτερη προσοχή.