Logindaten in der Cloud

Apropos soziale Netzwerke: Regelmäßig flattern neue Einladungen in viele Mailboxen - der Kollege lockt mit Linkedin [5], der beste Freund mit Facebook und die Familie nutzt inzwischen beinahe geschlossen die Plattform "Wer-kennt-wen" [6]. Meist siegt die Vernunft und man schafft es, sich nicht auf einen weiteren Zeitfresser einzulassen.

Aber es gibt auch schwache Tage, und schon ist der nächste Account angelegt - mit dem bewährten und leicht zu merkenden Passwort, das möglicherweise auch andere Zugänge und Webapplikationen "schützt". Ideal wären freilich verschiedene Kennwörter, aber selbst das merkfähigste Geek-Hirn gibt irgendwann auf und verheddert sich in der Passwortflut von Pins, Puks und Tans. So bleibt dem Nutzer die Wahl zwischen Pest (eine Handvoll einfacher Kennwörter für mehrere Logins), Typhus (auf Zetteln notierte Passwörter) oder Cholera (regelmäßige, meist unverschlüsselte Zusendung vergessener Kennwörter) - oder? Eine bessere Lösung sind Passwortsafes.

Der Gedanke an einen zentralen Speicherort für Zugangsdaten erscheint verlockend und ein Account bei Flickr [7] oder Dropbox [8] existiert schon, aber wer vertraut allen Ernstes seine Passwörter einem fremden Server an?

Dank der Clipperz Community Edition [9] können Anwender darauf getrost verzichten. Bei dem Online-Passwortmanager handelt es sich um die Open-Source-Version des von Marco Barulli und Giulio Cesare Solaroli aufgebauten Hosted-Password-Safe-Service Clipperz.

Verschlüsselung im Browser

Die unter der AGPL stehende Software baut auf der Javascript Crypto Library auf, die die beiden Italiener ebenfalls entwickelt haben. Diese Bibliothek setzt auf bewährte Algorithmen wie SRP, AES-256, SHA-256 und Fortuna. Die Verschlüsselung der Daten findet auf dem Client und ohne Beteiligung des Servers statt, sodass nur vollständig chiffrierte Informationen übers Netz wandern.

Server-seitig setzt Clipperz lediglich MySQL und PHP voraus und benötigt dazu die Module BC Math, Json und PDO. Den Server mit SSL zu betreiben ist nicht zwingend notwendig, steigert aber die gefühlte Sicherheit. Als Client dient ein gewöhnlicher Javascript-fähiger Webbrowser. Zuverlässig arbeiten beispielsweise Firefox, Opera, Chrome, Konqueror und Safari. Es überrascht nicht, dass das komplexe Javascript sich im Internet Explorer nicht immer hundertprozentig wie gewünscht verhält. Ein Scriptblocker ist ebenfalls hinderlich, diesen deaktiviert der Benutzer am besten vor dem Clipperz-Einsatz. Ein bekanntes Problem verursacht zudem das beliebte Firefox-Addon "It\'s all text" [10]. Es blockiert den Clipperz-Login, wenn der »Edit«-Button aktiviert ist.

Auf einem Android-Smartphone kann mindestens der Dolphin-Browser erfolgreich mit Clipperz umgehen. Beim I-Phone dagegen läuft ohne Jailbreak gar nichts. Erst dann lässt sich Safari dazu herab, dem Javascript die benötigten Ressourcen zur Verfügung zu stellen.