Passwords duer ikke

I 1932 kom brugte Marx Brothers kodeordet "swordfish" i en film og lige siden har det været en løbende vits at genbruge det.

... eller også er det bare et dokumentarisk strejf, for at give værket sandsynlighed.

Et password skal idag have en entropi nord for 128 bits og det vil i store træk sige en kombination af mindst 128 tegn, hvis der er nogen form for mening deri, og naturligvis må du ikke bruge det samme password flere steder.

Lad os lige prøve at se hvad det indebærer:

Et godt password således ud: "Visiten kun med Complimenter. Men vi maa ind og see til, at vi kand faae noget Mad; thi Tiden gaaer hastig, Klokken 8te skal vi paa Mascaraden igien. "

-- inklusive tegnsætning, stavning og spaciering.

Held og lykke med at huske det, hvis du ikke er udgået fra d.Kgl Teaters elevskole.

(Hvis man bedes om at indgive et "password hint", ville "Tonny Landy" være et godt valg.)

I gamle dage lærte man salmevers i skolen, men bortset fra skuespillere, professionelle sangere og nogle få kirkeligt entusiatiske, kan nutidige danskere sjældent huske alle vers korrekt i andre sange end "I dag er det ____'s fødselsdag..." og selv i den kniber det ofte.

Med andre ord: Passwords som sikkerhedsforanstaltning er ikke bedre end en almindelig godt slidt cylinderlås: Det viser at man ikke ønsker at alle og enhver tramper ind, men alle der vil ind, kan komme det uden større besvær.

At store firmaer så heller ikke kan finde ud af at håndtere passwords er ikke noget nyt: Sidste år var det LinkedIn, i år er det Adobe og så er der alle dem vi ikke har hørt om, inklusive alle de passwords og password-filer NSA har opsnappet.

Jeg har brugt en times tid på at kigge i Adobes lækkede data og det er deprimerende læsning.

Selvfølgelig er det forkert og i strid med gældene sikkerhedspolitik og alt muligt andet papirarbejde når politifolk eller andre ikke er gode nok med deres passwords.

Men problemet er altså ikke menneskene, men passwordene.

Der er ikke nogen indlysende erstatning for passwords på vej, alle former for biometri der er foreslået er kun marginalt mere sikre og alle lider de af den ulempe at kidnapning og mord bliver mere relevante teknikker for kriminelle.

Den umiddelbart foreliggende løsning, er at udstyre menneskene med en "salmevers-o-matic" dims, som kan lave og huske nogle komplicerede passwords.

En app på en mobiltelefon ville være oplagt: Plug telefonen i USB, lade den simulere keyboard og indtast så "adobe" i app'ens søgefunktion og tryk "send password".

Desværre er mobiltelefoner en totalt ubrugelig platform for sikkerhed og at plugge sin mobil ind i USB porten på en computer med noget der skal gemmes for NSA, er det samme som at Gøre døren høj og porten vid for dem.

Ikke at den gennemsnitlige PC er meget bedre nu om dage, specielt ikke "enterprise" orienterede maskiner, der oftest leveres med alle mulige bagdøre enablet i BIOS'en.

"For at gøre det nemt for IT afdelingen."

(Og. naturligvis, andre venner & bekendte af producenten.)

En af grundene til at RaspBerry Pi er blevet så stor en success, er at rigtig mange med forstand på sikkerhed øjner den som en computerplatform man kan stole på.

Der ikke er nogen "BIOS", ikke noget præinstalleret spyware, skodware eller monopolware.

Det er en computer hvor man helt selv bestemmer hvad software der skal køre og endnu mere vigtigt: Hvad software der ikke skal køre.

Indtil nogen bygger en open-source "salmevers-o-matic" på en sådan platform, må vi klare os som bedst vi kan.

Jeg laver mine passwords med 'strings -16 < /dev/random' nu om dage og gemmer dem i en PGP krypteret fil, beskyttet af en pass-phrase, som dermed er den kurv jeg har lagt alle mine æg i.

Ikke nogen god løsning, men den mindst ringe jeg har kunnet implementere.

phk

Kommentarer (57)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Mogens Beltoft

Jeg bruger KeyGrinder til en del passwords. KeyGrinder er en side på nettet, hvor man indtaster f.eks. version2.dk efterfulgt af et master-password, derefter genereres så en MD5 hash af det indtastede, som så kan bruges som password.

Det er ikke så sikkert som din løsning, PHK, men det er nemt at gå til.

/Mogens

  • 1
  • 0
Kai Birger Nielsen

I normal tekst får du kun ca 1 bits information pr tegn. Fx kan du skippe sidste tegn i lange or ude at de blive hel umulig at læs tekste. Så enten skal passfrase være et eller andet ulæseligt og umuligt at huske eller også skal det være læseligt og meget langt og derfor umuligt at huske.

  • 3
  • 0
Kent B. Hansen

Jeg bruger LastPass (https://lastpass.com/) som gemmer passwords lokalt og krypteret, men samtidig synkroniserer den krypterede passwordfil "i skyen", så jeg har den tilgængeligt på mine forskellige devices.

Dette kombineret med en YubiKey Neo (fra Yubico http://www.yubico.com/) som genererer one-time-tokens, der sammen med mit password, bruges til at låse min passwordfil op med.

...og så selvfølgelig unikke og random passwords til alle steder på mindst 16 tegn, inkl. specialtegn - det burde give et password på over 2048bits.

  • 3
  • 0
Lars Lundin

KeyGrinder er en side på nettet, hvor man indtaster

Til password generering mener jeg en offline metode er at foretrække.

Til mindre kritiske passwords bruger jeg apg.

Hvis jeg vil have et langt password (mis)bruger jeg ssh-keygen, ASCII-repræsentationen af en privat RSA nøgle går jeg ud fra har så meget entropi som mit system kan give mig.

Angående passwords, så er denne gamle traver obligatorisk:

http://www.bash.org/?244321

  • 0
  • 0
Tommy Bell

Lange kodeord kan være nemme nok at huske hvis man bruger noget der er bekvemt eller kendt for en. F.eks. som i denne xkcd: http://xkcd.com/936/

Nu har jeg ikke selv erfaring med hvor svært/nemt det er at bryde kodeord, men jo sværere det er for brugeren at generere et kodeord der passer til reglerne, jo simplere form bliver det kodeord. Jf. eksemplet med substitution af tal for bogstaver.

  • 2
  • 0
Henrik K. Jensen

Jeg forstår ikke rigtig hvorfor password skal være så lange, et korrekt designed system tillader kun få login forsøg og dermed er det ikke muligt at prøve sig frem.
Selvfølgelig er sagen en anden hvis systemet er kompromitteret og nogle stjæler password filen, der er den bedste løsning ikke at genbruge et password.

  • 0
  • 0
Emil Refn

Årsagen til at det ikke er godt nok at regne med at forsøgs begrænsningen virker på siden er at der ofte sker de her læk, samt at man kan skjule hvor mange forsøg man har lavet (tor, in-private browsing o.lign.)

  • 0
  • 0
Thomas Nielsen

...plus at man forlader sig på at systemet netop er korrekt designet, hvilket ikke nødvendigvis er tilfældet, samt at et eventuelt korrekt designet system også er korrekt implementeret, hvilket bestemt heller ikke nødvendigvis er tilfældet, samt yderligere at underliggende trediepartskode overholder ovenstående, hvilket så forøvrigt heller ikke nødvendigvis gælder.

  • 1
  • 0
Pelle Söderling

Nu er det efterhånden hverdagskost at store firmaer leaker password-databaser. Men endnu mere bekymrende er det at ingen af dem har taget basale foranstaltninger for at beskytte brugernes passwords.

Helt basale råd om hvordan man hasher et password bliver ignoreret.
Det virker som om folk bare googler "password hashing" og copy/paster den første og bedste løsning de får smidt i hovedet til det givne target sprog og "så må det være fint".

  • 0
  • 0
Emil Refn

Nemlig, hashing er i dag ikke nødvendigvis nok. I stedet bør bruges algoritmer som bcrypt, scrypt og lignende, bl.a. fordi disse er designet til at det er dyrt at parallelisere dem

  • 0
  • 0
Jes Andersen

Jeg er for doven til copy/paste fra en fil, så jeg bruger en OS wallet, der krypterer det med mit login password til computeren ;) (og ting som chromium kan bruge en OS wallet direkte)

men når en OS wallet ikke kan bruges (som til computer login) er jeg fan af Yubico key, der med et hurtigt klik spytter den en statisk 32 byte hex streng ud, så det tilføjer lige 128bit til et ellers simpelt password.

Og så kan den samtidigt bruges til ægte OTP og lign =)

  • 0
  • 0
Rasmus Skovmand

Den del forstod jeg ikke?

Heller ikke mig. 128 bit er vel kun omkring 16 tegn? En arie af Hamlet er vel ikke nødvendig??! Men entropidelen forstod jeg vist godt. Graden af orden/uorden i passwordet, dvs. graden af randomness. Et ord på 8 tegn fra ordbogen som f.eks. 'piskeris' har lav entropi, hvis tyven ved passwordet er 8 tegn og står i ordbogen, hvorimod 'dH1kow9a' - også 8 tegn, tilsyneladende har høj entropi (randomness).

Selv bruger jeg et password af sidste slags (utrolig høj entropi skulle jeg mene). Det er så kun 8 tegn, og jeg kan forstå det burde være 16 (128?). Og jeg bruger de samme to password allesteder, og har ikke skiftet dem i 10 år. Det er så min kurv til alle æggene. Til gengæld har jeg dem ikke stående i en fil. De er i en mappe i den fysiske verden, hvor jeg føler jeg er i kontrol. Det må vel tælle på plussiden... Jeg er efterhånden ved at få lidt paranoia over ting på digital form. Føler mig ikke i kontrol på platforme tilsluttet nettet.

  • 0
  • 1
Benny Lyne Amorsen

En af grundene til at RaspBerry Pi er blevet så stor en success, er at rigtig mange med forstand på sikkerhed øjner den som en computerplatform man kan stole på.

Der ikke er nogen "BIOS", ikke noget præinstalleret spyware, skodware eller monopolware.

Øh jo, der er MERE "BIOS" i en Pi end i en typisk PC. En Pi er en lille CPU hægtet på siden af en stor GPU, og GPU'en styrer det hele -- med sin proprietære firmware. Du kan selvfølgelig sige at det ikke er præinstalleret, for det kommer i en BLOB i stedet for at lille i ROM, men Pi'en booter ikke hvis du ikke har BLOB'en.

BLOB'en har endda rettighedsstyring og licensstyring, så man kan betale softwarepatientmafiaen for at fjerne kunstige begrænsninger. Det forsøgte Intel for nogle år siden, men det er de så vidt jeg ved holdt op med.

  • 0
  • 0
Svenne Krap

PHK, din metode minder om min pånær hvordan du generer passwords...

Personligt bruger jeg et lille (selvskrevet *) python værktøj, der har fire password metoder (tal, tal og (case insenstive) bogstaver, tal og (case sensitive) bogstaver og endeligt et 97 tegns "extended" charset (tænk ascii printable) og man kan selv vælge længde... derudover har den to standard password-typer defineret - hhv. 20 tal+CS-bogstaver samt 40 extended

Hvorfor bruger du strings? Såvidt jeg lige kan læse fra man-filen så fræser du igennem store mængder random-data for at finde en streng, der er mindst 16 karakterer lang...

Det lyder ikke som en specielt rart ting for din random-pool?

btw... * = http://git.svenne.dk/?p=public/misc-sysadmin.git;a=blob;f=mkpwd

  • 1
  • 0
Henrik K. Jensen

Re: Lange password?

Årsagen til at det ikke er godt nok at regne med at forsøgs begrænsningen virker på siden er at der ofte sker de her læk, samt at man kan skjule hvor mange forsøg man har lavet (tor, in-private browsing o.lign.)

Problemet med en læk er at den sagtens kan opfatte meget andet på systemet, dvs. der kan sagtens være lavet numre med din konto, uden brug af dit password.

Hvis man tester for indlogning på et login og ikke på en ip adresse, så har tor osv. ikke nogen betydning for detektering af login forsøg. Selvfølgelig er risikoen at andre kan blokere din konto, hvis de laver mange forsøg med dit login.

  • 0
  • 0
Søren Jensen

Lange kodeord kan være nemme nok at huske hvis man bruger noget der er bekvemt eller kendt for en. F.eks. som i denne xkcd: http://xkcd.com/936/


Jeg brugte også denne metode, men til sidst kunne jeg ikke huske hvilke sætninger der hørte til hvilke sider og gik også over til en passwordhusker som kan generere et tilfældig password.
Dette betyder også at selvom min email findes i Adobes stjålne database, så gør det mig ikke så meget da passwordet er "unikt" og dermed hurtigt at lave et nyt.

  • 0
  • 0
Martin Wolsing

De komplicerede steder forlader jeg mig på, slet ikke at huske kodeordet. DK-hostmaster er et godt eksempel. Der er så mange krav til kodeordet, at det i praksis bliver umuligt at huske.

Derfor beder jeg bare om at få det nulstillet hver gang, jeg skal ind på siden. Det er heldigvis ikke så tit, så den smule besvær klarer jeg. Det er selvfølgelig noget helt andet på steder hvor man skal indtaste kodeordet dagligt.

  • 1
  • 0
Henrik Mikael Kristensen

Måske passer det ikke så meget til emnet, men bør man ikke snart filosofere i andre måder at godkende brugere til sites som V2 eller små shops, hvor man køber ting indimellem? Vi bruger det jo så meget efterhånden, og alligevel er der visse meget følsomme oplysninger, der slipper igennem uden at vi tænker meget over det.

Det er moderne at lagre sine adresse/kreditkort detaljer hos en udbyder i stedet for selv at holde på disse oplysninger, så man f.eks. er fri for at indtaste sine kreditkortoplysninger igen og igen.

Men er det ikke smartere, hvis udbyderen kun er i besiddelse af en privat nøgle, han kan bruge til at autentificere dig? Hvis nu f.eks. V2 aldrig havde et password, men kun en nøgle til at verificere mig, så kan V2 få mit navn som standard oplysning og intet andet, hver gang jeg vil poste et debatindlæg. Jeg sidder selv på alle følsomme oplysninger.

Hvis jeg vil købe noget på en shop, skal jeg verificeres mod nøglen i stedet for mit kreditkort.

Hvis nogen får fat i nøglen, har de ikke mine følsomme oplysninger. og hvis nøglen kompromitteres, vil det være nemmere at have en fast procedure for at generere en ny nøgle. Det samme gælder, hvis alle nøgler kompromitteres.

  • 2
  • 0
Laurids Pedersen

En robot vil være over 100 år om at ramme et maskingenereret password på 7 små bogstaver (ca 33 bit), hvis serveren får indlagt en reaktionstid på 1 sekund. Det må være godt nok. Flere bits er skadelige, fordi det får brugeren til at føle sig mere sikker. Man skal hellere koncentrere sig om at passe godt på sine passwords.

  • 0
  • 2
Casper Bang

Et godt password således ud: "Visiten kun med Complimenter. Men vi maa ind og see til, at vi kand faae noget Mad; thi Tiden gaaer hastig, Klokken 8te skal vi paa Mascaraden igien. "

-- inklusive tegnsætning, stavning og spaciering.

God pointe, men det er jo ikke heeeelt nok kun at se på længden. Gode gamle Shannon gav os nogle solide værktøjer til at arbejde med informationlære, og ifølge hans sætning vil ovenstående pass-phrase have en entropi på 4.1
(dvs. 0.52 byte entropy, eller 5 bits per symbol, eller encoding ned til 51.7% af originalen).

Man vil faktisk få højere entropi ved at bruge "#include <../LIB/phk.h>" selv om dette er mindre en 1/6 af længden og meget nemmere for en typisk version2 læser at huske, hvilket forklarer hvorfor passwords med et restriktivt alfabet er så nemme at bryde - upåagtet af længde.

  • 0
  • 0
Flemming Frandsen

For at kunne starte bootloaderen på en Pi skal den først kværne igennem en masse binært broadcom kode som skal hentes fra SD kortet.

Det binære kode bliver kørt af GPU'en og blandt andet sætter den kode RAM timings op, så CPU'en bliver slet ikke startet før GPU'en er færdig med sin magi.

Med andre ord er RPI'en ikke en åben platform hvor man selv bestemmer hvad der skal køres.

Hvis man virkeligt skal vide hvad der bliver kørt, så tror jeg man skal have et standard Intel board med en coreboot i stedet for den lukkede bios.

  • 1
  • 1
Jacob Ringmann Madsen

Hvis man bruger sætninger i stedet for ord er det let at lave gode passwords.
Fx. "min nabo hedder Svend og bor i nr. 5" bliver til "mnhSobin5". Jeg har brugt sådanne passwords i mange år og det er utroligt nemt at huske. Idag bruger jeg en vierudvikling af metoden og har lavet en "algoritme" forstået på den måde, at jeg fx altid tager de første 2 bogstaver i url'en på et site og en fast sætning, for så at afslutte med summen af vokaler i sætningen gange hvilken række på tastaturet første bugstav ligger i. Det lyder meget indviklet men når føst "algorimen" er automatiseret kan man uden problemer lave en noget nær ubrydelig og unik kode. Jeg kan på den måde "huske" alle logins på alle konti, også flere år gamle logins og det på under 10 sek.
Og tro mig min algoritme er vildt avanceret så selv om nogle skulle kende til 5 af min logins ville de ikke kunne få mening ud af det alligevel.

  • 0
  • 0
Thomas Nielsen

Idag bruger jeg en vierudvikling af metoden og har lavet en "algoritme" forstået på den måde, at jeg fx altid tager de første 2 bogstaver i url'en på et site og en fast sætning, for så at afslutte med summen af vokaler i sætningen gange hvilken række på tastaturet første bugstav ligger i

Problemet med den metode, er at når der sker en læk, bliver man bedt om at skifte sit kodeord på det berørte websted. Men i og med at kodeordet er statisk, i den forstand at det er hægtet op på en række statiske parametre, så er det ret svært at ændre det uden at ændre den grundlæggende algoritme og gør man dét, bliver man nødt til at ændre kodeord alle mulige andre steder også for at beholde huske-let-effekten.

  • 0
  • 0
Casper Bang

Hvis man bruger sætninger i stedet for ord er det let at lave gode passwords.
Fx. "min nabo hedder Svend og bor i nr. 5" bliver til "mnhSobin5".

Denne "hash til første bogstav" teknik kaldes for story mnemonics og er ganske rigtig ret effektiv. Entropien på 3 er muligvis lidt lav, men med et alfabet på 62 (A-Za-z0-9) og en længde på 9, er det stadig 1.38x10^16 kombinationer hvilket vil tage dagevis at knække selv med dedikerede FPGA devices i et offline angrebscenarie.

  • 0
  • 0
Jacob Ringmann Madsen

Du har tydeligvis lidt mere forstand på emnet end jeg, men lige hvad angår fornyelse af passwords har jeg kun været nød til at ændre på "algoritmen" 3 gange i de mange år jeg har brugt det. Så virker det første password ikke går jeg blot videre til næste og ændre kun dem jeg bruger ofte. Men okay det er måske ikke en løsning for alle, men for mig har det virket aldeles godt.

  • 0
  • 0
Ivan Skytte Jørgensen

Hvis der er mening i en tekst, er der kun ca. 1 bit entropi per tegn.

Det er derfor .TXT filer komprimerer 80-90% uden problemer.

Jeg er ikke uenig, men jeg vil dog lige pointere en teknisk detalje: Det afhænger af tekstlængden. I korte engelske fraser er der circa 2.6 bits entropi pr. tegn, men det falder jo længere teksten er. Her antages det, at både den korte frase og den længere tekst er noget, som giver mening. F.eks. teksten "Carrots are roots" har nok omkring de 2.6 bits entropi pr. tegn, men hvis det var en længere afhandling om gulerødder, så falder mængden af entropi pr. tegn.

Så et engelsk password på 8 tegn har omkring 2.6*8 = 20.8 bits entropi, mens et dobbelt så langt password har lidt mindre en dobbelt så meget entropi.

Er der nogen, som har nogle entropi-tal for korte danske fraser?

  • 0
  • 0
Lars Bengtsson

Jeg kan ikke lige huske kilden, og har heller ikke regnet på entropien. Men hvis man har et godt password på fx 8 tegn. Så kan man nemt få et langt password på 32 tegn ved at gentage det fire gange.

Det er selvfølgelig under antagelse af at angriberen ikke ved at man bruger den metode, og/ eller hvor langt det korte password er. Men hvordan skulle han/hun kunne vide det, hvis ikke man fortæller det?

Angriberen kan selvfølgelig tage højde for det i sin metode, men det giver formentlig langt mere entropi end det korte password.

  • 0
  • 1
Henrik K. Jensen

Så et engelsk password på 8 tegn har omkring 2.6*8 = 20.8 bits entropi, mens et dobbelt så langt password har lidt mindre en dobbelt så meget entropi.

I denne sammenhæng er det vigtigt at lægge mærke til at det er når der bruges ORD at entropien er lav, hvis der bare bruges tilfældige bogstaver vil entropien være noget højere.
For at kunne udbytte den lave entropi skal angriberen selvfølgelig også vide hvilket sprog der skal bruges.

  • 0
  • 0
Casper Bang

Èt er hvor god slutbrugerene er til at vælge passwords med nok entropi, det er de generelt ikke (prøv at kigge på de lækkede passwords fra Adobe) hvorfor metoder som LastPass mv. generelt er at foretrække.

Men men... vi taler ikke om end-to-end sikkerhed, ligegyldigt hvor meget entropi man lægger i sine passwords, så kan man jo stadig ikke være sikker på, at serviceudbyderen ikke modarbejder dette. Det er alm. kendt at Microsoft/Hotmail kun benytter de første tegn af passworded. ligesom Adobe jo i deres utrolige uvidenhed, ender med en lille 64bit block istedet for rigtig 160bit SHA-1 hash.

  • 0
  • 0
Philip Munksgaard

Personligt bruger jeg add-on'et RndPhrase til mine passwords. Idéen er at man sætter et seed i indstillingerne til RndPhrase, og når man så skal bruge et password trykker man først '@', efterfulgt af et nemt password (som godt kan være ens på tværs af domæner), hvorefter RndPhrase genererer et "sikkert" password baseret på ens seed, givne password og det domæne man er på.

Jeg har brugt i et par år nu og er ganske godt tilfreds, so far.

  • 0
  • 0
Casper Thomsen

Pointen med at hash'e er en udmærket løsning på at genbruge passphrase og bare tilføje URL eller tilsvarende. Problemet er sådan set bare hvis en angriber kender systemet; så fjerner det kun passphrase fra cleartext-input og tilføjer et lag der kan brute-forces offline (uden du i øvrigt nødvendigvis har nogen som helst chance for at vide at det forsøges). Og, hvis passphrasen skal ændres, så skal alle passwords ændres.

Jeg gør i øvrigt som PHK med en GPG-fil, men bruger pwgen og et lille script til at grep'e goderne ud og kyle dem i clipboard; men jeg må hellere få skiftet til Pass. Så undgår man at sprede information om sit master-password; det er kun på min maskine.

I øvrigt så er

paste | sha512sum | cut -c1-128  
read -s | sha512sum | cut -d\  -f1

måske bedre bud, så passphrase'en ikke ryger i history.

  • 1
  • 0
It-nørden Steven Snedker

hed.
Der er givetvis nogle Adobe-kunder der bruger "Swordfish" som adgangskode. Men det er under 15.000. Til gengæld er der 345.834 der bruger "password".Og næsten 2 millioner, der bruger "123456".

Bedste komfortable sikkerhed med adgangskoder er at lade et program lave en unik, lang, superkompliceret adgangskode til diverse hjemmesider, og så være afhængig af dette program herefterdags.

Det er forklaret for lægmand i
http://www.fagbladet3f.dk/temaer/digitalt/07c3107f4d5c4a039d12582afea5e1...
der også indeholder 2-3 links til fabelagtigt gode Ars Technica-artikler om emnet.

  • 0
  • 0
Eyðun Nielsen

"Problemet er sådan set bare hvis en angriber kender systemet; så fjerner det kun passphrase fra cleartext-input og tilføjer et lag der kan brute-forces offline"

Nu spørger jeg måske dumt :) Men er det nemt at bruteforce en sha512sum hash?

Mht. passphrase i history, så kunne man måske også pakke det hele lidt pænt ind:

Ved logon til et nyt site:

#!/bin/bash  
# ~/bin/pwnew  
   
set -e  
   
formdata=$(yad --title "SHA512SUM Password for site" --form --field="Site:" --field "Passphrase:":H)  
   
formsite=$(echo $formdata | awk 'BEGIN {FS="|" } { print $1 }')  
formpassphrase=$(echo $formdata | awk 'BEGIN {FS="|" } { print $2 }')  
   
echo $formsite >> ~/.password-sites  
cat ~/.password-sites | sort | uniq | sed '/^$/d' > ~/.password-sites_tmp  
rm ~/.password-sites  
mv ~/.password-sites_tmp ~/.password-sites  
   
echo -n `sha512sum <<< $formsite$formpassphrase | cut -c1-128` | xclip -se c  
   
echo "Password copied to clipboard - Paste with CTRL+V"

Og så når kommer igen:

#!/bin/bash  
# ~/bin/pw  
   
set -e  
   
passwordsites=$(cat ~/.password-sites | tr '\n' '!')  
   
formdata=$(yad --title "SHA512SUM Password for site" --form --field="Site:":CB $passwordsites --field "Passphrase:":H)  
   
formsite=$(echo $formdata | awk 'BEGIN {FS="|" } { print $1 }')  
formpassphrase=$(echo $formdata | awk 'BEGIN {FS="|" } { print $2 }')  
   
echo -n `sha512sum <<< $formsite$formpassphrase | cut -c1-128` | xclip -se c  
   
echo "Password copied to clipboard - Paste with CTRL+V"
  • 0
  • 0
Eyðun Nielsen

Release (way to) early and often. :-)

Jeg har lige opdaget yad i dag. Sjov lille ting.

#!/bin/bash  
# ~/bin/pw  
   
set -e  
   
title="SHA512SUM Password Generator"  
saltfile=~/.password-sites-salt  
sitesfile=~/.password-sites  
tmpfile=~/.password-sites-tmp  
   
if [ -e "${saltfile}" ]; then  
    salt=$(<"${saltfile}")  
else   
    yad --title="${title}" --image=dialog-error --text="Create a saltfile containing a large salt first!\n\nIt should contain at least 128 characters." --button="gtk-close:0"  
    exit -1  
fi   
   
if [ -e "${sitesfile}" ]; then  
    passwordsites=$(cat "${sitesfile}" | tr '\n' '!')  
else   
    touch "${sitesfile}"  
fi   
   
formdata=$(yad --title "${title}" --form --field="Site:":CBE $passwordsites --field "Passphrase:":H)  
   
formsite=$(echo $formdata | awk 'BEGIN {FS="|" } { print $1 }')  
formpassphrase=$(echo $formdata | awk 'BEGIN {FS="|" } { print $2 }')  
   
echo $formsite >> "${sitesfile}"  
cat "${sitesfile}" | sort | uniq | sed '/^$/d' > "${tmpfile}"  
rm "${sitesfile}"  
mv "${tmpfile}" "${sitesfile}"  
   
echo -n `sha512sum <<< $formsite$formpassphrase$salt | cut -c1-128` | xclip -se c  
   
yad --title="${title}" --image=dialog-information --text="Password copied to clipboard - Paste with CTRL+V" --button="gtk-close:0"
  • 0
  • 0
Log ind eller Opret konto for at kommentere