Ищу систему для хранения множества учетных данных, которые я использую как консультант / программист по контракту. Хотя я знаю, что могу использовать KeePass или аналогичный для настольного использования или что-то вроде PassPack для веб-хранилища паролей (шифрование на стороне клиента), даже Evernote можно использовать для создания «записной книжки» для каждого клиента / проекта с зашифрованными конфиденциальными данными - я ищу услугу, которая предоставляет:
Я бы, наверное, не отказался от хранения различных данных так как пароли - главное получение данные. Хотя PassPack имеет интерфейс «совместного использования», он заставляет клиентов регистрироваться. Я ищу что-то, что упростит шифрование с открытым / закрытым ключом, чтобы я мог сказать клиенту: «Не отправляйте его мне по электронной почте, просто перейдите на ___.com/tjlytle и заполните форму».
Я пропустил какой-нибудь сайт, который это делает?
В прошлом я работал с фирмами, занимающимися «управляемыми услугами», и искал что-то подобное, но так и не нашел. У меня не было ни времени, ни желания писать такие вещи с тех пор, как я начал свой бизнес, но рынок для этого определенно есть. Это определенно было бы удобно для внутреннего использования в ИТ-организации, состоящей из более чем одного человека.
Я видел слишком много замкнутых «решений», использующих такие вещи, как «Password Safe», которые не имеют надежных (или каких-либо) механизмов аудита. Когда кто-то уходит из компании, менять все пароли в «сейфе» - огромная боль. Хранение паролей на стороне сервера с помощью механизмов детального доступа и контрольного журнала значительно упростило бы жизнь в такой ситуации.
Функции, которые я хотел бы включить:
Аутентификация отдельных пользователей в базе данных, позволяющая создать контрольный журнал. В идеале система аутентификации должна использовать обычную HTTP-аутентификацию.
Ваш «доступ без регистрации» (функция «запрос») звучит как использование уникального URL-адреса в качестве «ярлыка» для обхода аутентификации для заданных учетных данных, которые могут получить доступ к одному паролю. Это звучит довольно просто для реализации. Когда вы создаете эти одноразовые учетные данные, у вас должны быть какие-то метаданные, чтобы описать, почему были созданы учетные данные (для отчетности).
Отчеты, показывающие, к каким паролям обращались какие пользователи, чтобы разрешить изменение только необходимых паролей, когда кто-то увольняется из компании. Как только данные находятся в серверной части базы данных, это легко.
Срок действия пароля. Я бы использовал их для запуска сценариев для автоматической смены паролей и регистрации новых паролей в системе. Часто у меня есть такие вещи, как пароли учетных записей служб, которые я не хочу подчиняться требованиям к устареванию пароля операционной системы, но в то же время я хотел бы, чтобы пароли менялись время от времени.
Бэкэнд базы данных с веб-интерфейсом CRUD, полностью завернутый в SSL, должен отлично работать для этого.
Собрать что-то быстрое и грязное не составит особого труда, но сделать это действительно отполированным и чистым (с хорошим клиентским API), вероятно, потребует некоторой работы.
Мы используем нашу вышеупомянутую библиотеку pidCrypt в pidder (https://www.pidder.com) - веб-платформа, ориентированная на безопасное управление и совместное использование секретов (паролей, сообщений, идентификационной информации и т. д.).
У нас уже была функция «Dropbox» в нашем списке дел, хотя и с небольшим приоритетом и запланированная на более поздний выпуск. Наткнувшись на этот вопрос, мы решили реализовать его в начале нашей открытой бета-версии позже в этом году.
Таким образом, хотя для основных функций потребуется регистрация, также будет «Dropbox», где любой сможет отправлять зашифрованные сообщения зарегистрированному пользователю, если он знает его URL-адрес Dropbox.
Существует как минимум два бесплатных онлайн-менеджера паролей:
W3PW
Clipperz
http://www.clipperz.com/open_source/clipperz_community_edition
Оба выглядят неплохо (пока не пользовались).
Единственная отсутствующая функция, насколько я могу судить, - это возможность добавить пароль, не имея учетной записи (если я правильно вас понял).
Тем не менее, это не должно быть слишком сложно добавить, поэтому имеет смысл использовать один из этих продуктов. В конце концов, в этом суть бесплатных программ :-).
Один из способов - реализовать функцию, которая позволяет ограничить пользователя добавлением новых паролей. Затем вы можете просто создать пользователя «addpassword» с паролем по умолчанию (или пустым) и отправить его клиентам (или реализовать функцию для создания URI, который предварительно аутентифицирует вас, чтобы вы могли просто отправить ссылку). Это должно работать и быть безопасным ...
Одно решение, которое я нашел (всего за получение пароли) состоит в том, чтобы зашифровать их в javascript, получить зашифрованные данные (через электронную почту / браузер), а затем вручную расшифровать их локально (чтобы незашифрованные данные никогда не передавались незащищенными). Это не доработано, но по сути это будет то же самое, что и клиент зашифровать и отправить пароль - только они могут сделать это просто в веб-форме.
я нашел LastPass быть замечательным менеджером паролей для моих паролей. Проверьте список функций.
Хотя я тоже нахожусь на поиск лучшего (но доступного) достойного корпоративного менеджера паролей.