Firefox & Chrome: RndPhrase: sichere und einmalige Passwörter für jede Webseite

Leser DonHæberle stellte mir per E-Mail eine Erweiterung für den Firefox und Google Chrome vor  – die Mail war voll mit Infos und so gut geschrieben, dass ich um einen Gastbeitrag bat. Lange Rede, kurzer Sinn – here we go:

Hallo zusammen. Dieser Tage bin auch auf ein Add-on gestossen, welches ich gerade in der aktuellen Diskussion zu Themen wie Passwortsicherheit in Browsern sehr passend fand. Als ich Caschy darauf aufmerksam machte, bot er mir sofort an, dieses als Gastbeitrag zu veröffentlichen, was ich natürlich gerne annehme.

In diesem Sinne vielen Dank für die Gelegenheit und noch viel mehr danke ich dir hiermit, für die sehr vielen z. T. sehr interessanten Artikel, die du unermüdlich anderen zu Verfügung stellst. Doch nun zur Sache: Was macht das Add-on RndPhrase? Es verschlüsselt Passwörter schon während der Eingabe zu einer – in Abhängigkeit von der URL und einer eigenen Passphrase – vollkommen anderen, individuell unterschiedlichen Zeichenfolge.

Wenn man z. B. „meinpasswort“ in das Passwortfeld bei http://facebook.com eingibt, wird daraus dann die Zeichenfolge „2ecostz9aowpm6jv“ erzeugt, welche dann tatsächlich verwendet wird. Das selbe Passwort bei http://google.com übergibt stattdessen die Zeichenfolge „6obdrpzzloxdi8f8“ als Passwort an die Seite.

Der Vorteil dabei: Ist ein Dritter in den Besitz des Passwortes gelangt, sei es durch einen Keylogger oder einfach nur deswegen, weil einem jemand beim eingeben zu genau auf die Finger geschaut hat, kann er damit dennoch nichts anfangen.

Das tatsächlich verwendete Passwort ist ein vollkommen anderes, als das, was im Eingabefeld verwendet wurde. Nächster Vorteil: Man kann auf allen Seiten das gleiche Passwort verwenden und dennoch wird bei jeder URL eine andere Zeichenfolge erzeugt. Bedeutet: Wurde das tatsächliche Passwort durch einen Trojaner lokal oder auf der Webseite gekapert, kann man sich damit trotzdem nirgendwo anders einloggen.

Nun wird man sich fragen: Naja – dann installiert sich der Dritte eben die gleiche Erweiterung, dann wird aus mein „meinpasswort“ auch wieder die gleiche Zeichenfolge. Genau dafür kann man aber eine persönliche Passphrase – einen „Seed“ – vorgeben, mit der die erzeugte Zeichenfolge zusätzlich verschlüsselt wird.

Beispiel: Wurde als Seed in den Einstellungen „test123“ vorgegeben, so ergibt die Eingabe von „meinpasswort“ bei http://facebook.com die Zeichenfolge „7hefnijq2ol7v06p“ bzw. „0dha7xzmc2nj5e3u“ bei http://google.com – also eine völlig andere wie zuvor. Testen lässt sich das Ganze auch unter http://rndphrase.appspot.com.

Wie funktioniert das Ganze? Add-on installieren. Seed in den Einstellungen vorgeben. Fertig. Damit das Add-on weiß, wann es die Eingabe in einem Formularfeld umwandeln soll, gibt man dort als erstes Zeichen ein „@“ ein.

Das Zeichen verschwindet dann gleich wieder, die Hintergrundfarbe des Feldes ändert sich und signalisiert nun, dass RndPhrase nun die Eingabe übernimmt.

Also wenn man das nächste mal seine Passwörter wieder ändert, dann ist das die beste Gelegenheit gleich RndPhrase zu verwenden. Das Add-on lässt sich auf den gängigen Erweiterungsseiten für Firefox und Chrome herunterladen.

Wer stets die aktuellste Version verwenden möchte, kann sich den Sourcecode der Erweiterung direkt herunterladen. Ein Linux-Installer für Firefox, Chrome und Conkeror liegt bei. Eine kurze Anleitung dazu findet man ebenfalls auf der anfangs verlinkten Wiki-Seite.