Sesame - Local-first, open-source password manager
Show HN: Sesame - a local-first, open-source password manager
Sesame ist ein lokaler, quelloffener Passwortmanager, der Ihre Tresore direkt auf Ihrem Computer speichert – Ihre Daten erreichen niemals die Server von Sesame. Importieren Sie Ihre bestehenden Tresore aus über 15 Formaten, verwalten Sie Passwörter, 2FA-Codes und Wiederherstellungsdetails an einem Ort und profitieren Sie von integrierten Sicherheitsprüfungen. Die App ist vollständig Open Source (AGPL-3.0) und bietet Windows Hello- und PIN-Entsperrung, Dokumentanhänge sowie Backup- und Exportfunktionen. Eine Browser-Erweiterung für Chrome, Edge und Firefox ist als Beta verfügbar. Laden Sie die Public Beta für Windows kostenlos herunter und erleben Sie maximale Kontrolle über Ihre digitalen Zugangsdaten.
Ihr Tresor erreicht niemals unsere Server – Verschlüsselung, Prüfungen, 2FA und Backups laufen direkt in der Windows-App.
- Aachen
Ich verfolge locker neue Passwortmanager, die mit erstaunlicher Regelmäßigkeit auf F-Droid auftauchen. Die meisten haben Sicherheitsprobleme, die trivial zu finden sind. Es ist konzeptionell einfache Software (Strings durch eine Funktion jagen, bevor man sie auf die Platte schreibt): gut zum Lernen einer neuen Sprache, aber sollten wirklich alle Übungsimplementierungen in den Stores landen? Deshalb bin ich skeptisch gegenüber neuen Projekten, die bei Null anfangen, all ihre Features und die hübsche Oberfläche loben und kein Wort darüber verlieren, was an der unglaublich vielfältigen bestehenden Passwortmanager-Landschaft falsch war. Eine Studie, die ich vor ein paar Monaten gelesen habe, zeigte, dass alter Code weniger Fehler hat als neuer – das klingt intuitiv, aber es ist schön, auch echte Daten dazu zu haben.
Warum ein komplett neues Projekt, das die Fallstricke, auf die die Vorgänger gestoßen sind, erst wieder neu lernen muss? Wären Beschwerden nicht Pull Requests oder im schlimmsten Fall ein Fork gewesen?
- lrvick
Wenn du also auf einem System mit Malware irgendein Passwort entschlüsselst, bekommt die Malware alle Passwörter. Das macht es einem Angreifer super einfach.
Er müsste nur einen Wrapper für Sesame installieren, der auf die nächste Datenbank-Entsperrung wartet und dann alle Passwörter im Klartext irgendwohin auf ein Pastebin exfiltriert.
Um das zu verhindern, muss man jedes Passwort mit einem Schlüssel verschlüsseln, der auf einem YubiKey, NitroKey oder ähnlichem liegt, mit einer Touch-Policy. Dann muss der Angreifer, wenn er die gesamte Datenbank mit 100 Passwörtern haben will, den Benutzer dazu bringen, 100 Mal eine blinkende Smartcard oder Touch ID zu antippen. Vermutlich würde der Benutzer merken, dass etwas nicht stimmt, und aufhören. Schadensbegrenzung.
So mache ich Passwortverwaltung seit über einem Jahrzehnt mit password store, dem Standard-Unix-Passwortmanager. Dieses winzige Shell-Skript ist das Minimum an Sicherheit, das jeder Passwortmanager haben muss.
Mir ist klar, dass die meisten großen Passwortmanager wie 1Password und LastPass das auch falsch machen. Ich behaupte mit ernster Miene, dass die nie fähige Sicherheitsingenieure an ihre Produkte gelassen haben. Sie haben ein fahrlässiges Design von Anfang bis Ende und dürfen nicht nachgeahmt werden.
- thehamkercat
Ein vibe-codierter Passwortmanager? Klar! Wo kann ich mich anmelden?
- demibabs
Wenn du schon eine Website vibe-codest, schreib den Text wenigstens selbst. KI-Text ist anstrengend zu lesen.
- danielmartins
Ich verstehe immer noch nicht, warum Passwortmanager-Entwickler es für eine großartige Idee halten, MFA-Token zusammen mit dem Passwort zu speichern, was den Zweck von MFA völlig zunichte macht.