Sesame - Local-first open source password manager
Show HN: Sesame - a local-first, open-source password manager
Sesameは、パスワード、2FAコード、リカバリ情報を一箇所にまとめて管理できる、ローカルファーストのオープンソースパスワードマネージャーです。すべてのデータはあなたのデバイスに保存され、Sesameのサーバーに送信されることはありません。15種類のフォーマットからインポート可能で、セキュリティチェック機能も搭載。Windows向けに公開されており、ベータ期間中は無料です。ソースコードはAGPL-3.0で公開され、誰でも自分でビルドして実行できます。
パスワードマネージャーは本当の信頼を必要とするため、すべてのコードを公開しています。
HNでの議論
60- Aachen
F-Droidには驚くほどの頻度で新しいパスワードマネージャーが登場するので、私はなんとなく監視している。そのほとんどが、簡単に見つけられるセキュリティ上の問題を抱えている。概念的には単純なソフトウェア（文字列を関数に通してからディスクに書き込むだけ）で、新しい言語を学ぶには良いが、みんなの練習用実装が本当にストアに載るべきなのか？だから、既存のパスワードマネージャープロジェクトの多様な問題に一切触れず、機能や洗練されたUIを褒めちぎる新規プロジェクトには懐疑的だ。数ヶ月前に読んだ研究では、古いコードは新しいコードよりもバグが少ないと示されていた。直感的には理解できるが、実際のデータがあるのはありがたい。
なぜ前任者が遭遇した落とし穴を再学習する必要がある新しいプロジェクト全体が必要なのか？不満があればプルリクエストにできるし、最悪の場合フォークすればよかったのでは？
- lrvick
つまり、マルウェアが仕込まれたシステム上で任意のパスワードを復号すると、マルウェアがすべてのパスワードを手に入れることになる。攻撃者にとっては非常に簡単だ。
彼らがしなければならないのは、セサミのラッパーをインストールして、次のデータベースのロック解除を待ち、すべてのパスワードを平文でどこかのペーストビンに流出させることだけだ。
これを防ぐには、各パスワードをYubiKeyやNitrokeyなどのタッチポリシー付きキーに保持された鍵で暗号化する必要がある。そうすれば、攻撃者がユーザーの100個のパスワードデータベース全体を入手しようとする場合、点滅するスマートカードやTouch IDを100回タップするようユーザーを騙さなければならない。おそらくユーザーは何かおかしいと気づき、停止するだろう。被害を最小限に抑えられる。
これが私が10年以上、標準的なUnixパスワードマネージャーであるpassword storeでパスワード管理を行ってきた方法だ。あの小さなシェルスクリプトは、あらゆるパスワードマネージャーが持つべき最低限のセキュリティだ。
1PasswordやLastPassのような主要なパスワードマネージャーもこれを間違えていることは理解している。私は真面目な顔で言うが、彼らは有能なセキュリティエンジニアを製品に近づけたことがない。彼らは設計全体が無責任であり、模倣してはならない。
- thehamkercat
バイブスでコード生成されたパスワードマネージャー？いいね、どこでサインアップする？
- demibabs
サイトをバイブスで作るなら、せめてコピーは自分で書けよ。AIのテキストは読むのに疲れる。
- danielmartins
パスワードマネージャーの開発者が、MFAトークンをパスワードと一緒に保存するのがなぜ良いアイデアだと思うのか、今でも理解できない。MFAの目的を完全に無効化している。