Sajnos a böngésződ elavult, ezért nem fogod tudni használni a szolgáltatásunkat!
A jelszavaim szolgáltatás jellegénél fogva fontosnak tartom a bizalmat, azt hogy a működés, az adattárolás és adatforgalom átlátható legyen. Így próbálom biztosítani a felhasználókat, hogy a szolgáltatás és annak üzemeltetője nem kíván, de nem is tud visszaélni a rábízott adatokkal. Az érzékeny adatokat nem tárolja és nem is tudja titkosítatlan formában tárolni!
A bizalomra építve a lenti bekezdésekben próbálom könnyen és érthetően elmagyarázni a működést, az adattárolást. Bizonyítva, hogy ennél a szolgáltatásnál a leggyengébb láncszem csak a felhasználó lehet.
Akár a kliens, akár a szerveroldalról indított adatcserét tekintjük, a küldött adatok között szereplő érzékeny adatok mindig külön, egyedi titkosításra kerülnek. Azok 'fedetlenül' sohasem kerülnek adatcserére.
A regisztrációnál 3 adatot kér a rendszer. Az email címedet, a nevedet és egy hozzáférési jelszót.
Az email cím szolgál a felhasználó egyértelmű azonosítására a beléptetéskor, így azt a későbbiekben lecserélni nem lehet.
A név/becenév egyelőre, egyedül a felhasználó megszólításához kell, de későbbi csoportos lehetőségek miatt célszerűnek tartottam már az elején elkérni ezt az információt.
A hozzáférési jelszó szolgál a belépéskori jelszóként, ez már érzékeny adat, tehát az adatforgalomban és a tárolt adatok között fedett, titkosított adatként található meg.
A regisztrációnál a jelszó már a szerver felé küldés előtt, egy kvázi-véletlen kódoláson (self-salted), majd egy SHA256 nem visszafejthető kódolást kap. Így a hozzáférési jelszó már el sem hagyja a klienst, több, zavaró adat kíséretében. A hozzáférési jelszó adatforgalomból való visszafejtése közel lehetetlen.
Alapjában véve két funkciójában is eltérő jelszót kell megkülönböztetnünk, a hozzáférési jelszót és a titkos jelszót:
Erről már olvashattunk a "Regisztrációs adatok kezelése" pontban. A felhasználó beléptetésére szolgál.
Minden felhasználónak a regisztrációkor megadott adataiból, véletlenszerűen generálunk egy egyedi alap kulcsot. A későbbiekben ezzel az egyedi alapkulccsal fogjuk a tárolt érzékeny adatokat elkódolni. Így minden felhasználónak, egy mindenki számára ismeretlen (még a felhasználó számára is!) kulccsal titkosítjuk és tároljuk el az adatait.
A regisztrációt követő első bejelentekzéskor kötelezően megadandó saját, titkos jelszó. Ezzel a titkos jelszóval kerül titkosításra a kliens oldalon minden érzékeny adat.
A titkos jelszót nagyon körültekintően adjuk meg, mert annak megváltoztatására nincs mód, csak egyszer lehet megadni!
A titkos jelszó, hasonlóan a hozzáférési jelszóhoz, a klienst már titkosítva (self-salted + SHA256) hagyja el. A szerver oldalon a titkos jelszó visszafejthetetlen kódjának egy újból elkódolt majd ismét SHA256 kódolt változata kerül mentésre. Íly módon a fedetlen titkos jelszavadról soha, semmilyen formában nem értesülünk, azt eleve titkosított formában kapjuk meg.
Amikor új bejegyzést készítesz, vagy egy már meglévőt szeretnél megnyitni, a titkos jelszavad fogjuk bekérni, melyet ha helyesen adsz meg, 2 percig az oldal nem kéri el újból. 2 perc használat után a rendszer bármilyen művelethez újból bekéri a titkos jelszavad.
Lehetőséged van zárolni a rendszert, vagyis ha megadtad a titkos jelszavad, de nem szeretnéd, hogy 2 percig a rendszer nyitva legyen, akkor a zárolás menüponttal azonnal letudod zárni. Ezután bármilyen művelethez újból kérni fogja a rendszer a titkos jelszavad.
Új bejegyzés készítésekor, módosításakor, megtekintésekor az érzékeny adatokat TripleDES algoritmussal kódoljuk el/fejtjük vissza, a megadott és maximum 2 percig tárolt titkos kulcsoddal. Így biztosítjuk, hogy a tárolni kívánt érzékeny adatok a klienst már eleve elkódolt formában hagyják el.
A szerverre beérkezett titkosított adatot AES256 titkosítással újból elkódoljuk és ezt tároljuk le az adatbázisban. Ehhez a titkosításhoz kulcsként a felhasználó regisztrációjakor generált egyedi, alap kulcsot használjuk.
Amikor megakarunk tekinteni egy bejegyzést, még a bejegyzés lekérdezése előtt a rendszer kérni fogja a titkos jelszavunkat. Ennek az elkódolt változatát a háttérben leegyeztetjük a szerverrel, hogy jó titkos jelszót adott-e meg a felhasználó. Amennyiben a titkos jelszó helyes, a szervertől lekérésre kerül a bejegyzés, majd azt a szerver titkosított formában a kliensnek megküldi. A kliens a megadott titkos jelszóval visszafejti az érzékeny adatot és megjeleníti azt.
Bár a Szolgáltató törekszik a legjobb tudása szerint fejleszteni és üzemeltetni a szolgáltatást, a jelszavaim szolgáltatás használatából eredő közvetlen, vagy közvetett bárminemű kárért a Szolgáltató nem tehető felelőssé!
Felhasználó: A jelszavaim szolgáltatást rendeltetésszerűen használó személy.
Kliens: A felhasználó által használt számítógép/eszköz.
Szerver: A jelszavaim szolgáltatást elérhetővé tevő eszközök együttese.
Adatforgalom: A kliens és szerver között létrejött adatcsere.
Érzékeny adat: Azon adatok, melyek tartalmát nem kívánjuk második fél által láthatóvá tenni, azt csak a tartalom tulajdonosa láthatja. Az érzékény adatok a jelszavaim szolgáltatás által mindig elfedve kerülnek az adatforgalomba.
Fedetlen adat: Fedetlen adat hívjuk azt az adatforgalmat, vagy az adatforgalom egy részét, mely bárminemű titkosít nélkül kerül forgalomba, annak eredeti tartalma szabadon megtekinthető, elolvasható.
Fedett vagy titkosított adat: Fedett adatnak hívjuk azt az adatforgalmat, vagy az adatforgalom egy részét, mely valamilyen titkosítás által kerül forgalomba a kliens és szerver között. A fedett adat megtekinthető, de annak eredeti tartalma, csak a titkosítás visszafejtése után, a titkosító kulcs ismeretében látható.
Self-Salted: A szövegek saját tartaluktól függő, nem visszafejthető, de legalábbis nem egyértelműen visszafejthető elkódolása. A használt algoritmus megtekinthető a GitHub-n: StringExtender
SHA256: SHA-2 Wikipedia
AES256: AES256 Wikipedia