password tool for command line

 scrt is a command-line secret manager with an intuitive interface designed for developers, sysdmins, and devops.

Heute im TDLR-Newsletter

#20230210 

Einführung

scrt ist ein Passwort Manager für die Kommandozeile. Man kann Passworte über die Befehlszeile verschlüsseln und entschlüsseln und zwischen einer Vielzahl von sicheren Speicher-Backends wählen, lokal oder remote über das Netzwerk.

Der Zweck von scrt ist, Entwicklern, Systemadmins und Entwicklern ein zuverlässiges und sicheres Tool zur Verwaltung von Passworten in Projekten zur Verfügung zu stellen und gleichzeitig GUI-zentrierte Tools, teure Cloud-basierte Dienste und komplexe selbst gehostete Lösungen zu vermeiden.

WARNUNG

Dieses Projekt befindet sich derzeit in der Entwicklung und ist noch nicht für Produktionsumgebungen gedacht. Benutzung auf eigene Gefahr.

Wie es funktioniert

scrt speichert eine Sammlung von Passworten in einem Speicher, einer einzelnen verschlüsselten Datei, die lokal auf Ihrem Computer oder remote über das Netzwerk gespeichert wird.

Wenn man Operationen an den Passwörtern durchführt, lädt scrt den Speicher in den Arbeitsspeicher, entschlüsselt die Nutzdaten, erstellt, ruft oder aktualisiert Passworte und verschlüsselt bei Bedarf die Änderungen zurück in den Speicher. Jedes Passwort wird durch einen Namen referenziert und kann eine beliebige Bytefolge beliebiger Länge sein.

scrt verwendet die symmetrische AES-256-Verschlüsselung und leitet seine 256-Bit-Schlüssel mithilfe der Argon2id-Schlüsselableitung von einem Passwort der Wahl ab. Ein neuer Key wird über das Passwort abgeleitet jedes Mal, wenn der Speicher neu verschlüsselt wird, um die Wiederverwendung von Schlüsseln zu vermeiden und die Sicherheit zu verbessern.

Die Daten können in einer Datei auf der Festplatte des Computers gespeichert werden oder eines der Remote-Speicher-Backends wie AWS S3 (oder ein beliebiger S3-kompatibler Objektspeicher) oder ein Git-Remote-Repository kann verwendet werden.

Mehr dazu ..

im Guide

Tolle Idee! 

Wichtig:

Das Passwort von scrt nicht dauerhaft in die Umgebungsvariablen des Systems eintragen. Das wäre dann offen wie ein Scheunentor. Am besten zu Begin der Arbeit mit scrt über einen Prompt abfragen.

Volksverschlüsselung

Ach nee, jetzt gibt es die Volksverschlüsselung. Wird das soetwas wie die Volxbibel?

Das zuerst einzig positive scheint Die Federführung des Fraunhofer-Instituts zu sein. Dagegen schreckt die Beiteiligung der Telekom schon wieder ab. Es fällt einem sofort der mißglückte Versuch der Volks-Email unter dem Namen De-Mail von dem ebenfalls ehemaligen Staatskonzern Deutsche Post ein. Das Fraunhofer-Institut hat dagegen einen absolut positiv belegten Ruf und hat unter anderem so bekannte Dinge wie das MP3 genannte Verfahren zur Komprimierung von Audiodaten entwickelt.

Das Problem beim Verschlüsseln von Emails ist, daß ein relativ hoher Aufwand vor der eigentlichen Nutzung betrieben werden muß über die Erstellung und den Austausch von Schlüsseln bis hin zum Einrichten von Software auf den gewünschten Geräten. Dazu kommt, daß das Verständnis für diese Technologien zwar offen vorhanden aber relativ wenig verbreitet ist. Auch gibt es noch nicht für alle Anwendungen und Systeme die benötigte Software dazu, die dem Verfahren nach untereinander auch noch kompatibel sein sollte.

Am bekanntesten unter Interessierten ist von früher das Programm PGP. Eine frühe Version wurde vom Erfinder Phil Zimmermann in gewagter Weise als gedrucktes Buch mit dem Quelltext des Programmes von den USA außer Landes gebracht. Alles was in irgendeiner Form technologisch als wichtig angesehen wurde wie auch Waffentechnik und Verschlüsselungsverfahren, stand zu dieser Zeit unter dem Ausfuhrverbot. Heute wird der OpenPGP-Standard und das darauf beruhende Programm GnuPG in weiten Kreisen als vertrauenswürdig eingestuft.

Hauptziel der Initiative Volksverschlüsselung ist es nach eigenen Aussagen, die Benutzerfreundlichkeit von Verschlüsselungstechnik zu verbessern. Das ist ein lobenswertes Ziel. Bitterer Tropfen dabei ist, daß die Volksverschlüsselung vorerst nur für Windows erhältlich ist. Damit bleibt ein nicht geringer Teil der Nutzer ausgeschlossen. Weder das Betriebssystem iOS von Apple noch Linux noch für die verbreitetsten Smartphone Betriebssysteme wie z.B. Android werden derzeit unterstützt. Es wird aber betont, daß weitere Systeme folgen sollen. Auch den Erstaufwand mit der Erstellung der Schlüssel, den man z.B. bei einem Stand des Faunhofer-Instituts auf einer Messe oder in einem Geschäft der Telekom vornehmen kann unter Vorlage des Personalausweis könnten manche als Hürde sehen. Eine kostenlose Infrastruktur zur flächendeckenden Ausrollung von Schlüsseln soll es geben. 

Mehr unter der Website des Projektes: https://www.volksverschluesselung.de
Wermutstropfen: Man will für alle sichere Verschlüsselung anbieten, hat aber noch nicht einmal die Technologie für Webseiten, HTML, im Griff:
https://validator.w3.org/nu/?doc=https%3A%2F%2Fwww.volksverschluesselung.de%2F

Ein altbekannter IT-Autor Jörg Schieb hat einen Blogpost dazu veröffentlicht:
https://blog.wdr.de/digitalistan/volksverschluesselung-so-soll-es-gehen/
.. und es gibt ein Audio-Interviev dazu mit ihm:
Digitalistan: Verschlüsselung von Emails:
http://www1.wdr.de/mediathek/audio/wdr5/wdr5-leonardo-aktuell/index.html