Algunas computadoras en mi universidad bloquean la aplicación keepass que uso como administrador de contraseñas. Estoy pensando en construir una aplicación web pequeña + aplicación de Android que me permita copiar de forma segura una cadena desde mi teléfono a mi computadora. Como más personas tendrán este problema, me gustaría que tanto la aplicación web como la aplicación estén disponibles para todos. Es por eso que necesitaré establecer algún tipo de enlace entre una sesión en la aplicación web y una instancia de la aplicación de Android. Pensé en lo siguiente, inspirado en el sistema de Firefox Sync:
- El usuario va a la aplicación web y obtiene un código PIN único < A que está vinculado a su ID de sesión
- El usuario ingresa N A en la aplicación y obtiene un nuevo código pin aleatorio N B (la aplicación envía N A al servidor y recibe N B )
- El usuario ingresa N B en la aplicación web
- El servidor verifica que N B ingresado en la aplicación web es el nonce que se envió a la aplicación que envió N A . También estoy pensando en verificar que la aplicación web y la aplicación estén usando la misma dirección IP, aunque esto puede dar problemas con las redes celulares.
Tanto la aplicación como la aplicación web están identificadas de forma única por un ID de sesión que se envía junto con cada solicitud.
Después de este esquema de autenticación, se establece un enlace que es válido durante tanto tiempo. Por supuesto, también los nonces utilizados en el esquema son seguidos por el servidor y tienen una fecha límite. Naturalmente, toda la comunicación (aplicación - servidor, servidor - aplicación web) se realiza a través de un canal cifrado.
Ahora, la aplicación puede enviar una cadena al servidor, que luego la comunica a la aplicación web a la que está vinculada. La aplicación web no mostraría la cadena, por supuesto, sino que simplemente la copiaría en el portapapeles cuando el usuario lo solicite. Esto reduce el riesgo de que las personas miren por encima del hombro.
¿Este esquema es seguro? Lo que más me preocupa / me pregunto es:
-
Robo de sesión: esto, por supuesto, sería más difícil cuando también se verifica la IP, pero aún así, podría ocurrir. Cuando utilizo HTTPS, ¿estoy en lo cierto al afirmar que la única forma de robo de la sesión sería utilizar un hombre en el navegador o un hombre en el teléfono? Esto sería aceptable.
-
¿Cómo selecciono una longitud de bit para los nonces? Siempre se me ocurrió que Firefox usa códigos PIN increíblemente cortos. La longitud de bit necesaria depende de cuántos usuarios tendría la aplicación (por ejemplo, con 10,000 nonces a la vez en la base de datos, podría imaginar que la longitud de bit tendría que ser mayor que con 10 nonces, para hacer fuerza bruta). ataca más fuerte).
-
También usaría una aplicación web en el teléfono (ya sea haciendo una versión de envío y recepción de la aplicación web, o haciendo esta comunicación bidireccional) introducir cualquier vulnerabilidad de seguridad adicional (a excepción de man en el navegador) en el teléfono)?
-
Cosas que no vi, obviamente.
-
¿Estoy reinventando la rueda?
Tenga en cuenta el requisito de no tener que instalar nada en la computadora; Debe ejecutarse en el navegador. Además, preferiría no tener mis contraseñas en la nube como con LastPass. Las cadenas que se comunican con mi aplicación se eliminarían después de que la aplicación web las haya recibido.