Webclip - Web-Lösung zum Datenaustausch zwischen Geräten

[mibere]

Hallo zusammen,

da ich die Tage mal wieder die Notwendigkeit hatte einen umständlich zu tippenden Text vom Rechner auf das Smartphone zu bekommen...

Gewünscht hatte ich mir eine Möglichkeit um "mal eben" Text (Passwort, URL, E-Mail-Adresse, Telefonnummer...) von einem Gerät auf ein anderes zu übertragen.

Nach diversen Konzeptänderungen habe ich auf meiner Domain unter https://qnea.net/webclip/webclip.php meine eigene Lösung zum Datenaustausch zwischen Rechner (Windows, OS X, Linux) und Smartphone (Android, iOS, Windows Phone) bereitgestellt.

Wer mag kann dies gern mitnutzen. Vielleicht findet jemand auch einen Konzeptfehler


Ein paar Worte zur aktuellen Absicherung:

Die Anwendung erlaubt nur HTTPS-Verbindungen, was bei meiner Domain der Fall ist.

Jede abgespeicherte Eingabe ist einmalig für 2 Minuten unter einer zufällig erzeugten URL abrufbar - eine gespeicherte Eingabe wird nach Aufruf dieser URL im Dateisystem gelöscht und steht somit nicht mehr zur Verfügung.

Jede Datendatei wird unter einem Dateinamen mit zufälligen Anteilen angelegt, wird mit einem dynamischen Kennwort* AES256-verschlüsselt (für jede Datendatei wird ein neues Kennwort gewählt) und ist nur über die IP** abrufbar, über die sie angelegt wurde. Zudem ist der Zugriff auf die Datendateien von außen per htaccess unterbunden.

* Anwendung und Webserver speichern keine Kennwörter und IPs
** Teilen sich mehrere Clients dieselbe ausgehende IP, so können die Clients dennoch nicht auf fremde Datendateien zugreifen

[Dj Ninja]

Irgendwo muß es eine Datenbank geben, wo die Kennwörter zu den Daten-Dateien abgelegt sind. Mit Hilfe dieser könnte man diese natürlich entschlüsseln, auch wenn zwei Minuten dafür wenig Zeit sind (ohne den Lösch-Prozess zu stoppen, wenn man den anhält oder die Daten kopiert hat man ewig Zeit). Wenn Du magst, kannst Du noch ein Passwort für die Daten vom User mitschicken lassen und dieses bei der AES-Verschlüsselung als Salt verwenden - dann wirds auch bei direktem Zugriff auf den Server schwierig, an die Daten zu kommen.

[mibere]

Danke für deine Rückmeldung.

Aktuell ist es tatsächlich so, dass nirgends IPs oder Kennwörter auf dem Server gespeichert werden.

Die Angabe eines optionalen Kennworts durch den Benutzer ist eine gute Idee und ich werde mir Gedanken darüber machen.

[Dj Ninja]

Wie bekommst Du dann nach dem Ablegen der verschlüsselten Daten auf der Server-Platte das Kennwort zum Entschlüsseln zurück? Bleibt das Script solange aktiv im Speicher? Find ich resourcenfressend.

Die IP ist einigermaßen egal und bietet nur wenig Sicherheit bzw. so ein Schutz kann ausgehebelt werden, genau wie bei der MAC-Adresse auch. Außerdem wird sie auf einem normal konfigurierten Server mindestens in den Logfiles gespeichert... Wenn man da irgendwelche Sperrungen einbaut, schafft man sich mehr Probleme als Nutzen. Mir ist das bei einem selbstgeschriebenen Browsergame passiert, da tauchten dann User mit ständig wechselnder IP auf und ich mußte eine Möglichkeit zum Abschalten dieses Schutzes nachrüsten. Seit dem baue ich sowas erst gar nicht mehr.

[mibere]

Wie bekommst Du dann nach dem Ablegen der verschlüsselten Daten auf der Server-Platte das Kennwort zum Entschlüsseln zurück?

Sollte ich vielleicht zum Patent anmelden Es steht ja nicht nur die IP als Quelle zur Verfügung - nein, es werden keine Cookies verwendet.

Bleibt das Script solange aktiv im Speicher? Find ich resourcenfressend.

Nein.

Die IP ist einigermaßen egal und bietet nur wenig Sicherheit bzw. so ein Schutz kann ausgehebelt werden, genau wie bei der MAC-Adresse auch.

Es wird nicht nur die IP verwendet und durchweg mit Hashes gearbeitet.

Außerdem wird sie auf einem normal konfigurierten Server mindestens in den Logfiles gespeichert

Das Speichern von IPs ist im Webserver deaktiviert.

Sollte und wird keine Hochsicherheitslösung werden. Denke der aktuelle Stand ist ausreichend sicher, um mal eben irgendeinen kurzen Text zu übertragen.

[Dj Ninja]

Hashes oder nicht ist für die Verschlüsselung egal, das kann man machen um das Kennwort beim direkten Datenbankzugriff unlesbar zu machen. (Nachteil: Wenn es verlorengeht kann man es nicht erneut zuschicken, es muß ein neues vergeben werden.)

Naja wenn Du nicht über die Technik reden willst, wieso machst dann erst so einen Thread auf? Großes Geheimnis, genauso wie Deine Texte und die dahinterstehende Technik ... ?

Übrigens ist die sicherste Ablage immer noch die, von der niemand weiß. Natürlich nur solange sie nicht gefunden wird.

[www.rekorn.de]

Ich find die Seite super - vielen Dank, so konnte ich auch meine ellen langen Passwörter aufs Handy übertragen

[Eric]

offline...

[M. Franckenstein]

jupp ...

Not Found
The requested URL /webclip/webclip.php was not found on this server.
12:23 - 10.04.16

[www.rekorn.de]

https://qnea.net/webclip/

[mibere]

Ich find die Seite super - vielen Dank, so konnte ich auch meine ellen langen Passwörter aufs Handy übertragen

Vielen Dank für deine Rückmeldung

Es gilt weiterhin, mich interessiert es nicht was dort übertragen wird, ich überwache und werte weiterhin absolut nichts aus.

[Felix2015]

@mibere - schön wieder von dir zu lesen.