FortNotes-オンラインパスワードマネージャー

良い一日。

最近完了したプロジェクトを共有したい。 誰かが役に立つといいな。

長い間インターネットを使用している人は誰でも、サイト、メールボックス、サーバー、データベースからのログインやパスワードなど、さまざまな個人データを大量に蓄積しているでしょう。 誰かがより少なく、誰かがより多くを持っていますが、誰もがそのようなデータを持っています。 これを紙くず、モニターのステッカー、ベッドサイドテーブルのノートブック、またはデスクトップのファイルに保存できます。 多くの人は、これはあまり安全ではないと疑っています。誰かがのぞき見したり、この貴重なデータを失う可能性がありますが、通常、誰かがそれについて何かをしようとすることはめったにありません。

インターネットは私たちの生活に非常に緊密に浸透しており、データを合理化して保護できると便利です。 銀行に何百万人もいなくても、誰かがあなたの銀行口座からパスワードを盗むことを心配しなくても、これはメール、wm-keeper、facebookへのアクセスを失うのが良いことを意味しません。 個人的な通信、ビジネス上の連絡先、写真、さまざまな種類の秘密情報-これらはすべて、所有者以外の誰にも公開されるべきではありません。

システムの一般的な説明

FortNotesは、ユーザーデータのフォートノックスです。 このプロジェクトの中心となる技術は、ブラックボックス、またはブラックボックスまたは暗号化されたコンテナです。 このサイトで作成されたすべてのレコードは、 AES （米国政府によって暗号化標準として採用されている対称ブロック暗号化アルゴリズム）を使用してブラウザで直接暗号化され、その後暗号化された形式でサーバーに送信されます。 これは、データ所有者以外の誰もそれにアクセスできないことを意味します。 インターネット接続データの傍受も、不必要に好奇心の強いサイト管理者による暗号化されたコンテナの調査も、ソースデータへのアクセスを許可しません。 ユーザーパスワードがなければ、これは単なる意味のない文字の組み合わせになります。 ブラックボックスは、FortNotes Webサイトにアクセスしてパスワードを入力したときにのみ、実際の情報に復号化されます。 したがって、ユーザーは自分の秘密データの保存が誰にも不明確であることを信用しません。FortNotesサーバーは暗号化されたブラックボックスのみを保存し、それ以上の情報はなく、明確な形式の情報は保存しません。 システムへの登録に合格したユーザー名でさえ、ユーザーのコンピューターとブラウザーより先に進むことはありません。 すべてはサーバーに送信される前に暗号化されます。 データが必要になると、リクエストが送信され、暗号化コンテナがダウンロードされ、復号化が行われます。 プロセスは自動化され、透過的です：予備のパスワードのみが必要です。

さらに深く

登録

システムへの登録には、ユーザー名とパスワードのみが必要です。これらは、サーバーに送信する前にsha256ハッシュに変換されます。これにより、登録は基本的に匿名になります。 データベースは、ユーザー名とパスワードの代わりに、「a9dc602f9d82bc6720b2b4bb016edcacf7da4b2b453a466b742da743f3cba15d」という形式の文字シーケンスを格納します。 サーバーは、ユーザーを識別する可能性のあるデータを保存しません。 同じ理由で、ユーザーの電子メールは要求されないため、ログインとパスワードの回復はできません。 高レベルのセキュリティには特定の要件が課されます。バックドアがなく、「パスワードを忘れた場合の回復」もありません。 これは、このパスワードの損失は、秘密のユーザーデータのデータベース全体の損失と同等であることを意味します。 モーダル登録ウィンドウは、これに継続的に焦点を当てています。







登録を確認するには、captchaが使用されます。







登録が成功すると、ユーザーセクションへのリダイレクトが発生します。 この閉じたセクションを入力するたびに、パスワードが要求されます。これは、すべてのデータ暗号化および復号化操作に必要です。 パスワードは、限られた（カスタマイズ可能な）期間RAMに保存され、その後クリアされ、ユーザーから再度要求されます。







パスワードをクリアする前（保存期間の終了後）、まだ保存されていないすべてのデータは暗号化され、サーバーに送信されることなくブラウザーに一時的に保存されます。 ユーザーがパスワードを入力すると、このデータが復元され、ユーザーは作業を続行できます。



画面の右上隅で2つのコマンドを使用できます。

• ロックを使用すると、開いているすべてのデータをすぐに暗号化し、メモリからパスワードを消去し、パスワードが入力されるまで画面をロックできます。 その瞬間に特定のノートが編集されて保存されなかった場合、このブロッキングにより、これらの変更はブラウザにのみ残り、ユーザーが明示的にノートを保存するまでサーバーに到達しないことに注意することが重要です。
  
  
• Exitは、メモリからパスワードをクリアし、サーバー上のすべてのユーザーキャッシュとセッションを削除してから、プロジェクトのホームページにリダイレクトする完全なログアウトを実行します。
  
  

メモを作成および編集する

システム内の情報の主な単位は、 note -noteです。 メモにはさまざまな種類があります。 メモを作成するには、テンプレートの形式で設計された約12の基本タイプがあります。 彼らの助けを借りて、ワンクリックで「メールボックス」、「サイト」、「ジャバーアカウント」、「ssh / ftpサーバー」などのメモを取得できます。 型は静的ではありませんが、後で詳しく説明します。 メモのサンプルテンプレートのリスト：







各メモは、情報を入力するための最終フィールドである一連のフィールド（ entry ）と、スペースで区切られたタグのリストで構成されています。 たとえば、「skype」タイプのメモは、skype名（skypeアカウント名）、パスワード（パスワード）、コメント（オプションのコメントフィールド）の3つのフィールドで構成され、次のようになります。







同様に、フィールドもタイプ別に分けられます。単純な単一行テキスト、電子メール、URI（サイトタイプアドレス用）、パスワード、複数行テキスト、htmlです。

フィールドのタイプごとの区分により、さまざまな補助操作を追加できます。たとえば、「パスワード」タイプのフィールドでは、特定の長さのランダムパスワードを生成する機能が使用可能になります。URLを入力するときのアドレスフィールドでは、サイトの説明とアイコンをさらに使用するための試行が行われます。



すでに上で述べたように、メモのフィールドは静的ではありません。 Skypeノートでは、任意のタイプの新しいフィールド（電子メールなど）をいつでも追加して、目的の場所に配置したり、既存のフィールドを削除（削除したフィールドを復元）したり、上下に移動したり、タイプを変更したり、単に編集したりできますフィールドのテキストとタイトル。

フィールドにカーソルを合わせると、追加のコントロールがポップアップ表示されます。







フィールドのタイプは、対応するアイテムを使用していつでも変更できます。 タイトルテキスト（変更された場合）およびデータが保存されます。







それとは別に、以前に保存された値にロールバックする機能を備えた各フィールドの変更履歴のレビューに注目する価値があります。 フィールドデータとヘッダーの両方が復元されます。 ポップアップメニューで適切な項目を選択すると、最後の10個の履歴値と復元するリンクを含むテーブルが表示されます。







既存のメモのタイトルまたはデータを変更すると、変更されたデータが強調表示されます。







メモの保存中に変更を加えた後、追加されたフィールドと更新されたフィールド（プラス-新しいフィールド、チェックマーク-更新）：







メモを編集する場合、キーボードショートカットCtrl + Enterを使用してクイック保存を実行できます。

保存に加えて、2つの特別なコマンドを使用できます。現在のノートを複製し、現在のノートに似た新しいフィールドを作成しますが、フィールドは空です。 これは、同じタイプの一連のノートを作成するときに便利です。

検索とフィルター

サーバー側の検索は、検索バーのスペースで区切られたタグを使用して実行されます。 その前の検索でマイナス記号付きのタグを使用すると、そのようなタグが発生しないメモのリストが表示されます。 メモを追加するときに作成されるユーザータグに加えて、削除されたメモ、タグのないメモ、または最終アクセス時刻によるフィルタリングのリストを取得するシステムタグのセットがあります。 このようなタグは、コロン文字「 ： 」を入力した後、検索バーで使用できます。 以下の例は、 site 、 work、およびdevタグが見つかったが、 phpタグが見つからなかった先月のレコードの検索結果を示しています。







結果のリストには一致するすべてのメモが表示されます。各行は1つのメモに対応し、フィールドの内容、最後の変更の日付、タグの完全なリストが簡潔に表示されます。 タグをクリックすると、検索条件に追加したり、既に存在する場合は検索から削除したりできます。 Ctrlキーを押しながら、選択したタグにマイナス記号を付けて検索に追加できます。



検索フィールドは、インテリジェントな自動補完をサポートしています。 タグ名の入力を開始するだけで十分です。すでに入力されているタグを考慮して、可能なオプションのリストがすぐに表示されます。 つまり すでに表示されているタグとペアになっているタグのみが表示されます。







タグ検索は、最初の20個のノートを返します。 完全なリストを取得する必要がある場合は、対応するリンクload allを使用できます。 すべてのノートを強調表示し、選択を解除して反転するリンクもあります。 ノートの操作を開始するには、マウスでクリックするだけです。その後、行がチェックされ、緑色で強調表示され、ノートが編集モードで開きます。 Ctrlキーを押しながら目的の行をクリックして、1つ以上のノートにチェックを付けることもできます。 ファイルマネージャーでの作業と同様に、 Shiftキーを押しながらノートを選択することは機能します。マウスを2回クリックする間にすべての要素を選択します。 選択したチェックマークで一般的な操作を実行できます。削除されたものを削除または復元します。 削除されたメモの回復モードに入るには、システムタグ：deletedを使用できます。 また、回復に切り替える機能は、選択したメモを削除した直後にポップアップするツールチップにあります。

タグではない単語が検索バーで見つかった場合、それらはリストにアップロードされたすべてのメモをさらにフィルタリングするために使用されます。

技術面

開発言語はPHPとJavascriptです。 主な作業はクライアント側で行われるため、2番目は非常に大きくなります。 サーバー側の役割は、データを保存/受信して検索するために、 AJAX要求を登録/承認および処理することです。 256ビットキーを使用するクライアントでのAES暗号化には、素晴らしいSJCLライブラリ（Stanford Javascript Crypto Library）が使用されます。



クライアント側は、基本的に再起動せずに動作するWebアプリケーションであり、jsクラスのセットで構成されています。 jQueryライブラリとそのモジュールが積極的に使用されています： jquery-autocompleteとSimpleModal 。 コアシステムがあり、その主な機能は、パスワードの保存と取得、およびこのパスワードを使用したデータの暗号化と復号化です。 システムの他のすべてのモジュール（ オブザーバーテンプレートを使用）には、ユーザーからのパスワードの受信、またはユーザーの保存期間の満了が通知されます。 これに応じて、閉じられたデータの復号化は、さらに表示されるか、クリーニング/暗号化およびブロックされます。

クライアントとサーバー間のすべての通信は、 JSON形式のデータによって実行されます。 Webアプリケーションが起動すると、すべての参照データが既にJS配列およびオブジェクトの形式でページに存在します。 バックグラウンドAJAXリクエストを使用して、さらにリクエストが実行されます。



サーバー側では、 CNCサポートと完全に最小限の機能を備えたマイクロフレームワークが開発されました。 「これ以上ない」アプローチと最大キャッシング（一般データ-APC 、ユーザー-RAMのRAMFSパーティション上のgzエンコードファイルのJSON ）により、非常に印象的なパフォーマンスインジケーターを実現できました。 そのため、たとえば、プライベートユーザーセクションページの生成には、古いAthlon 2800+レベルのマシンでは5〜7ミリ秒かかります。



使用されるWebサーバーはLighttpdです。 FastCGIプロセスマネージャーとしてのPHP-FPM 。

データベース-MySql アクセスは、 MeekroDBライブラリに似たアプローチの実装を通じて提供されます。 違いは、PDOの使用と、テーブルとフィールドの組み込み検証です。 このライブラリは、別のプロジェクトで強調表示されます 。 理論上PDOを使用するということは、他のデータベース（MySql以外）と連携する機能を意味しますが、これはテストされていません。



サーバーへの呼び出しを最小限に抑えるために、すべてのJSファイルは1つの集合ファイルall.jsにパックされ、すべてのCSSファイルはall.cssにパックされます。 デバッグモードでソースファイルを変更すると、自動的に再構築されます。



システムには、サーバーの起動時とシャットダウン時にそれぞれ実行される2つのシェルスクリプトinit.shとhalt.shがあります。

• init.shは、キャッシュのディレクトリを作成し（必要な場合）、 RAMFSとしてマウントします 。 以前にキャッシュされたデータのバックアップがある場合、それらはキャッシュに転送されます。 さらに、さまざまなデータを処理するサブキャッシュディレクトリの検証と作成（必要な場合）が発生します。 必要なアクセス権が設定されます。 データベース構造は、その後のテーブル名とフィールド名の検証で使用するために生成されます。 ログ、その内容、設定権限のフォルダーを確認して作成します。 JSおよびCSSファイル用の集合ファイルの準備。 php-fpmおよびlighttpdの実行。
  
  
• halt.shは、 lighttpdとphp- fpmをシャットダウンします。 キャッシュされたすべてのデータをバックアップし、キャッシュを無効にします。
  
  

結論として

システムは無料で、すべての人に開かれています。 さらに、オープンソースで配布されているため、誰でもコードを個人的に監査したり、必要に応じて個人の自宅や企業のサーバーにこのシステムをインストールしたりできます。 完全なソースコードは公開のMercurial リポジトリにあり、詳細なインストール手順はwikiにあります 。

計画：データのインポート/エクスポート、詳細な監査、セッション管理、設定、多言語を追加します。

ウェブサイトのアドレス-http://fortnotes.com/

または安全な暗号化接続-https://fortnotes.com/

ohloh.netのプロジェクト。

建設的なコメントと提案を歓迎します。

素敵で安全な仕事をしてください:)



アップデート （2013.02.10）：

コードとドキュメントがクリーンアップされ、マイナーなバグが修正されました。

Apache Webサーバーを使用して実行する機能が追加されました。

組み込みPHP Webサーバーのサポートが追加されました。 これにより、ApacheまたはLighttpdへの依存関係がなくなります。

sqliteデータベースのサポートが追加されました。 これにより、外部データベース（Mysqlなど）を使用せずにシステムを迅速にインストールできます。

さまざまなソーシャルネットワークの代表オフィスが作成されました： Google + 、 Facebook 、 VKontakte 。



アップデート （2013.03.30）：

ソースコードドキュメントのマイナーな編集、最適化、更新の次のバッチ。

エントロピーを生成するSJCLメカニズムのアクティブ化とサポートにより、生成されるランダムパスワードの品質と暗号の安定性が向上します。

バックアップリカバリの待望の実装。 バックアップのユーザーとパスワードは、リカバリが実行されるアカウントのログインとパスワードと一致する必要があります。 古いデータはすべて削除され、バックアップファイルのデータがインポートされます。

エクスポートするとき、より便利な名前が提供され、パスワード要求ウィンドウでシステムから完全にログアウトすることが可能になりました。

プロジェクト（Windowsシステム、Sqliteベース、組み込みphp Webサーバー）のインストールに関する詳細なステップバイステップガイドと 、アーキテクチャの詳細な説明を英語で追加しました。



アップデート （2013.11.13）：

システムの完全な再設計が進行中です。 スケーラビリティ、マルチプラットフォームサポート、インストールと操作の容易さを重視。 どなたでも大歓迎です。



アップデート （2018.06.05）：

マイナーな外観の変更と深刻な内部処理を伴う現在のバージョンのDockerテストイメージがリリースされました。

詳細-github.com/fortnotes/legacy/tree/master/docker



アップデート （2019.05.01）：

プロジェクトは専用のサーバーに移動しました。 サービスの稼働時間と応答性は大幅に向上するはずです。 すべてのサブシステムはDockerコンテナーに転送されます。 このサイトは2つの部分に分かれています。一般的な情報を含むfortnotes.comと、暗号化されたデータを操作するためのアプリケーション-app.fortnotes.comです。 アプリケーション自体は大幅に改善および最適化されています。