Verhindern, dass Benutzer das finden des Passworts durch Firebug/Chrome Dev Tools

Kurze Antwort: Es kann nicht verhindert werden, leider. Dies ist, da alle client-side code (JavaScript) änderbar ist durch den Kunden selbst - also eine client-basierte Sicherheit system anfällig.

Die einzige praktikable Lösung, die ich mir vorstellen kann, ist zum speichern einer Hash - Darstellung der Kennwort anstelle der raw-Passwort. Dies wird (wenn man davon absieht hash-bruteforce-Angriffe) zu halten, die roh-Passwort sicher auf.

Ein hash ist eine Vertretung des ursprünglichen Textes, und ist nicht umkehrbar. Das heißt, die ursprüngliche Zeichenfolge nicht abgerufen werden können, die von jedem Algorithmus, nur den hash. Beispiele für hash mit MD5 und SHA. Diese Technik wird Häufig verwendet in Routern, wo das Passwort oft im browser gespeichert wird.

Klärung: speichern Sie Niemals Ihre Passwörter in plain-text, und wenn Sie möchten, übernehmen diese Technik, die von pre-entered password; die Vermischung und/oder Verschlüsselung auftreten muss auf der server-Seite.

Als es ist clientseitiger, es gibt keine wirkliche Möglichkeit, dies zu verhindern. In Bezug auf eine Sicherheits-Modell: wir können nicht das Vertrauen der Kunden. Auf der anderen Seite jedoch, gibt es keine echte Möglichkeit zu implementieren, das auf andere Weise ohne die Verwendung einer Drittanbieter-Gerät.

Wenn du bist bereit zu gehen durch die Mühe, mit einem Dritten Gerät unterstützen bei der Authentifizierung: die Webseite generieren und zeigen eine Zufallsverteilung, habe das Gerät von Fragen, für die Saat und das Passwort zu generieren, einen hash, und authentifizieren Sie sich auf der Website mit dem hash. Natürlich, der hash wird immer noch sichtbar sein, wenn Sie über einen web-debugger, aber zumindest gibt es keinen Punkt in das speichern/Lesen als hash unterscheiden sich für jede Sitzung. Dies ist nicht völlig sicher, entweder, durch die Art und Weise, wie diese Methode ist anfällig für chosen-plaintext-Angriff.

Lob, wenn Sie bereit sind zu gehen durch alle diese Schwierigkeiten aber. Ich nehme an, Sie könnten schreiben eine app für dies, eine smartphone-Funktion als Dritten Gerät.

    ich glaube, das Problem, das Sie konfrontiert sind, ist für mehrere Personen denselben computer verwenden, und wenn ein Benutzer speichert Ihr Passwort auf Ihrer Website, dann jeder andere auch, die Besuche der Website auf dem gleichen pc wird in der Lage sein, zu manipulieren, um das Feld zu zeigen das Passwort.

    Eine Möglichkeit, dies zu verhindern, ist das deaktivieren der auto-complete. autocomplete="off" Platzieren Sie diesen code in das input-element und selbst wenn das Kennwort gespeichert wird, sollte es nicht zu zeigen. <input autocomplete="off" type="text" required="" tabindex="2" class="std_textbox" placeholder="Enter your account password." id="pass" name="pass">

Profis
Sie haben keine sorgen zu machen über Benutzer, Computer und Passwörter offenbart für die meisten Teil.

Nachteile
Benutzer können denken, dass Ihre Kennwörter gespeichert werden (und Sie können immer noch Passwörter speichern), aber wenn Sie kommen, um Ihre Website, wird es nicht zeigen, bis.
HINWEIS Dies ist nicht der volle Beweis Weg, zu verhindern, dass Benutzer form der Manipulation der form und abrufen von anderen Benutzern Passwörter.

Als Seite beachten, wenn die Website nicht aktualisieren, nach Eingabe von Passwort und Benutzer-Namen der web-browser wird nicht Fragen, um das Passwort zu speichern. Zum Beispiel über eine ajax-Aufruf anstelle von Formular Absenden.

Können Sie JavaScript verwenden, so löschen Sie den text in das Feld Kennwort ein, wenn die Seite geladen wird. Ein besserer Stil wäre das hinzufügen der Feld beim laden der Seite mit JavaScript, in etwa so:var x = document.createElement("INPUT"); x.setAttribute("type", "Passwort");

Alternative zu der autocomplete="off" AutoVervollständigen alternative Es beinhaltet zunächst einen Namen aus dem backend und wie es mit den Namen der Felder, so dass die autocomplete wird nie wissen, wohin Ihre Nutzer gespeicherten Daten

Hinweis: ich denke, Sie sollten vermeiden, dies zu tun, da es brechen wird, grundlegende browser-Funktionalität.

Aber wenn du darauf bestehst, könnte man es härter für jemanden zu offenbaren, Sie das Kennwort, indem Sie "delegieren" die Eingabe zu einem anderen Eingabefeld und füllen das Feld Kennwort das Kennwort mit zufälligen Zeichen.

Unten ist ein Beispiel für eine Möglichkeit, dies zu tun. Beachten Sie, dass in keinem Fall ersetzt es verhindern jemand aus abrufen das Passwort aus dem request-body direkt oder, wenn Sie finden Sie Ihre "verborgenen" delegieren element.

!function() {

    var passwordEl, delegateEl;

    function syncPassword() {
        passwordEl.value = 
            Array(delegateEl.value.length + 1).join('*');
    }

    function createDelegate() {
        delegateEl = document.createElement('input');
        delegateEl.style.position = 'absolute';
        delegateEl.style.top = '-9999px';

        delegateEl
            .addEventListener('keyup', syncPassword, false);

        document.body.appendChild(delegateEl);
    }

    window.addEventListener('load', function() {
        passwordEl = document.getElementById('passwordId');
        createDelegate();

        //steal the focus from the password input
        passwordEl.addEventListener('focus', function(e) {
            e.preventDefault();
            delegateEl.focus();
        }, false);

        syncPassword(); //clear if was auto completed

    }, false);
}();

Nun haben Sie die Möglichkeit, re-füllen Sie Ihre Passwort-Eingabe mit dem korrekten Passwort auf dem Formular senden, oder Sie haben einfach Ihre server erwarten das Passwort zu gelangen, von den Delegierten Bereich.

Wenn Sie sich einbilden, Sie könnten fügen Sie die passenden styling, um das Kennwort-Feld, wenn die delegate-Feld ausgerichtet ist, so dass der Benutzer den Eindruck, dass Sie noch konzentriert auf das Passwort-Feld selbst.

Aber nicht.

Gut, kann man nicht.

Aber dann wieder. Es ist ein Weg, natürlich, um zu verhindern, dass Benutzer nie sehen es mit der Entwickler-Konsole - never Anzeige des INPUT-Feldes, die über das Passwort verfügt.

Die alternative wäre zu emulieren das Verhalten so, dass es scheint, dort zu sein, ist es aber nicht. Ich habe nicht gefunden, eine technisch gute Lösung, aber wie es getan werden könnte, aber hier ist ein Beispiel, wie es getan werden könnte: - (aktualisiert) http://jsfiddle.net/858kef4h/

In diesem Beispiel, die Idee ist, erstellen Sie ein DIV-basierten pseudofield die aussieht wie Passwort-EINGABE und überwacht Tastatureingaben vom Benutzer und speichern Sie den Wert in eine JavaScript variable

<div class="pwField">
  <div class="pwData"></div>
  <div class="cursor"><div class="tfarea"></div></div>
</div>

Dieser einfache hack hat nur drei Variablen für das Passwort, Schwerpunkt Staat und die versteckte textarea

var pw = "", bHasFocus = false, tfArea;

Den "cursor" - Klasse wird ein /aus geschaltet mit JavaScript zu emulieren Reale cursor

setInterval( function() {
   $(".cursor").toggleClass("blink");
},600);

Wenn das div geklickt wird, erstellt es eine textarea-Komponente an der Stelle des Cursors und konzentriert sich auf es.

$(".pwField").on("click", function() {
    //enable cursor and create element if needed
    $(".pwField").addClass("active");
    if(tfArea) { //if already created, just focus to the field
        tfArea.focus(); 
        bHasFocus = true;
        return;
    }
    tfArea = document.createElement("textarea");
    tfArea.value="";
    $(".tfarea").append(tfArea);
    tfArea.focus();   
    bHasFocus = true;
    $(tfArea).on("blur", function() {
        //disable cursor and exit
        $(".pwField").removeClass("active");
        bHasFocus = false; 
    });
});

Dann können Sie hören, keyup/keydown-Ereignis und notieren Sie die Werte

$(document).keydown(function(  ) {
    if(!bHasFocus) return;
    pw = tfArea.value;
    //print asterisks
    $(".pwData").html( asterisks( pw.length ) );
});

Und wenn Sie bereit sind, login, der Wert ist in der "pw" - variable.

Diese dynamisch erzeugte TEXTAREA kann unbemerkt durch die automatische Passwort-Manager, weil es ist nicht die Art von EINGABE -Feld für den Passwort-Managern erwarten, zu sehen.

Dem Benutzer mit, welche änderungen das Feld kann natürlich untersuchen Sie den Wert dieses Elements mit Hilfe der Chrome Developer tools, aber der Punkt hier ist, wenn der PW-manager nicht berücksichtigt, dass Feld, das wie ein Passwort -Feld ist es nicht füllen es mit dem Kennwort des vorherigen Benutzers.

Ich empfehle nicht, dies war nur aus Neugier. Die Idee war es, zu zeigen, dass, obwohl Sie können nicht verhindern, dass die Benutzer sehen, die Elemente, die Sie möglicherweise noch in der Lage sein, auszublenden, das Ergebnis von Passwort-Managern. Aber wie das alte Sprichwort sagt: "Sie können täuschen einige von Ihnen von der Zeit, aber nicht alle von Ihnen die ganze Zeit".

Die user experience ist nicht das gleiche wie mit der standard-Eingabe, aber es verbessert werden könnte. Ein problem ist auch, dass, selbst wenn Sie wollten, um zu verhindern, dass das Kennwort angezeigt werden, kann das, was die Benutzer wirklich wollen. Sie möchten möglicherweise Benutzer der Passwort-Manager. Aber in diesem Fall sind Sie kein Glück, trotzdem.

Gibt es möglicherweise auch Probleme mit dem klicken, Schärfe und Unschärfe mit verschiedenen Browsern, Sie kann nicht funktionieren mit mobilen Geräten wie Sie es erwarten. Wenn diese Art von hack überhaupt verwendet werden, sollten Sie sorgfältig getestet. Es könnte verwendet werden, wenn Sie genau wissen, welche Browser die Nutzer verwenden, und Sie wissen, dass Sie JavaScript aktiviert haben.

EDIT: getestet habe ich den Ansatz mit einigen mobilen Geräten, und es schien etwas Arbeit, aber mit der iPad, und bemerkt, dass Sie die versteckte textarea wird immer noch erzeugt einen sichtbaren cursor und ändern den zoom, so dass jetzt die versteckte textarea ist im Innern der pseudocursor DIV und der zoom sollte Folgen.

Die Prämisse dieser Frage ist, dass der client-computer kompromittiert wurde und verwendet wird, von jemandem, der keinen Zugriff haben sollte. Unter der Annahme, dass ein Passwort-manager ist im Einsatz (wie Chrome), die nicht erforderlich ist ein master-Kennwort vor jedem login-form auto-fill, es gibt nichts, was Sie tun können, um zu verhindern, dass die Angreifer Zugriff auf die Konten.

Sie versuchen, ein problem zu lösen, auf der Anwendungsebene, wenn die access-problem ist viel tiefer als das.

Angenommen, Bob vergisst Abmelden seines Computers. Ein Angreifer (Eve) stolpert über seine offenen Windows-Sitzung und will den Zugang zu seinem PayPal-Konto. Bob nutzt einen Passwort-manager für mehrere Konten, einschließlich seine Google Mail, Paypal, und Reddit Konten. Angenommen, PayPal nahm Anwendungsebene Vorkehrungen, um zu verhindern, dass Eva aus lernen Bobs Passwort aus ein Passwort-manager das automatische ausfüllen. Eva denkt, Sie wird nur in der Lage sein, um die Kontrolle über Bob ' s PayPal-Konto so lange, wie es dauert, Bob zurück. Aber dann, Eva Mitteilungen der PayPal-Passwort-reset-link-Funktion. Bob ' s E-Mail-Konto ist auch gefährdet, weil sein Passwort für es ist auch im Passwort-manager. Mit Zugang zu Bob 's E-Mail-Konto, Eva zurücksetzen können alle von Bob' s Passwörter, die Sie will. Konnte Sie erhalten Zugang durch die Installation eines keylogger auf dem computer des Besuchers.

Unteren Zeile, ist die Sicherheits-Bedenken, die Sie versuchen zu Adresse außerhalb Ihrer macht zu Anschrift (unter der Annahme einer herkömmlichen Benutzername /Kennwort-Modell). Auch ohne die Annahme, etwas über Ihre Anwendung, Eva physischen Zugang zum computer des Besuchers, so dass Sie könnte es Kompromisse in einer Vielzahl von Möglichkeiten.

Wenn Sie Ihren Benutzern die Verwendung von zwei-Faktor-Authentifizierung (senden Sie einen code per SMS-Nachricht über Twilio), Sie tragen rund ein hardware-usb-key, etc...erhöhen Sie die Sicherheit und vermeiden Sie die Passwort-manager-problem bei der hand.

Aber letztlich stehen Sie einen trade-off zwischen Sicherheit und Benutzerfreundlichkeit. Wenn Bob zu faul/vergesslich/apathisch/fahrlässigen Abmelden seines PC, keine Menge von JavaScript, die Sie schreiben können, ihn zu retten.