Alien Pass

• Vier Eintragstypen — Logins (Titel, Nutzername, seit v1.4 optional eine zweite E-Mail-Adresse, Passwort, URL, Notizen, optional TOTP), verschlüsselte Notizen, Karten (Inhaber, Nummer, Ablauf, CVV, PIN — maskiert, kopierbar) und seit v1.3 Konten (Inhaber, IBAN, BIC, Bank, PIN — die Liste zeigt die IBAN nur maskiert, die PIN erscheint nur auf Anfrage). Favoriten, Suche über alles.
• Kategorien — wie Ordner: frei eintippen, Filter-Chips über der Liste. Beim Proton-Import werden die Tresore zu Kategorien.
• Zusatzfelder, immer geheim (seit v1.4) — bis zu acht frei benannte Felder je Eintrag, bei jedem Typ: App-PIN, Telefon-Kennwort, Sicherheitsfrage, Auszahlungs-PIN. Der Wert erscheint nur auf Anfrage und hat einen eigenen Kopier-Button; die Bezeichnung ist durchsuchbar, der Wert nie. So muss nichts davon im Klartext in die Notizen. Versteckte Felder aus Proton Pass landen beim Import direkt hier.
• Passwort-Generator — Zeichen-Passwörter (8–64 Zeichen) oder Würfelwörter aus der EFF-Liste (sechs Wörter ≈ 77 Bit). Entropie wird angezeigt, im Zeichen-Modus ehrlich um die Vorgabe „jeder Zeichensatz kommt vor“ bereinigt. Seit v1.4 auch direkt im Eintragsformular: „Generieren“ klappt ein Panel mit Modus, Länge und Zeichensätzen auf, jede Änderung erzeugt sofort neu.
• TOTP pro Eintrag — 2FA-Codes direkt beim Login-Eintrag (RFC 6238, SHA-1/256/512). Für kritische Konten empfiehlt die App trotzdem Aegis.
• Passwort-Gesundheit — markiert wiederverwendete und kurze Passwörter. Das Alter bewusst nicht: Ein starkes Zufallspasswort wird mit der Zeit nicht schwächer, Zwangsrotation ist ein Anti-Muster (NIST SP 800-63B) — gewechselt wird bei Leak-Verdacht. Rein lokal, keine Leak-Abfrage.
• Zwischenablage mit Auto-Löschen — 15, 30 oder 60 Sekunden, auch im Hintergrund, solange Android die App nicht eingefroren hat; Kopiertes ist als sensibel markiert, die System-Vorschau zeigt den Inhalt nicht (Android 13+).
• Auto-Sperre — nach Inaktivität und im Hintergrund (sofort bis 5 Minuten).
• Verschlüsseltes Backup & Sync — die .vault-Datei ist vollständig verschlüsselt. Zwei Geräte gleichst du über Export und Import ab, z.B. per Syncthing: je Eintrag gewinnt die neuere Änderung, Löschungen werden mitgenommen.
• Umzug aus Proton Pass — direkt aus dem Export, am besten der PGP-verschlüsselten Variante: Die Datei wandert verschlüsselt aufs Handy und wird erst in der App entschlüsselt. Logins mit TOTP, Notizen, Kreditkarten, Aliase, WLAN und Identitäten kommen mit. Dazu CSV-Import aus KeePassXC und Bitwarden.
• Aegis-Hürde — optional ein TOTP-Code beim Entsperren. Ehrlich benannt als Hürde gegen jemanden, der die Passphrase abgeschaut hat, nicht als zweiter Faktor: Der Schlüssel liegt im Tresor selbst.
• Fingerabdruck-Entsperren (seit v1.2, optional) — der Datenschlüssel wird zusätzlich unter einem Zufallsschlüssel verpackt, den der Android-Keystore nur nach starker Biometrie herausgibt; nichts davon gelangt in Backups. Die Passphrase bleibt der eigentliche Schutz: Sie ist nach jedem Neustart, nach einem Passphrase-Wechsel und bei neuem Fingerabdruck im System nötig — und „Jetzt sperren“ ist der bewusste Riegel für Grenze oder Weitergeben des Handys: danach öffnet nur die Passphrase. Ehrlich dazu: Android bindet den Schlüssel an jede starke Biometrie des Geräts; wo eine starke Gesichtserkennung eingerichtet ist, gilt auch sie (mit Bestätigungs-Tipp).
• Zweisprachig — Deutsch und Englisch, Handbuch in der App.

• Argon2id leitet den Schlüssel aus deiner Passphrase ab (Standard 64 MiB, wählbar 32/64/128) — memory-hard, also teuer für GPU-Angriffe auf eine gestohlene Datei.
• AES-256-GCM über die native WebCrypto. Ein zufälliger Datenschlüssel verschlüsselt den Tresor, die Passphrase verpackt nur diesen Schlüssel. Die Kopfdaten der Datei sind mitauthentisiert — Manipulation fällt auf.
• Import-Grenzen. Eine fremde Backup-Datei darf keine beliebigen Argon2-Parameter erzwingen; alle Inhalte laufen durch eine Feld-Whitelist — auch der eigene Tresor beim Entsperren.
• Kein Reset, kein Backdoor. Wer die Passphrase vergisst, verliert die Daten — dafür kann auch niemand sonst ran.
• Open Source. Der komplette Client-Code ist öffentlich, der Fremdcode (Argon2-Bibliothek, EFF-Wortliste) ist gebündelt und wird im Build per Hash geprüft. Der OpenPGP-Leser für Proton-Exporte ist eigener, bewusst kleiner Code, samt eigener AES-Blockchiffre, die die Testsuite gegen FIPS-197-Vektoren und WebCrypto prüft. Auch der native Android-Code (FLAG_SECURE, Backup-Regeln, Zwischenablage- und Fingerabdruck-Plugin) liegt im Klartext im Repo.
• Drei Security-Audits vor v1.0, v1.1 und v1.2 sowie eine gezielte Durchsicht der Änderungen vor v1.4, alle Funde behoben und mit Tests abgesichert. Die behobenen Punkte sind im Changelog des Repos dokumentiert.

Gehärtet auf Betriebssystem-Ebene

• Keine Internet-Berechtigung. Der App ist das Netz-Recht im Android-Manifest komplett entzogen; „keine Telemetrie“ ist damit nachprüfbar, nicht nur versprochen. Die einzigen Berechtigungen sind die zwei normalen für den Fingerabdrucksensor (USE_BIOMETRIC, USE_FINGERPRINT bis Android 8.1) — dazu eine von AndroidX erzeugte Signatur-Berechtigung, die nichts freigibt. Der Build bricht ab, sobald eine andere auftaucht.
• FLAG_SECURE. Keine Screenshots, kein Screen-Recording, keine Passwort-Vorschau im App-Switcher.
• Kein Cloud-, ADB- oder Gerät-zu-Gerät-Backup. Der Tresor landet in keinem automatischen Backup (Backup-Regeln schließen auch den D2D-Transfer aus) — Sicherungen machst nur du selbst über die verschlüsselte .vault-Datei.
• Grenzen, ehrlich benannt: kein Autofill — bewusst, weil ein Autofill-Dienst den Tresor außerhalb der App lesen und den Schlüssel im Hintergrund halten müsste. Nativer Code beschränkt sich auf vier kleine, im Repo einsehbare Stücke: FLAG_SECURE, Backup-Ausschluss, das Zwischenablage- und das Fingerabdruck-Plugin.

Open Source auf Codeberg

Der Client-Code ist quelloffen (MIT-Lizenz) und kostenlos. Build- und Signatur-Interna bleiben privat, der prüfbare Teil — die App selbst — ist offen. Keine Konten, keine Server-Abhängigkeit.

🔗 codeberg.org/Alien-Investor/alien-pass