správce hesel je podle mě jen takový mezičlánek, který vyplňuje místo, než se forma přihlašování změní. Uživatelsky přijatelný je asi pin, master heslo a otisk prstu/obličeje, jak to používáme u mobilních aplikací.
Nesmysl je, že se heslo, které je hodně cenné musí posílat v textové formě po síti druhé straně, která ho naprosto různě veme a zpracuje, často stejné textové heslo putuje ještě do databáze. Jak v takovém prostředí chceš zajistit, aby neuniklo?
SSH klíč je super, privátní klíč (jako master heslo) nikdy neopustí klienta, údaje, které po síti putují je možné teoreticky i odposlouchat a komunikace je pořád docela bezpečná. Můžeš mít libovolné množství klíčů a sám si spravovat, které jsou pro co. Škoda neodolnosti proti brute-force útoku na získaný šifrovaný privátní klíč. A škoda, že webauth přišel až teď, měl tady být od počátku a věci jako http digest (RFC 2069) neměly nikdy vzniknout.