hallo!
also ich hab grad mit md5 gearbeitet und bei einem prog das eingebaut um passwörter zu speichern. ich bin jedoch auf eine kleine sicherheitlücke gestoßen (die sicher umgangenwerden kann, nur ich weiß es eben nicht).
bei mir wird der wert in einer textdatei abgelegt. wenn also jetzt jemand diese datei findet braucht er nur den wert der drin steht durch irgendeinen eigenen ersetzten. wenn er jetzt das prog startet braucht er nur sein eigenes kennwort einzugeben und er ist drin.
wie kann man dieses problem beheben??

Textdatei mit einem unbekannten Key verschlüsseln.

Man saltet das Passwort vor dem Verschlüsseln, d.h. man setzt vor das Passwort noch zusätzliche Zeichen:



Ein Angreifer müsste nun erstmal diesen zusätzlichen String in Erfahrung bringen, bevor er sein eigenes Passwort verschlüsseln kann. Dieser Aufwand ist je nach Aufwand für das Verstecken dieses Strings non-trivial (auch wenn es immernoch genug leute geben sollte, die das können.

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.

Man muss sich sowieso klar machen, dass es keine absolute Sicherheit gibt - schon gar nicht im PC-Bereich. Man muss den Aufwand mit dem Nutzen abschätzen.

ok, dass es keine ABSOLUTE sicherheit gibt, ist mir klar, aber ich wollte halt wissen, wie ich die sicherheit zumindest erhöhen kann.

Is ja richtig - dann greift die 2. Regel:

Wieviel Aufwand will ich im Vergleich zum Nutzen betreiben, damit das Programm für bestimmte Gruppen sicher/nicht kompromittierbar wird!?

ich hab nur das problem, dass ich einen jüngeren bruder hab, der im moment alles daran setzt, meine passwörter zu durschaun. nachdem ich selbst nach 2 minuten nachdenken über md5 auf mein oberes problem draufgekommen bin, hab ich mir gedacht, ich sollt das etwas sicherer machen. das mit dem dazwischenstreun passt mir aber. DANKE!!

Hallo andras,

man kann Dateien auch sehr sicher verschlüsseln:

www.delphi-forum.de/...p;highlight=dcpcrypt

Was spricht dagegen, die Textdatei mit einem gehashten Passwort zu verschlüsseln.

Sprich: Encrypt(Text,MD5(Passwort))

Entschlüsselt man sie, hat man immer noch nicht den waren Schlüssel, sondern nur den Hash.

Und: solange der Algorithmus unbekannt ist, bist Du auf der sicheren Seite, wenn Dein Bruder allerdings mit Debuggern und Disassemblern umgehen kann, bist Du aufgeschmissen

andras hat folgendes geschrieben:

ich hab nur das problem, dass ich einen jüngeren bruder hab, der im moment alles daran setzt, meine passwörter zu durschaun.

Deinem Profil entnehme ich, daß du (auch) WindowsXP benutzt. Warum nutzt du nicht das Benutzer- und Rechte-Management von NT-Systemen? Richte ihm einen zweiten Benutzer ein ändere das Passwort für deinen Benutzer und entziehe ihm die Leserechte in den Verzeichnissen, in denen er nichts zu lesen hat.

Des Weiteren frage ich mich, was für Passwörter du da hast. Wenn dein Bruder drankommen will, werden es wohl nicht Passwörter deiner Software auf deinem Rechner sein, oder? Wenn du eine Liste deiner verwendeten Passwörter in einer TXT-Datei hast, warum willst du sie dann mit MD5 hashen? Wenn du mal ein Passwort vergisst, kommst du mit MD5 nicht wieder an das Passwort dran. Zur sicheren Verschlüsselung und Signierung von Dateien (und eMails) empfehle ich dir den GNU Privacy Guard. Das sind immerhin Verschlüsselungsverfahren, die reversibel sind.

Zitat:

Warum nutzt du nicht das Benutzer- und Rechte-Management von NT-Systemen? Richte ihm einen zweiten Benutzer ein ändere das Passwort für deinen Benutzer und entziehe ihm die Leserechte in den Verzeichnissen, in denen er nichts zu lesen hat.

so was gibts?!
könntest du mir sagen wie das genauer geht, weil so was such ich schon länger...

Zitat:

Warum nutzt du nicht das Benutzer- und Rechte-Management von NT-Systemen? Richte ihm einen zweiten Benutzer ein ändere das Passwort für deinen Benutzer und entziehe ihm die Leserechte in den Verzeichnissen, in denen er nichts zu lesen hat.

danke, ich glaub mit dem wirds besser funzn. hab md5 eig nur verwendet weil ich einen informatiker mal gefragt hab mit was man passwörter speichert und er md5 gesagt hat.

andras hat folgendes geschrieben:

so was gibts?!

Ja.

andras hat folgendes geschrieben:

könntest du mir sagen wie das genauer geht, weil so was such ich schon länger...

Irgendwo in der Systemsteuerung gibt es einen Punkt Benutzer, über den du neue Benutzer anlegen kannst.
Im Eigenschaften-Menü von Dateien müsstest du einen Reiter "Sicherheit" haben, über den ganz du Rechte an gewisse Benutzer verteilen oder sie ihnen entziehen. Das vernünftige Rechtemanagement muss gegebenenfalls erst aktiviert werden, das geht IIRC in den Ordneroptionen (ebenfalls Systemsteuerung), dort ist irgendwo ein Häkchen "Einfache Dateifreigabe verwenden" (oder ähnlich) gesetzt.
Ist schon etwas länger her bei mir, deswegen nur die vagen Informationen.

andras hat folgendes geschrieben:

hab md5 eig nur verwendet weil ich einen informatiker mal gefragt hab mit was man passwörter speichert und er md5 gesagt hat.

War sicherlich einer von Microsoft? Ahnlehnend an bekannten Witz: Die Information war zwar sachlich vollkommen richtig, aber in Bezug auf die gegebene Situation vollkommen unbrauchbar. MD5 wird lediglich dazu verwendet, um Passwörter zu speichern, die abgefragt werden. Hier im Forum werden beispielsweise deine Passwörter nicht im Klartext in der Datenbank gespeichert, sondern als MD5-Hash. Gibst du beim Einloggen dein Passwort ein, wird dieses ebenfalls gehasht und mit dem Hash aus der Datenbank verglichen. Fällt jemandem die Datenbank in die Hände, ist es für ihn unmöglich die Passwörter der Benutzer herauszufinden, ebenso wie für die Admins.

andras hat folgendes geschrieben:

Zitat: Warum nutzt du nicht das Benutzer- und Rechte-Management von NT-Systemen? Richte ihm einen zweiten Benutzer ein ändere das Passwort für deinen Benutzer und entziehe ihm die Leserechte in den Verzeichnissen, in denen er nichts zu lesen hat. so was gibts?!

Autsch.

Erstell aber kein Administratorenkonto für deinen Bruder, dann wäre nämlich die ganze Mühe umsonst. Und wenn du deine Daten nur in den "eigenen Dateien" gespeichert hast, brauchst du auch nichst an den Rechten ändern. Genauso, wenn sie in Ordnern liegen, die du erstellt hast. Denn da hat nur der Besitzer und der Administrator (bzw. kann sich die nötigen Rechte beschaffen.) Schreib- und Leserechte.

Und als eingeschränkter Benutzer kann er dir auch nichts ungewollt installieren oder deinstallieren bzw. er kann ur Systemeinstellungen vornehmen, die sein Konto betreffen.

Und aus Sicherheitsgründen würde ich dir auch empfehlen nur mit einem eingeschränkten Konto zu arbeiten.

Luckie hat folgendes geschrieben:

Autsch.

Der XP-Home-Effekt eben

tommie-lie hat folgendes geschrieben:

Luckie hat folgendes geschrieben: Autsch. Der XP-Home-Effekt eben

Wie heißt es so schön des öfteren in WinXP: "Bei weiteren Problemen fragen sie bitte ihren Systemasministrator"
->Der wirds ja wissen, wo die Optionen versteckt sind...

tommie-lie hat folgendes geschrieben:

Luckie hat folgendes geschrieben: Autsch. Der XP-Home-Effekt eben

Genua deswegen habe ich im Regal zu XP Professional gegriffen. Der erste angelegte Benutzer ist zwar auch automnatisch Administrator, aber man muss nicht so viele Klimmzüge machen, wenn es um die Sicherheitseinstellungen bei den Ordner geht. Das funktioniert unter XP Home angeblich nur im Abgesicherten Modus. Wer sich so was ausgedacht hat gehört erschossen und gevierteilt.

alias5000 hat folgendes geschrieben:

tommie-lie hat folgendes geschrieben: Luckie hat folgendes geschrieben: Autsch. Der XP-Home-Effekt eben Wie heißt es so schön des öfteren in WinXP: "Bei weiteren Problemen fragen sie bitte ihren Systemasministrator" ->Der wirds ja wissen, wo die Optionen versteckt sind...

Richtig amüsant wird es, wenn Leute ihren Internetprovider (sprich: DSL-Anbieter) anrufen, weil sie diese Meldung am Rechner sehen. Und das ist nicht mal ein Witz!

MathiasSimmack hat folgendes geschrieben:

alias5000 hat folgendes geschrieben: tommie-lie hat folgendes geschrieben: Luckie hat folgendes geschrieben: Autsch. Der XP-Home-Effekt eben Wie heißt es so schön des öfteren in WinXP: "Bei weiteren Problemen fragen sie bitte ihren Systemasministrator" ->Der wirds ja wissen, wo die Optionen versteckt sind... Richtig amüsant wird es, wenn Leute ihren Internetprovider (sprich: DSL-Anbieter) anrufen, weil sie diese Meldung am Rechner sehen. Und das ist nicht mal ein Witz!

Ich hab von manchen auch schön gehört, dass sie meinten, ihr PC sei futsch und sie bräuchten jetzt einen neuen, wenn sie weiterarbeiten wollten

MathiasSimmack hat folgendes geschrieben:

Richtig amüsant wird es, wenn Leute ihren Internetprovider (sprich: DSL-Anbieter) anrufen, weil sie diese Meldung am Rechner sehen. Und das ist nicht mal ein Witz!

"Ja? Hallo? Mein Internet geht nicht." - "Wartensema, die haben wir auf Lager, ich schick' Ihnen eins als Ersatz."

Internet hab ich doch bei geizhals vor kurzem erst für 99,95 gesehen...

Die User-Problematik unter Windows XP ist schon seltsam - andererseits: wer kann außer einem Administrator noch einen Admin-Account anlegen?

Wenn der erste ein Normal-User ist, kann der keine Admin-Accounts mehr anlegen - von daher macht das schon Sinn...