Passwort verschluesselt speichern

[Gast]

Moin zusammen.
Ich bin grade dabei eine Client/Serveranwendung zu schreiben. Wie richte ich es ein, dass der client sich das Serverpasswort merken kann, ohne dass ich das Passwort im Klartext in irgend einer Datei speichern muss? Ein speichern im Klartext waere zwar unter Sicherheitsaspekten vertretbar, aber wenn moechte ich es schon richtig machen.

Gruss
Christian

 

[Ebenius]

Richtig wäre es, das Passwort nicht abzuspeichern. Statt dessen einen hinreichend sichere und nicht umkehrbaren Algorithmus zu nutzen, also nur eine Art Prüfsumme abzuspeichern. (sehr vereinfacht ausgedrückt)

Einen Einblick gibt hier die englische Wikipedia: Password / Form of stored passwords

// EDIT: Nich richtig gelesen... Du willst auf dem Client das Server-Passwort speichern... Dazu hab ich ja gar keine Meinung.

Ebenius

 

[0x7F800000]

irgendwie verstehe ich rein logisch nicht, was von wem du verstecken willst. :bahnhof:

 

[Ebenius]

irgendwie verstehe ich rein logisch nicht, was von wem du verstecken willst. :bahnhof:

Ich glaube, es geht darum, eine Art Wallet in die eigene Client-App einzubauen. Klartext-abspeichern macht man nicht, weil sonst zu viele böse Computerviren (und der Bundestrojaner*) zu einfach die Passwörter finden. Richtig?

* Darf ich das Wort überhaupt benutzen, oder wächst deshalb jetzt meine Stasi^WBND-Akte? ;-)

 

[0x7F800000]

Ich glaube, es geht darum, eine Art Wallet in die eigene Client-App einzubauen. Klartext-abspeichern macht man nicht, weil sonst zu viele böse Computerviren (und der Bundestrojaner*) zu einfach die Passwörter finden. Richtig?

Dann reicht aber schon security-by-obscurity vollkommen. Wenn man alle buchstaben einfach einmal durchpermutiert, dann kriegt kein bundestrojaner jemals raus was es gewesen sein soll, weil sich niemand die mühe geben wird das herauszufinden.

* Darf ich das Wort überhaupt benutzen, oder wächst deshalb jetzt meine Stasi^WBND-Akte? ;-)

die wächst und gedeiht :toll:

 

[ARadauer]

md5 vielleicht, hilft dir das?

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class MD5 { 

	private MessageDigest md = null; 
	static private MD5 md5 = null; 
	private static final char[] hexChars ={'0','1','2','3','4','5','6','7','8','9','A','B','C','D','E','F'}; 

	/** 
	 * Constructor is private so you must use the getInstance method 
	 */ 
	private MD5() throws NoSuchAlgorithmException 
	{ 
		md = MessageDigest.getInstance("MD5"); 
	} 


	/** 
	 * This returns the singleton instance 
	 */ 
	public static MD5 getInstance()throws NoSuchAlgorithmException 
	{ 

		if (md5 == null) 
		{ 
			md5 = new MD5(); 

		} 

		return (md5); 
	} 

	public String hashData(byte[] dataToHash) 

	{ 

		return hexStringFromBytes((calculateHash(dataToHash))); 
	} 



	private byte[] calculateHash(byte[] dataToHash) 

	{ 
		md.update(dataToHash, 0, dataToHash.length); 

		return (md.digest()); 
	} 



	public String hexStringFromBytes(byte[] b) 

	{ 

		String hex = ""; 

		int msb; 

		int lsb = 0; 
		int i; 

		// MSB maps to idx 0 

		for (i = 0; i < b.length; i++) 

		{ 

			msb = ((int)b[i] & 0x000000FF) / 16; 

			lsb = ((int)b[i] & 0x000000FF) % 16; 
			hex = hex + hexChars[msb] + hexChars[lsb]; 
		} 
		return(hex); 
	} 


	public static void main(String[] args) 
	{ 
		try 
		{ 

			MD5 md = MD5.getInstance(); 
			System.out.println(md.hashData("hello".getBytes())); 
		} 
		catch(NoSuchAlgorithmException e) 
		{ 
			e.printStackTrace(System.out); 
		} 
	} 
	
}

 

[Wildcard]

Idealerweise koppelst du solche Action an den User Account wie zB Eclipse Secure Storage.
Die Idee ist sich die Mechanismen des Betriebssystems zunutze zu machen. Auf einem Gnome Desktop und Mac kann man bspw. ein zufällig generiertes Master Password im Keyring ablegen und damit verschlüsseln, auf Windows kann man sich anhand der Login Session ein Passwort erzeugen und damit den Store verschlüsseln usw.
Damit wird sichergestellt das die Daten nur entschlüsselt werden können, wenn der richtige User eingeloggt ist.

Näheres:
http://help.eclipse.org/stable/topi...oc.user/reference/ref-securestorage-works.htm

 

[Guest]

Richtig wäre es, das Passwort nicht abzuspeichern. Statt dessen einen hinreichend sichere und nicht umkehrbaren Algorithmus zu nutzen, also nur eine Art Prüfsumme abzuspeichern. (sehr vereinfacht ausgedrückt)

Einen Einblick gibt hier die englische Wikipedia: Password / Form of stored passwords

// EDIT: Nich richtig gelesen... Du willst auf dem Client das Server-Passwort speichern... Dazu hab ich ja gar keine Meinung.

Ebenius

Klar, nur hier geht es darum auf dem Client das Passwort fuer den Server zu speichern. So wie du z.B. in deinem Mailclient das Passwort fuer den Mailserver speichern kannst. Dass der Server das Passwort nur als Pruefsumme speichert ist klar. Der Client muss nur die Moeglichkeit haben aus dem gespeicherten Passwort wieder den Klartext herauszulesen, da dieses ja an den Server gesendet wird. Das selfstorage hoert sich nett an, werde ich mir mal was naeher ansehen.

Dank und Gruss
Christian