Hallo!
Nachdem die SuFu zu "Passwort speichern" knapp 450 Treffer liefert und nach ca. 30 Minuten noch nichts wirklich erquickliches dabei war, will ich doch mal einen neuen Thread aufmachen.
Angenommen, ich habe ein
FTP-Programm bzw. schreibe eines. Darin will man als User ja seine
FTP-Accounts hinterlegen. Zu jedem Account gibt es üblicherweise ein Passwort. Dieses soll verschlüsselt in einer Datei auf dem lokalen Rechner gespeichert werden. Soweit ist das ja nichts weltbewegendes, kann jedes x-beliebige
FTP-Programm.
Was mich jetzt prinzipiell wundert: Keines der mir bekannten
FTP-Programme fragt mich jemals nach einer Art Masterpasswort. Daraus folgt doch eigentlich, dass die Methode zur Verschlüsselung der Passwörter mehr oder weniger hartcodiert sein muss und die Sicherheit dabei vorrangig auf "Security by Obscurity" basiert. Oder mache ich einen Denkfehler?
Nehmen wir als Beispiel mal Dreamweaver. Da liegen die ganzen
FTP-Accounts als Untermenge der Site-Konfiguration in Dateien vor. Wenn man weiß wo die Dateien liegen kann man sie einfach von einem Rechner zum nächsten kopieren und das dortige Dreamweaver hat alle Daten um sich mit
FTP verbinden zu können. Insofern hat man zwar nie das
FTP-Passwort im Klartext aber zumindest Zugang zum Server.
WS_FTP scheint bei der Verschlüsselung etwas kleverer zu sein. Hier werden die Passwörter anscheinend mit irgendwelchen Informationen verschlüsselt, die vom jeweiligen Rechner abgeleitet werden. Kopiert man die Account-Dateien auf einen anderen Rechner funktionieren die
FTP-Logins nicht mehr. Genauso, wenn man das Windows auf dem eigenen Rechner neu aufsetzt und die gebackupten Account-Dateien zurückspielt.
Beide Varianten sind für mich nicht so recht befriedigend. Erstere ist unsicher, keine Frage. Die zweite ist sicherer, sabotiert aber prinzipbedingt die Funktion von Backups für den Fall einer Windows-Neuinstallation oder Austausch von Hardwarekomponenten an deren Vorhandensein die Entschlüsselung gekoppelt ist.
Angenommen, ich möchte bei meinem Programm ebenfalls auf die Notwendigkeit eines Master-Passwortes verzichten. Welche Möglichkeiten gibt es, Passwörter halbwegs sicher zu verschlüsseln und das verschlüsselte Resultat portabel zu halten? Je mehr ich darüber nachdenke umso weniger erscheint mir das möglich, wobei ich kein Krypto-Experte bin.