AGB  ·  Datenschutz  ·  Impressum  







Anmelden
Nützliche Links
Registrieren
Thema durchsuchen
Ansicht
Themen-Optionen

"Passwortsicherheit" von Komponenten

Ein Thema von Berni68 · begonnen am 27. Mai 2011 · letzter Beitrag vom 27. Mai 2011
Antwort Antwort
Benutzerbild von Bernhard Geyer
Bernhard Geyer

Registriert seit: 13. Aug 2002
17.234 Beiträge
 
Delphi 10.4 Sydney
 
#1

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 09:52
Wenn man z.B. die Komponente TIdFTP nutzt, Host, Username
und Passwort im Objektinspektor hinterlegt, wie einfach/schwer ist es, aus der .exe (wie auch immer) diese Infos wieder rauszuholen und damit den FTP-Zugang zu knacken?
Solang kein DAU am werk ist, hat man diese Infos in weniger als 1 Minute. Diese Infos liegen im Klartext vor.
Windows Vista - Eine neue Erfahrung in Fehlern.
  Mit Zitat antworten Zitat
Berni68

Registriert seit: 9. Jan 2006
Ort: Villingen
162 Beiträge
 
Delphi XE5 Professional
 
#2

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 10:01
Und wie ist es wenn man bei TIdFTP TLS verwendet?

Was gibt es für Alternativen?
Bernhard
  Mit Zitat antworten Zitat
Benutzerbild von himitsu
himitsu
Online

Registriert seit: 11. Okt 2003
Ort: Elbflorenz
44.588 Beiträge
 
Delphi 12 Athens
 
#3

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 10:03
Lösung: Wenn schon FTP (oder sonstwas), dann nur über einen eingeschränkten FTP-Benutzer, damit nix Schlimmes passieren kann.
Ein Therapeut entspricht 1024 Gigapeut.
  Mit Zitat antworten Zitat
Benutzerbild von jaenicke
jaenicke

Registriert seit: 10. Jun 2003
Ort: Berlin
10.076 Beiträge
 
Delphi 12 Athens
 
#4

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 10:30
Warum muss es denn FTP statt einer normalen Lösung via HTTP sein?
Sebastian Jänicke
AppCentral
  Mit Zitat antworten Zitat
Berni68

Registriert seit: 9. Jan 2006
Ort: Villingen
162 Beiträge
 
Delphi XE5 Professional
 
#5

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 10:48
Habe mal Wireshake runtergeladen und installiert:
Im unverschlüsselten Modus von TIdFTP war es wirklich deprimierend einfach Host User und Pass zu erhalten.
Bei TIdFTP mit TSL geht das Passwort nicht zumindest nicht unverschlüsselt über die Bühne. Kann man es trotzdem noch knacken?

@jaenicke es muss nicht FTP sein.
Habe mal den Ansatz gewählt weil es einfach erschien.

Meine Absicht:
Ich stelle Nutzern die Daten sammeln müssen ein Programm zur Verfügung,
das die Daten auf einem WebServer ablegt (Idee/Ansatz->FTP),

Ist das mit HTTP so auch möglich? Da ist doch ein Problem mit dem Webspace Provider und dem zurückschreiben oder?
Bernhard
  Mit Zitat antworten Zitat
Benutzerbild von Phoenix
Phoenix
(Moderator)

Registriert seit: 25. Jun 2002
Ort: Hausach
7.645 Beiträge
 
#6

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 11:01
Habe mal Wireshake runtergeladen und installiert:
Im unverschlüsselten Modus von TIdFTP war es wirklich deprimierend einfach Host User und Pass zu erhalten.
Bei TIdFTP mit TSL geht das Passwort nicht zumindest nicht unverschlüsselt über die Bühne. Kann man es trotzdem noch knacken?
Im Prinzip ja, denn Client-Software und Server müssen sich ja über den Schlüssel einig werden. Hier kannst Du weiter lesen, das ist aber tatsächlich schon um einiges aufwändiger als mit reinem FTP.
Sebastian Gingter
Phoenix - 不死鳥, Microsoft MVP, Rettungshundeführer
Über mich: Sebastian Gingter @ Thinktecture Mein Blog: https://gingter.org
  Mit Zitat antworten Zitat
Satty67

Registriert seit: 24. Feb 2007
Ort: Baden
1.566 Beiträge
 
Delphi 2007 Professional
 
#7

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 11:28
Wie sieht es mit asymetrischer Verschlüsselung aus.

Die Daten mit dem öffentlichen Schlüssel encrypten und an den Server senden. Dort erst mit dem privaten Schlüssel decrypten.
  Mit Zitat antworten Zitat
Benutzerbild von rollstuhlfahrer
rollstuhlfahrer

Registriert seit: 1. Aug 2007
Ort: Ludwigshafen am Rhein
1.529 Beiträge
 
Delphi 7 Professional
 
#8

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 11:46
Die Daten mit dem öffentlichen Schlüssel encrypten und an den Server senden. Dort erst mit dem privaten Schlüssel decrypten.
Sollten SSL und TLS das nicht schon sein? - Das hindert Wireshark trotzdem nicht daran, das Passwort anzuzeigen. Spätestens, wenn man mit einem Man-in-the-Middle-Angriff an die ganze Sache ran geht und das Programm gerade zufällig nicht das Zertifikat überprüft, ist die ganze Sache eh hinfällig, weil dann die komplette Kommunikation im Klartext vorliegt.


Meine Absicht:
Ich stelle Nutzern die Daten sammeln müssen ein Programm zur Verfügung,
das die Daten auf einem WebServer ablegt (Idee/Ansatz->FTP),

Ist das mit HTTP so auch möglich? Da ist doch ein Problem mit dem Webspace Provider und dem zurückschreiben oder?
Ein HTML-Formular, in das die Daten im Browser eingegeben werden und dann serverseitig in eine DB geschoben werden sollte doch vollkommen ausreichen. Dann braucht man noch nicht einmal ein Client-Programm. Und wenn das gesichert ablaufen soll, dann lädt man das eben per HTTPS.

Bernhard
Bernhard
Iliacos intra muros peccatur et extra!
  Mit Zitat antworten Zitat
Benutzerbild von jaenicke
jaenicke

Registriert seit: 10. Jun 2003
Ort: Berlin
10.076 Beiträge
 
Delphi 12 Athens
 
#9

AW: "Passwortsicherheit" von Komponenten

  Alt 27. Mai 2011, 13:05
Abgesehen davon muss das Passwort an die FTP-Komponente so oder so unverschlüsselt übergeben werden. Das heißt selbst wenn man das Passwort in der Exe verschlüsselt ablegt muss es zur Laufzeit dennoch unverschlüsselt im Speicher stehen. Das ist dann zwar nicht mehr ganz so einfach, aber dennoch relativ einfach zu finden.
Sebastian Jänicke
AppCentral
  Mit Zitat antworten Zitat
Antwort Antwort


Forumregeln

Es ist dir nicht erlaubt, neue Themen zu verfassen.
Es ist dir nicht erlaubt, auf Beiträge zu antworten.
Es ist dir nicht erlaubt, Anhänge hochzuladen.
Es ist dir nicht erlaubt, deine Beiträge zu bearbeiten.

BB-Code ist an.
Smileys sind an.
[IMG] Code ist an.
HTML-Code ist aus.
Trackbacks are an
Pingbacks are an
Refbacks are aus

Gehe zu:

Impressum · AGB · Datenschutz · Nach oben
Alle Zeitangaben in WEZ +1. Es ist jetzt 00:03 Uhr.
Powered by vBulletin® Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024-2025 by Thomas Breitkreuz