THKStreams sicher?

[MuTzE.Y85]

Hi,

ich habe einen kleinen Texteditor mit einem eigenen Format geschrieben, mit dem ich z.B. Logins etc. sichern möchte.
Die Datei wird mit Hilfe der Komponente THKStreams gespeichert. Die Komponente nutzt Blowfish als Verschlüsselung und eine LHA-Kompression.
Der Key für die Verschlüsselung wird beim Speichern eingegeben und muss auch beim Öffnen eingegeben werden.

Ist diese Variante einigermaßen sicher, wenn ein vernünftiges Passwort (Buchstaben, Zahlen, Sonderzeichen) gewählt wird?
Also jetzt mal abgesehen von einem Keylogger.

Ich danke euch schon mal!

[MuTzE.Y85]

Niemand ne Meinung dazu?

[Bernhard Geyer]

Das beste ist es nicht mehr, siehe http://de.wikipedia.org/wiki/Blowfish#Kryptoanalyse

[gammatester]

Zitat von Bernhard Geyer:

Das beste ist es nicht mehr, siehe http://de.wikipedia.org/wiki/Blowfish#Kryptoanalyse

Was da steht ist doch in der Praxis wenig relevant (und mal wieder in Wiki-Qualität: falsche Fußnotenverlinkung, die Arbeit von Vaudenay zweimal mit verschiedenen Jahreszahlen etc).

Da die Weak-Keys einfach zu vermeiden sind, ist das einzige was man heute wirklich gegen Blowfish vorbringen kann die 64-Bit-Blocklänge, wahrscheinlich sind die Schwachstellen wie meist die eigentlichen Implementationen.

ZB wird für den Texteditor nicht erwähnt, welcher Betriebsmodus gewählt wird, von Nonce/IV/Salt ganz zu schweigen. Wenn immer das gleiche Passwort benutzt wird, wird dann immer der gleiche Schlüssel verwendet? Wenn ja, dann ist zB der CTR-Modus bei fixem IV nicht sicher, wenn der Text geändert wird etc.

[MuTzE.Y85]

Wie welcher Modus ^^

Der Schlüssel ist immer das Passwort. Und das wird beim Speichervorgang eingegeben. Also nicht wirklich sicher?

[p80286]

Zitat von MuTzE.Y85:

Also nicht wirklich sicher?

Was ist schon sicher?
Ein Einmalschlüssel der so lang ist wie der zu verschlüsselnde Text.
Alles andere ist mit dem entsprechenden Aufwand and Gehirnschmalz und Rechenleistung zu entschlüsseln.
Bleibt nur die Frage lohnt der Aufwand.

Gruß
K-H

[MuTzE.Y85]

Naja 100% gibt es nicht, das ist mir klar.

Mir gehts nur darum, meine Zugänge etc. etwas zu schützen, für den Fall, dass mir Dokumente durch ein Trojaner oder so "geklaut" werden.
Ob das passieren wird oder überhaupt für jemanden interessant sein könnte sei mal dahin gestellt.

[Klaus01]

.. das Passwort wird ja nicht im Stream gespeichert.

Zitat:

This program works by saving the streams in a file with a 10 byte header that contains information whether encryption and/or compression exists, and also a series of bytes that are used for a test if the correct password was entered, in the case of encryption (of course only those 8 bytes are known).

Nur eine "Prüfsumme" anhand der festgestellt werden kann - ob das eingegebene Passwort korrekt war.

Ob man jetzt aus der Prüfsumme das Passwort zurückrechnen kann ...?

Grüße
Klaus