Verschlüsselung mit AES-256 und Key, wo sind die Risiken?

[dummzeuch]

Zitat von Daniel:

Du könntest das Passwort verschlüsselt von einem Server abrufen und beispielsweise nur kurz im Speicher halten, solange es für die Entschlüsselung erforderlich ist.

In wie fern ist ein Server sicherer als eine lokale Datei? Ein Angreifer könnte doch genauso auf den Server zugreifen wie das Programm.

[generic]

Du könntest erklären warum du was verschlüsseln willst und was du verschlüsseln willst.
Zweck und Ziel

[Samuel Kurmann]

@generic

Es geht um eine Passwortverschlüsselungtool, ist aber "nur" als Spielerei für mich gedacht, bzw. um mich mit dem Thema zu befassen, da es mich sehr interessiert.
Mir geht es auch nicht darum hier zu erfahren, was der perfekte "Weg" ist (dafür gibt es bereits genug Forumeinträge und Googleeinträge).
Ich möchte nur besser verstehen wo die Lücken sind und dies verstehen.

[Mavarik]

Zitat von dummzeuch:

In wie fern ist ein Server sicherer als eine lokale Datei? Ein Angreifer könnte doch genauso auf den Server zugreifen wie das Programm.

Der Server kann aber für jeden request ein neues PW erzeugen, wenn Du das eine die gerade er-debugged hast, beim nächsten call ist es schon wieder ein anderes...

App hat public Key - Server hat privat Key und erzeugt einen neues Session PW.

Zitat von Andreas13:

schau doch mal hier rein:https://www.delphipraxis.net/200188-...ml#post1428892. Unter #9 findest Du einen Lösungsvorschlag: Dieser ist besser als ein mit abgelegtes Passwort.

Sicherlich ist die Speicherung eins Passwortes im Klartext schlecht, aber da die App ja irgendwann mal das PW verwenden muss, ist der Breakpoint genau an dieser Stelle.
Verschleierung ist keine Verschlüsselung - eine gute Verschleierung wieder steht natürlich einem "einfachen in die Exe schauen", aber nicht dem disassemblier Profi.


Mavarik