[DEC] TProtection classes

[Meflin]

Zitat von negaH:

PS: die Fensterprozedur des Edit Control sollte natürlich auch den Passworttext selber in einem sicheren Datenbereich zusamenbauen. Dh. .Caption oder .Text oder wm_GetText/wm_SetText sollte man vermeiden und stattdessen den realen Passwortstring in der Fensterprozedur selber zusammensetzen, statt diesen wieder per API quasi sichtbar zu speichern. Denn es nützt ja nichts über aufwendige Keyboard Tricks das loggen der Eingaben zu verhindern wenn wir später das eingegebene Passwort selber per API abspeichern. Denn dann kann ein Angreifer mit GetWindowText() darauf zugreifen. Übrigens DIE Schwachstelle beim Windows-Passwordchar-Edit-Control das ja nur die Anzeige per GDI unterdrückt aber NICHT die Speicherung der realen Eingabe in die Fenster Caption/Text.

DAS habe ich schon kapiert ja, bzw mir schon selber gedacht. Und da ich dank deiner Antwort jetzt das nötige Know-How habe werde ich das tun was ich vorhatte, nämlich mir eine kleine aber feine Passwort-Input Komponente schreiben
Mir ist durchaus klar dass das noch lange nicht sicher ist, weil es ja auch beispielsweise hardwarebasierte Keylogger gibt (Keyghost etc), wie du glaube ich in diesem Thread schonmal erwähnt hast, aber deswegen muss man ja trotzdem nicht auf die äußerst zweckundienliche Standardkomponente zurückgreifen.