User & Passwörter?

[Alexander]

Hallo,
ich brauche in meinem Programm eine kleine User-Datenbank. Diese wollte ich eine Datei speichern, weil ich so im Augenblick nicht auf eine DAtenbank zugreifen kann.
Nur ich stelle mir im Moment die Frage wie ich Username und Passwort gut speichern & verhlüsseln könnte?
Besonders mit dem Verschlüsseln weiß ich nicht so recht wie ich das mache.
Beides, Username und PW, müssen auch wieder entschlüsselt werden können (also keine Hash ala MD5), denoch soll das sso sicher sein wie möglich :gruebel:
Habt ihr ne Idee?
Wäre toll.

[sakura]

Mal eine dumme Frage, wieso soll das Passwort wieder entschlüsselbar sein :gruebel: Nach deutschen Gesetze dürfen zum Beispiel bei online zugänglichen Informationssystemen die Passworte ausschließlich one-way-verschlüsselt gesichert werden. Rate mal warum ;-)

...:cat:...

[Alexander]

mhm naja OK, darüber ließe sich vielleicht doch noch nachdenken. Aber dennoch frage ich mich wie man den Usernamen am besten verschlüsselt.
Hast du da vielleicht ne gute Idee? Es sollte schon relativ sicher sein.
PS: Das sie dort nur One-Way sein dürfen wusste ich auch ncoh nicht.... ;-)

[Luckie]

Wenn jetzt doch one-way in Frage kommt, dann nimm doch einen Hash.

[Alexander]

Jupp. Den Usernamen wollte ich nciht als Hash speichern und natürlich auch nicht Klartext abspeichern.
Den will ich irgendwie schnell und vorallem recht sicher verschlüsseln. ur weiß ich derzeit nciht wirklich wie :gruebel:
Habt ihr da einen kleien Tip für mich?

[sakura]

Zum Usernamen: Wieso willst Du den verschlüsseln. Es muss ein recht einfacher Algo sein, welcher immer das gleiche Ergebnis bringt, ansonsten wird die Suche nach dem Usernamen umständlich.

Szenario: User meldet sich an - Du musst den Usernamen in einer DB mit 10.000 Einträgen bestimmen. Ein Algo, welcher immer ein anderes Ergebnis liefert würde Dich zwingen solange alle Einträge zu überprüfen (kodierter Usernamen laden, entschlüsseln, vergleichen), bis Du ein passendes Match gefunden hast.

Deshalb sollte immer das gleiche kodierte Ergebnis herauskommen, damit Du die Codes überprüfen kannst. Das allerdings ist nicht entscheidend sicherer, als ein direkt gespeicherter Username.

Frage: Weshalb möchtest Du den Usernamen kodieren. Vielleicht hilft uns hier eine Info, Dir ein wenig zu helfen.

...:cat:...

[FriFra]

Zitat:

Zitat von sakura

Nach deutschen Gesetze dürfen zum Beispiel bei online zugänglichen Informationssystemen die Passworte ausschließlich one-way-verschlüsselt gesichert werden.

Kannst Du für diese Aussage auch eine verlässliche Quelle angeben?

[sakura]

@FriFra: Nur die Email des Anwaltes eines Kunden - und die ist vertraulich ;-)

...:cat:...

[Luckie]

Zitat:

Zitat von sakura

und die ist vertraulich ;-)

Und one-way verschlüsselt. :mrgreen:

[FriFra]

Zitat:

Zitat von sakura

@FriFra: Nur die Email des Anwaltes eines Kunden - und die ist vertraulich ;-)

...:cat:...

Wenn es sich tatsächlich um eine gesetzliche Regelung handeln würde, dann gäbe es auch frei zugängliche Quellen, wo man dies nachlesen kann. Wenn nur ein einzelner Anwalt von einem solchen "Gesetz" kenntnis hat, dann habe ich schon erhebliche Zweifel an der Glaubwürdigkeit solcher Aussagen!

[sakura]

@FriFra: Ich bitte Dich nie mir meine Worte im Mund (unter den Fingern) umzudrehen. Ich habe nicht gesagt, daß nur der das weiß, allerdings werde ich mich auch nicht wegen jeder Sache stundenlang irgendwo hinstellen und mit beschäftigen. Allerdings bin ich lange genug in dem Geschäft, um diese Perversitäten zu kennen. Ausserdem muss es dafür auch keine Gesetze geben, es reichen schon Urteile wo jemand zum Schadensersatz verklagt wurde, weil halt nicht genug Wert auf die Sicherheit von Passwörtern gelegt wurde. Damit ist es zwar nicht gesetzlich - aber für einen Kunden um nichts besser.

...:cat:...

[Alexander]

Also ich will ja alles in eine einfache Datei schreiben, und irgendwie muss ich die Usernamen auhc verschlüsseln, denn sonst kommt wieder irgendein Schlauberger und meint die Usernamen verändern zu können...
Deshalb will ich das verschlüsseln. Habt ihr da ne Idee?
Es muss wenn ich mir das mal genauer überlege, auch nciht hundertprozentig sicher sein, da die Anwender eh nur Deppen werden sein, die nicht wirklcih mit dem PC umgehen können... :mrgreen:

[Luckie]

Such dir eine einfache Hash Unit und fertig.

[Alexander]

Hashes kann ich aber nciht wieder entschlüsseln :gruebel:
Die Usernamen will ich aber schon entschlüsseln können...

[sakura]

Dann mache eine einfache XOR bzw- Ceasar-Verschlüsselung. Da wirst Du wohl kaum sehr viel mehr brauchen - hoffe ich mal :mrgreen: Wie gesagt, die sind nicht sicher, aber gegen Dummies sollte die reichen.

...:cat:...

[Alexander]

mhm na gut.
Werde ich mich mal mit beschäftigen, kann ja nicht all zu schwer sein :mrgreen:

[coolchatter]

Warum machtst du in deinem Programm nicht ein Edit-Feld, in dem man den Benutzernamen und ein Edit-Feld, indem man das Kannwort eingeben kann. Diese Felder können mit md5 verschlüsselt werden und mit diesem Hash in der Datenabnk gespeichert werden.
WEnn der Benutzername und das Kennwort in deinem Programm abgefragt wir, gibt der User seinem Benutzernamen und sein Passwort in den LogIn-Edit-Feldern ein. Aus diesen wird ann wieser ein md5-Hash generiert. Nun wird der md5-Hash mit dem gespeicerten Hash verglichen und mit Hilfe einer if then Schliefe wird entweder das Programm weiter ausgeführt oder beendet.
Das wäre doch eine einfache Möglichkeit, um eine md5-Verschlüsselung einzubinden. :-D

[Alexander]

So mache ich das auch mittler Weile :mrgreen:

[nemo2003]

moin/mahlzeit

in meinem ausbildungsbetrieb weiss ich dass die daten nicht verschlüsselt werden sondern nur prüfsummen (welche? keine ahnung!) verwendet werden...

so hat keiner ne chance *denke ich*

[Alexander]

MD5 ist doch eine Prüfsumme oder nicht?

[czapie]

Im Prinzip ja!
@Alexander: Schlauberger können Usernamen in Dateien veränder, ok, aber können sie nicht auch verschlüsselte Usernamen, also "irgendwelche" Zeichenketten ändern?

@Gesetz+Anwalt: Typsicherweise kann man bei den entsprechenden Landes- bzw Bundesbehörden die Gesetzestexte beantragen. Sinnvoller ist es aber oft, die Sekundärliteratur zu kaufen, wo dann
von erfahrenen Fachleuten jedes Gesetz interprtiert und die genauen Auswirkungen erklärt werden.
Ich glaube eure Frage würde vom Telekommunikationsgesetz beantwortet, jedenfalls dezeit noch.

[Alexander]

@czapie Klar könnten die das machen, aber dafür sind die zu doof :mrgreen:
Das Programm wird mittler Weile 2 Firmen genutzt, um verschiedenste Daten aus allen Datenbanken, die über ODBC und ADO ansrechbar sind, zu analysieren und nachher bei Bedarf nach Excel zu exportieren...
Jedenfalls bekommen die es gerade gebacken das Programm zu bedienen :mrgreen:

[Jelly]

Zitat:

Zitat von Alexander

Hashes kann ich aber nciht wieder entschlüsseln :gruebel:
Die Usernamen will ich aber schon entschlüsseln können...

Hi,

dann nimm doch ein Verschlüsselungsalg. à la Blowfish und... And Verschlüsselungskey kanns du ja den Hash deines Passwortes nutzen...

Gruß,
Tom

[Alexander]

Das Thema ist eigentlich schon längst gegessen ;-)
Passwort wird im Augenblick mit MD5 verschlüsselt und Username mit einer einfach XOR-Verschlüsselung.
Ich weiß die XOR-Verschlüsselung ist nicht gerade sehr sicher, aber sie soll auch nur zur Abschreckung dienen, in der Datei nichts zu ändern ;-)

[Nicodius]

mach halt ein eigenes ver-entschlüsselungs verfahren :gruebel:


hab ich auch gemacht da kommt keienr drauf weil es ein system hat das zu 70 % mit zufall arbeitet


(kleiner ausschnitt:)

854S50745851 ist ein kurzes wort

C1294ESAR542B1800147 ist datum + uhrzeit


:mrgreen:


edit// wenn ichs jetzt selbst entschlüsseln wollen würde würde es mich stolze 10 min brauchen :D mit einem programm villeicht 4 sek

[Alexander]

Hi,
wie gesagt:

Zitat:

Zitat von Alexander

Das Thema ist eigentlich schon längst gegessen ;-)
Passwort wird im Augenblick mit MD5 verschlüsselt und Username mit einer einfach XOR-Verschlüsselung.
Ich weiß die XOR-Verschlüsselung ist nicht gerade sehr sicher, aber sie soll auch nur zur Abschreckung dienen, in der Datei nichts zu ändern ;-)

Ich denke dass man da schon drauf kommen kann, MD5 ist sicherlich sicherer, da man es ja nicht mehr entschlüsseln kann (weil es ein Hash ist)

[HaJo]

Tag Alexander,

hier was einfaches :-)

Delphi-Quellcode:

PROCEDURE Crypt(var mess : PW; lg : integer);
BEGIN
   If lg > 1 Then
      Begin
         crypt(mess, lg-1);
         mess[lg] := chr((ord(mess[lg-1]) + ord(mess[lg])) mod 256);
      End;
END;

PROCEDURE DeCrypt(var mess : PW; lg : integer);
BEGIN
   If lg >= 2 Then
      Begin
         mess[lg] := chr((ord(mess[lg]) - ord(mess[lg-1]) + 256) mod 256);
         decrypt(mess, lg-1);
      End;
END;

Gruß
Jochen

[Alexander]

Danke aber wie gesagt, ich habe es mit MD5 gelöst. Ich werde das jetzt wohl nicht mehr umändern ;-)

Edit: Ist ja auch schon ein halbes Jahr her ;-)