Wie könnte man eine Passwort Datenbank programmieren ? (gelöst) (Allgemeines zu Perl)

[thread]19148[/thread]

Wie könnte man eine Passwort Datenbank programmieren ? [gelöst]

Tags: perl5 Ähnliche Threads

Leser: 20

Articles: hide open all | hide show old branches

+16 replies
der_thomas

2014-06-13 21:26
User since
2013-09-07
158 Artikel
BenutzerIn
Hallo,

ich will mir ein kleines Programm schreiben mit dem ich mir meine Passwörter anzeigen lassen kann.
Gespeichert werden sollen die Passwörter per storable, letztendlich dann natürlich verschlüsselt (aber das dürfte das geringste Problem sein).
Nur bringt das natürlich nichts wenn man das Perlscript startet, anschließend alles decodiert und angezeigt wird.
Also soll das eigentliche Programm vor dem Anzeigen ein Masterpasswort haben.
Da so ein Perl script aber immer offen lesbar ist dürfte ein:
Code (perl): (dl )

1 2

chomp (my $passwort = <>); if ($passwort eq "geheimeswort") {# zeige alles an....}
das ganze höchst unsicher machen....
ganz zu scheigen davon dass man dann ja auch die Art der Ver/Entschlüsselung lesen könnte.

C kann ich leider nicht um mir da was externes kompilierbares zu basteln.

Das Ganze ist nun auch nicht so mega top secret, gäbe da ja auch fertige Programme dafür, aber ich wollte es selber hinbekommen ;)

Habt ihr da einen Tipp, oder eine Empfehlung (Module auf CPAN etc.), wie man so etwas umsetzen könnte ?

thomas
- frankes
  
  2014-06-13 22:59
  
  User since
  2005-04-02
  140 Artikel
  BenutzerIn
  
  Hallo Thomas
  
  In deinem Fall würde es sich ja anbieten, das Masterpasswort verschlüsselt zu speichern.
  
  Dafür nimmst du dir ein Verschlüsselungsverfahren, welches nur verschlüsselt und prüfst dann wieder gegen die verschlüsselte Variante der Eingabe des Masterpasswortes.
  
  Gruß Frank
- +14 replies
- Muffi
  
  2014-06-13 23:27
  
  User since
  2012-07-18
  1465 Artikel
  BenutzerIn
  
  Das Passwort garnicht speichern.
  Der Text wird mit dem Passwort verschlüsselt und abgelegt. Zum Entschlüsseln wieder das Passwort eingeben. War es falsch kommt Müll raus
  Last edited: 2014-06-13 23:28:51 +0200 (CEST)
  1 + 1 = 10
  - +13 replies
  - der_thomas
    
    2014-06-14 09:38
    
    User since
    2013-09-07
    158 Artikel
    BenutzerIn
    
    Ich danke euch !
    
    Quote
    Das Passwort garnicht speichern.
    Der Text wird mit dem Passwort verschlüsselt und abgelegt......
    
    Das wars !
    So naheliegend, so einfach - manchmal sieht man den Wald vor lauter Bäumen nicht ;)
    Habe das nun auch schon mit Crypt::RC4 getestet, klappt wunderbar
    
    Vielen Dank
    thomas
    - +12 replies
    - Muffi
      
      2014-06-14 10:35
      
      User since
      2012-07-18
      1465 Artikel
      BenutzerIn
      
      Also wenns unbedingt RC4 sein soll, der nicht mehr als sonderlich sicher gilt, lies durch wie man den benutzt. Vor allem die Sache mit dem Initialisierungsvektor.
      1 + 1 = 10
      - +11 replies
      - der_thomas
        
        2014-06-14 11:09
        
        User since
        2013-09-07
        158 Artikel
        BenutzerIn
        
        es muss nicht unbedingt RC4 sein, aber dieses Modul schien mir von der Bedienung her recht simpel zu sein, vor allem auch weil man es nicht objektorientiert benutzen kann (Objektorientierung macht da in meinen Augen keinen rechten Sinn).
        
        Der Testcode ist auch recht simpel:
        
        Code (perl): (dl )
        
        1 2 3 4 5 6 7 8 9 10 11 12 13
        
        use strict; use warnings; use Crypt::RC4; my $plaintext = "Der geheime Text"; my $passphrase = "Thomas"; my $encrypted = RC4( $passphrase, $plaintext ); my $decrypt = RC4( $passphrase, $encrypted ); print "originaltext\n$plaintext\n\n"; print "verschlüsselt\n$encrypted\n\n"; print "entschlüsselt\n$decrypt\n\n";[/quote]
        
        Aber wie gesagt, muss nicht RC4 sein, wenn du einen Tipp zu einem besseren, ebenso leicht zu bedienenden, Modul hättest ....
        
        +10 replies
        
        Muffi
        
        2014-06-14 14:22
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Für den Hausgebrauch sollt RC4 schon passen. Aber ohne Initialisierungsvektor hat man genau das Problem des 2. Absatzes unter Bugs. Und so unscheinbar der ausschaut, er hats in sich und macht das Modul nahezu unbrauchbar.
        1 + 1 = 10
        
        +9 replies
        
        der_thomas
        
        2014-06-14 16:29
        
        User since
        2013-09-07
        158 Artikel
        BenutzerIn
        
        Wenn ich das richtig verstehe, besteht das Problem darin dass wenn ich mehrere Nachrichten mit der selben Passphrase schütze, könnte ein Angreifer der das einmal geknackt hat alles lesen bzw. je mehr Nachrichtentext (quantitativ) desto leichter knackbar.....habe ich das richtig verstanden bzw. übersetzt ?
        
        +8 replies
        
        Muffi
        
        2014-06-14 16:45
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Ja, werden verschiedene Nachrichten mit der gleichen Passphrase verschlüsselt und man sammelt die, kann man daraus die Passphrase rausrechnen.
        Was gehen sollte ist den Initialisierungsvektor selbst nachzubaun. Allerdings nur für den Heimgebrauch.
        Man nimmt zur Passphrase irgendwas was sich ändert, z.b. ein rand oder time oder so. Das hängt man an die Passphrase an und hat somit nie die Gleiche. Damit man aber das Ganze wieder entschlüsseln kann muss man den Zusatz irgendwo mit Speichern, z.b. am Anfang des verschlüsselten Textes dranhängen. Das darf auch ruhig im Klartext sein, hilft einem Angreifer nichts.
        Allerdings, wie gesagt würd ich das nur im Privateinsatz machen, für professionellen Einaatz ist die Gefahr einfach zu gross, dass man dabei doch was falsch macht.
        1 + 1 = 10
        
        +4 replies
        
        der_thomas
        
        2014-06-15 06:47
        
        User since
        2013-09-07
        158 Artikel
        BenutzerIn
        
        Ok, danke, das sollte so wie von dir beschrieben relativ leicht machbar sein.
        
        Mir kam noch eine andere Idee: Eigentlich müsste es doch zusätzlich sehr viel bringen wenn man solcherlei Daten zweifach verschlüsselt, also einfach 2 Verschlüsselungsdurchgänge hintereinander macht. Denn dann würde ein potentieller Angreifer das Knacken des letzten Codes (der 2. Verschlüsselung) gar nicht erkennen, da die Daten nach wie vor keinen Sinn ergeben ?
        Ist dem so, oder habe ich da etwas übersehen ?
        
        thomas
        
        +2 replies
        
        Gast wer
        
        2014-06-15 12:02
        
        doch würde er. 1. am code kann man sehen das zweimal entschlüsselt wurde. 2. jede verschlüsselung hat eine signatur.
        Last edited: 2014-06-15 12:04:03 +0200 (CEST)
        
        der_thomas
        
        2014-06-15 16:47
        
        User since
        2013-09-07
        158 Artikel
        BenutzerIn
        
        Mist, kann ich mir den Weg ins Patentamt sparen *grins*
        Im Ernst, ich vermutete schon dass das einen Haken hat, denn auf so eine naheliegende Idee sind bestimmt schon viele gekommen ;)
        
        thomas
        
        Muffi
        
        2014-06-16 09:10
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Wenns so einfach wär müsste Double-ROT13 auch sicherer sein ;)
        Aber man sieht an dem einfachen Beispiel, dass es nicht ratsam ist bei Kryptographie eigene Ideen einzubauen, wenn man nicht ganz genau weiß was man tut. (Und dieses ganz genau ist wohl was, was sich auf eine handvoll Leute weltweit bezieht)
        1 + 1 = 10
        
        Muffi
        
        2014-06-16 10:15
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Und da sieht man wie leicht mans falsch machen kann:
        
        Wikipedia:
        "Im WEP wurde der einmalige Schlüssel durch einfaches Zusammensetzen eines festen geheimen Schlüssels und eines Session Key bestimmt. In diesem Fall ist es jedoch möglich, den festen geheimen Schlüssel abzuleiten. Falls der Schlüssel mit einer Hash-Funktion quasi zufällig gewählt wird, kann der RC4 aber weiterhin als sicher betrachtet werden."
        
        D.h. einfach ein "time" an das Passwort zu hängen ist eine schlechte Idee.
        Ein "rand" wär besser, allerdings ist perl-random nicht für Kraptosachen geeignet. Das widerum heisst, du müsstest dir wohl noch einen guten Randomgenerator besorgen.
        edit: und da steht jetzt nicht, ob der GANZE schlüssel Zufall sein muss, oder es weiterhin einen festen und einen random-teil geben darf. Müsst man sich tiefer einlesen.
        edit2: Das einzig logische ist wohl, dass der komplette Schlüssel random sein muss. Dann schauts für deinen Anwendungsfall wohl schlecht aus.
        edit3: Obwohl ich glaube mich zu erinnern, dass bei WEP der Session key einfach zu klein war und sich dadurch irgendwann widerholt hat (und dadurch das Oben schon erwähnte Problem mit gleichem Passwort bei verschiedenen Nachrichten entstand). Aber wie gesagt... man müsst sich tiefer einarbeiten.
        Last edited: 2014-06-16 10:22:38 +0200 (CEST)
        1 + 1 = 10
        
        +2 replies
        
        GwenDragon
        
        2014-06-16 10:36
        
        User since
        2005-01-17
        14533 Artikel
        Admin1
        
        2014-06-14T14:45:12 Muffi
        Man nimmt zur Passphrase irgendwas was sich ändert, z.b. ein rand oder time oder so.
        Nein, das macht man nicht! rand ist pseudozufällig; time verwendet aufeinander folgende Zahlen, ist also gar nicht zufällig.
        
        Zufallszahlen sollte man bei UNIXoiden eher aus /dev/random (oder /dev/urandom, weil nicht blockierend) holen, aber vorher die Entropie prüfen!
        Sinnvoller ist es, physikalische Zufallsgeneratoren zu nutzen.
        
        Und unter Windows ist das mit Zufallsgeneratoren so eine Sache.
        Last edited: 2014-06-16 10:39:05 +0200 (CEST)
        die Drachin, Gwendolyn
        
        Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
        
        Muffi
        
        2014-06-16 10:49
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Nein, das stimmt nicht.
        
        Es macht keinen Sinn irgendwas, was kryptographisch random ist zu erzeugen (bzw. erzeugen zu müssen), um es dann im Klartext an den verschlüsselten Text zu hängen.
        
        Es gibt 2 Möglichkeiten:
        a) Der KOMPLETTE Schlüssel muss random sein, was aber fast alle Anwendingsfälle für RC4 unmöglich machen würde
        b) Der Schlüssel darf nur nicht 2 mal gleich sein, dann kann man als variablen Teil dranhängen was man will, so lange es sich irgendwie ändert.
        
        Und ich glaube fast, dass es b) ist, aber wetten würd ich mich nicht traun.
        Last edited: 2014-06-16 10:50:23 +0200 (CEST)
        1 + 1 = 10

View all threads created 2014-06-13 21:26.