Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

Хранение и передача пароля [D7, WinXP]

Страницы: < 1 2
Bruce © (2005-11-12 15:00:00)
Привет всем.

Итак дано: программа клент и программа сервер, чтобы клиенту работать с сервером необходимо авторизоваться на нём. На сервере установлен пароль, хэш котрого храниться в реестре.

Теперь пошли неясности.
Передачу пароля на сервер при соединении я защищаю шифрованием открытым ключём, при этом после обмена ключами я посылаю на сервер зашифрованый пароль, может нужно посылать хэш?

Далее, как и в каком виде на клиентехранить пароли (или их хэши???) чтобы обеспечить опцию "Сохранять пароль", т.е. чтобы пользователю не приходилось вводить каждый раз пароль заново?

Спасибо.

Набережных С. (2005-11-13 12:38:00) [21]

> Reindeer Moss Eater © (13.11.05 02:44) [9]
> Так в [0] я же написал, что пароль, во время передачи, зашифрован
> алгоритмом с открытым ключём....
>
>> Какая разница-то?
>
> Я перехвачу твой зашифрованный пароль и завтра подсуну твоему
> серверу в зашифрованном виде. И он его примет.

Чтобы этого не произошло, можно формировать пакет из уникального для данного клиента идентификатора сообщения и собственно хеша, а уже этот пакет шифровать открытым ключом. Т.о. дважды воспользоваться одним пакетом не удастся, имхо. В качестве идентификатора можно, например, использовать локальное время клиента или даже просто целое число.

Anatoly Podgoretsky (2005-11-13 12:17:00) [22]
Reindeer Moss Eater © (13.11.05 02:44) [9]
А чтобы этого не произошло, надо обмениваться уникальными открытыми ключами.

DrPass (2005-11-13 02:56:00) [23]

> Reindeer Moss Eater © (13.11.05 02:44) [9]

> Я и сказал, что можно с тем же самым успехом clear password
> передавать

Смысл хеша в данном случае состоит не в том, чтобы от хацкера скрыться, а чтобы не дать юзеру посмотреть пароль в открытом виде в базе данных/реестре

Reindeer Moss Eater (2005-11-13 02:44:00) [24]
Так в [0] я же написал, что пароль, во время передачи, зашифрован алгоритмом с открытым ключём....

Какая разница-то?

Я перехвачу твой зашифрованный пароль и завтра подсуну твоему серверу в зашифрованном виде. И он его примет.

Ну и что? В случае
> Требования не больши чем в том же IE или аське.

Я и сказал, что можно с тем же самым успехом clear password передавать.
Уровень безопастности от этого не уменьшится ни на грамм.

DrPass (2005-11-13 00:54:00) [25]

> Reindeer Moss Eater © (13.11.05 00:10) [6]

Ну и что? В случае
> Требования не больши чем в том же IE или аське.

это обычная практика. Если требуется что-то большее, то используют технологии, подобные kerberos (или ее саму).

Bruce (2005-11-13 00:53:00) [26]

> Reindeer Moss Eater © (13.11.05 00:10) [6]

Так в [0] я же написал, что пароль, во время передачи, зашифрованалгоритмом с открытым ключём....

Reindeer Moss Eater (2005-11-13 00:10:00) [27]
> Обычно посылается хеш - сервер просто сравнивает его со
> своим хешем.

Так и сделаю!

С таким же точноуспехом можно посылать открытыйпароль.
Почему?
Потому, что если злоумышленник просниффит открытый пароль или готовый хеш, он сможет сам подсунуть его твоему серверу.
И сервер съест его как миленький.

Bruce (2005-11-12 22:35:00) [28]

> DrPass © (12.11.05 22:33) [4]

> Если требования к безопасности настолько низкие, что допускается
> сохранение пароля... то не все ли равно, как он будет храниться
> и передаваться?

Требования не больши чем в том же IE или аське.

> Обычно посылается хеш - сервер просто сравнивает его со
> своим хешем.

Так и сделаю!

DrPass (2005-11-12 22:33:00) [29]

> Передачу пароля на сервер при соединении я защищаю шифрованием
> открытым ключём, при этом после обмена ключами я посылаю
> на сервер зашифрованый пароль, может нужно посылать хэш?
>

Обычно посылается хеш - сервер просто сравнивает его со своим хешем.

> Далее, как и в каком виде на клиенте хранить пароли (или
> их хэши???) чтобы обеспечить опцию "Сохранять пароль"

Если требования к безопасности настолько низкие, что допускается сохранение пароля... то не все ли равно, как он будет храниться и передаваться?

Bruce (2005-11-12 22:24:00) [30]
Если вопрос не совсем понятен - уточню.
Каким образом храняться пароли в IE, Opera и т.п. очевидно, что хранятся не хэши, а именно пароли, но как максимально их скрыть от "взлома". Может зашифовать какой-нибудь фиксированной passphrase?

Bruce (2005-11-12 21:08:00) [31]

> tesseract © (12.11.05 21:01) [1]

> Протокол авторизации случайно не kerberos?

Нет, протокл сам делал, использую RSA.

> Хранение паролей по любому не безопасно. попробуй RC4 -
> он достаточно шустёр и безопасен.

Т.е. как я понимаю, нужно хранить хэши паролей, а не пароли даже на клиентах и передавать при аторизации хэш?

tesseract (2005-11-12 21:01:00) [32]
Протокол авторизации случайно не kerberos?

> Далее, как и в каком виде на клиенте хранить пароли (или
> их хэши???)

Хранение паролей по любому не безопасно. попробуй RC4 - он достаточно шустёр и безопасен.

Страницы: < 1 2

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »