Шифрование паролей в Delphi

Я использовал этот библиотека, очень быстро добавляю. Но вики-шоу еще несколько решений.

Даже если вы зашифруете, мне кажется, что и ваш ключ дешифрования, и зашифрованный пароль будут находиться в вашем исполняемом файле, что означает, что это никоим образом не является просто безопасностью посредством неизвестности. Кто угодно может взять ключ дешифрования и зашифрованные пароли и сгенерировать необработанные пароли.

Вам нужен односторонний хеш.

Я поддерживаю рекомендацию Дэвида Бартона Библиотека DCPCrypt. Я успешно использовал его в нескольких проектах, и это займет не более 15 минут после того, как вы прочитаете примеры использования. Он использует лицензию MIT, поэтому вы можете свободно использовать его в коммерческих проектах и ​​в других целях. DCPCrypt реализует ряд алгоритмов, в том числе Rijndael, который является AES.

Также существует множество автономных (одноуровневых) реализаций googlable - вопрос в том, какой из них вы доверяете, если только вы не готовы самостоятельно проверить исправность конкретной библиотеки.

Ник, конечно, прав - я просто предполагаю, что вы знаете, что делаете, когда говорите, что хотите потратить все 15 минут на внедрение решения безопасности. Библиотека DCPCrypt также реализует ряд алгоритмов хеширования, если вы решите пойти по этому (лучшему) маршруту.

Думаю, Turbopower LockBox - отличная библиотека для криптографии:

http://sourceforge.net/projects/tplockbox/

Я не знаю, слишком ли он велик для вашего использования, но он очень прост в использовании, и вы можете зашифровать строку с помощью 5 строк кода. Это все в примерах.

Для типичных целей аутентификации вам не нужно хранить пароли, вам нужно только проверить, правильный ли пароль, введенный пользователем. Если это ваш случай, вы можете просто сохранить хеш-подпись (например, MD5) и сравнить ее с подписью введенного пароля. Если две подписи совпадают, введенный пароль правильный.

Хранение зашифрованных паролей может быть опасным, потому что, если кто-то получит ваш «главный» пароль, он сможет восстановить пароли всех ваших пользователей.

Если вы решите использовать MD5, вы можете использовать MessageDigest_5.pas, который поставляется с Delphi (по крайней мере, он включен в мою копию Delphi 2007). Есть также другие реализации с исходным кодом Delphi, из которых вы можете выбрать.

У Тандрея правильный подход. Никогда не следует хранить пароль с помощью обратимого шифра. Как было правильно указано, если ваш «главный» ключ был когда-либо скомпрометирован, вся система будет скомпрометирована. Использование необратимого хеша, такого как MD5, намного безопаснее, и вы можете сохранить хешированное значение в виде открытого текста. Просто хешируйте введенный пароль, а затем сравните его с сохраненным хешем.

Просто напоминание.

Если вам не нужно взаимодействовать с другими библиотеками шифрования, то DCP или LockBox сделают эту работу.

НО

Если вам нужно, чтобы он полностью соответствовал спецификациям rinjdael, забудьте о бесплатных компонентах, они в большинстве случаев «паршивые».

Я всегда пользуюсь Turbopower Lockbox. Он хорошо работает и очень прост в использовании. На самом деле я использую его для того же самого, сохраняя пароль в текстовом файле конфигурации.

http://sourceforge.net/projects/tplockbox/

Как указывали другие, для целей аутентификации вам следует избегать хранения паролей с использованием обратимого шифрования, то есть вам следует хранить только хэш пароля и проверять хеш пароля, предоставленного пользователем, по хешу, который вы сохранили. Однако у этого подхода есть недостаток: он уязвим для атак радужный стол, если злоумышленник завладеет вашей базой данных хранилища паролей.

Что вам следует сделать, так это сохранить хеши предварительно выбранного (и секретного) значения соли + пароль. То есть объединить соль и пароль, хэшировать результат и сохранить этот хеш. При аутентификации сделайте то же самое - объедините значение соли и введенный пользователем пароль, хэш, затем проверьте равенство. Это делает невозможными атаки на радужную таблицу.

Конечно, если пользователь отправляет пароли по сети (например, если вы работаете в веб-приложении или приложении клиент-сервер), вам не следует отправлять пароль открытым текстом, поэтому вместо хранения хеша (соль + пароль), вы должны хранить и проверять его на соответствие хэшу (соль + хеш (пароль)), и пусть ваш клиент предварительно хеширует введенный пользователем пароль и отправляет его по сети. Это также защищает пароль вашего пользователя, если пользователь (как и многие другие) повторно использует один и тот же пароль для нескольких целей.

Я рекомендую использовать какую-нибудь соль. Не храните крипту (пароль) в файле конфигурации, а храните крипту этого хранилища (соль + пароль). В качестве «соли» вы можете использовать то, что требуется для открытия базы данных, например. db_name + user_name. Для функции шифрования вы можете использовать какой-нибудь хорошо известный алгоритм, как AES, Idea, DES, или что-то более простое, например, скоринг каждого байта с байтом из какой-то другой строки, эта строка будет вашим ключом. Чтобы сделать решение более разным, вы можете использовать несколько случайных байтов и хранить их.

Итак, чтобы хранить:

1. init_str: = 5 случайных байтов
2. новый_пароль: = соль + пароль // соль: = имя_бд + имя_пользователя
3. crypted_password = xor_bytes (init_str + new_password, 'моя ключевая фраза')
4. crypted_password: = init_str + crypted_password
5. сохраните crypted_password в конфигурации, так как это будут байты, которые вы можете изменить или base64

И для подключения:

1. разделить данные, считанные из конфигурации, на init_str и crypted_password
2. new_password = xor_bytes (init_str + crypted_password, 'моя ключевая фраза')
3. пароль: = удалить (db_name + user_name) из new_password

TurboPower LockBox 3 (http://lockbox.seanbdurkin.id.au/) использует автоматическое соление. Я не рекомендую DCPCrypt Бартона, потому что IV не соленые. В некоторых ситуациях это очень серьезный недостаток защиты.

Вопреки предыдущему комментарию, реализация AES в LB3 полностью соответствует стандарту.

Пара решений:

• Не храните пароль вообще. Если база данных поддерживает интегрированные аутентификация, используйте его. Процесс можно настроить для работы с определенным личность, и быть автоматически аутентифицирован базой данных
• Используйте хранилища сертификатов Windows и сертификат для шифрования вашего пароля. Если вы храните ключ, используемый для шифрования ваш пароль в вашем приложении, в любом случае у вас очень мало безопасности, вы также должны защитить ключ.

Вам нужно сохранить его в месте, где доступ есть только у текущего пользователя.

В основном это можно сделать двумя способами:

1. Сохраните его в Зашифрованный файл EFS.
2. Сохраните его в безопасное локальное хранилище.

Internet Explorer использует 2. Но если вы можете получить локальный доступ, вы можете расшифровать как 1., так и 2., если у вас есть правильный главный ключ и алгоритм (например, iepv может получить пароли Internet Explorer).

Итак:
По возможности не храните пароли. Сначала поищите альтернативы (например, проверка подлинности Windows, службы каталогов и т. д.).

- Джерун

Демо Embarcadero дает простую, но достаточно сильную систему для большинства приложений: https://edn.embarcadero.com/article/28325