Passwörter generieren (Besondere)

[Deep-Sea]

Wenn man den Algorithmus dahinter kennt - und das tut man im Falle von Delphis Random-Funktion ja - kann man wahrscheinlich mit nur einem bekannten Passwort, also z.B. seinem eigenen, die nachfolgend generierten Passwörter selbst berechnen. (Und selbst ohne bekanntem Passwort geht es, wenn auch etwas ungenauer, da als Saat ja nur die Zeit genutzt wird).
Wo ist dann da die Sicherheit?

[gammatester]

Zitat von Luckie:

was sollte bei einem kryptografisch sicheren Zufallsgenerator anderes rauskommen, als ein zufälliges Passwort?

Da kommt dann ein Paswort raus, was nicht so leicht zu "reproduzieren" ist, wie eins mit random. Du willst doch wohl nicht behaupten, daß Du den Unterschied nicht kennst. Wie oft haben wir hier zB schon die Frage gehabt "Ich habe randomize auf gerufen und erhalte trotzdem das gleiche Passwort".

[Luckie]

OK, Beispiel: Mein Passwort für die Delphipraxis habe ich mit Delphi unter der Verwendung von Random erstellt. Es lauter jqf73wcnjwie. Auch für den FTP-Zugang meines Webspace habe ich mit ein Passwort so generieren lassen. Jetzt kannst du mir sicher sagen, wie es lautet.

Man naht nur dann ein Problem, wenn man sich eine Serie von Passwörtern generieren lässt und sie dann auch in einer Serie verwendet. Also Datren1 mit Passwort1 verschlüsseln, Daten2 mit Passwort2 verschlüsseln und so weiter. Aber selbst dann müsste man den Zeitstempel kennen, um die Passwörter zu reproduzieren zu können.

[DelphiSecurity]

Kann man denn einstellen welche Zeichen vorkommen sollen???

[Luckie]

Ja. Quellcode angucken und verstehen.

[Deep-Sea]

Somit ist die Funktion aber nicht sonderlich universell einsetzbar, da man sehr viele Bedingungen einhalten muss. Man darf keine Serien von Passwörtern erstellen, man muss sicherstellen, dass man nicht erraten kann, wann das Passwort erstellt wurde, usw.
Alles Dinge, die es anfällig machen. Aber gut, wenn man damit leben kann ist's ja ok. Man sollte sich dessen aber bewusst sein.

[DelphiSecurity]

Zitat von shmia:

Ein Zufallspasswort kannst du z.B. so erzeugen:

function RandomString(const len: Integer; const CharSet: string): string;
var
i: Integer;
pResult : PChar;
begin
SetLength(Result,len); // Speicher im Result-String reservieren
pResult := PChar(Result);
for i := 1 to len do
begin
pResult^ := CharSet[1+Random(Length(CharSet))];
Inc(pResult);
end;
end;

...
neuesPasswort := RandomString(6, ['0'..'9', 'A'..'Z']);

Achso hier eingeben was man brauch! Danke!!!!!!!

[DelphiSecurity]

Zitat von Deep-Sea:

Somit ist die Funktion aber nicht sonderlich universell einsetzbar, da man sehr viele Bedingungen einhalten muss. Man darf keine Serien von Passwörtern erstellen, man muss sicherstellen, dass man nicht erraten kann, wann das Passwort erstellt wurde, usw.
Alles Dinge, die es anfällig machen. Aber gut, wenn man damit leben kann ist's ja ok. Man sollte sich dessen aber bewusst sein.

Das mit der Serie wäre toll!

[ToFaceTeKilla]

Zitat von DelphiSecurity:

Das mit der Serie wäre toll!

2 Stichworte für deine Suche:

1. for-i-Schleife
2. TStringlist

H2H

[gammatester]

Zitat von Luckie:

Man naht nur dann ein Problem, wenn man sich eine Serie von Passwörtern generieren lässt und sie dann auch in einer Serie verwendet. Also Datren1 mit Passwort1 verschlüsseln, Daten2 mit Passwort2 verschlüsseln und so weiter. Aber selbst dann müsste man den Zeitstempel kennen, um die Passwörter zu reproduzieren zu können.

Habe Dein Paswort nicht ausprobiert

Allerdings hat man nicht nur in dem beschriebene Scenario Probleme, wenn der Algorithmus bekannt ist (das sollte bei Kryptoanwendungen der Fall sein, die Sicherheit kommt aus Schlüssel, Salz etc)

Beispiel 1: Du verschlüsselst Dateien. Aus der Zeitstempel der Datei erhaltst das ungefähre Randseed.

Bespiel 2: Dein Passwort kann auf keinen Fall mehr als 32-Bit "Zufall" haben, anders heraum Du kannst maximal 2^32 Passwörter erzeugen. Das ist lächerlich gering und mit Bruteforce relativ einfach zu knacken.