Grundsatzüberlegungen zum Thema Speichern von Passwörtern

[mentaltec]

Hi

die Sicherheit wird wohl hauptsächlich darauf beruhen, dass nicht autorisierte Nutzer/Prozesse keine Leserechte an der PW-Datei haben.
Wenn dem so ist, sind wir schon mal ganz weit vorn!
alles Andere - wie Verschlüsselung - dient hauptsächlich dazu, dem Administrator/Hacker den Zugriff zu verwehren; inwieweit das sinnvoll
ist, muss jeder selbst wissen; wenn jemand die Maschine gehackt hat, ist was ganz anderes faul und ein Admin ist ein Admin ist ein Admin!

bei Windows wird (glaub ich) aus den Anmeldedaten ein Accessytoken erzeugt, mit dem man einen reproduzierbaren Key für diverse Verschlüsselungsgeschichten generieren kann - aber wenn ein Angreifer die Anmeldung am System auskundschaften kann (z.B. autologin), kann er auch das Token nachbauen
will man eine (PW)-Datei an ein System binden, geht das laut Lehrbuch über TPM oder auch CPUIID / HDDID / oder für ganz Leichtgläubige über MAC-Adressen

weiterführende Literatur:

Access Tokens
Security Descriptors
Securable Objects

mfg