Verhindern, dass ein String im Pagefile landet.

[jaenicke]

Zitat von cookie22:

Handelt sich um nen Ansi String unter Lazarus, da kann ich mir das Sizeof(Char) sparen.

Das haben viele Entwickler auch vor Delphi 2009 gesagt... und den Code dann doch mal mit einem aktuelleren Compiler kompilieren wollen. Wie viel Byte das sind mag sich auch mal ändern.

Und durch UTF-8 in FreePascal bin ich mir nicht einmal sicher, ob diese Größe in Byte überhaupt stimmt. Da gab es schon viele "lustige" Effekte...

[cookie22]

Du hast ja recht es tut ja nicht weh das mit zu schreiben.

@Union: Jo, hatte ich auch gerade gefunden.

[Luckie]

Ich frage mich gerade, ob hier nicht an der falschen Schraube bezüglich der Sicherheit gedreht wird.

[cookie22]

Zitat von Luckie:

Ich frage mich gerade, ob hier nicht an der falschen Schraube bezüglich der Sicherheit gedreht wird.

In welcher Hinsicht?

[Luckie]

Na, du betreibst ja einen riesen Aufwand um das Passwort. Und ich frage mich, ob dieser Aufwand gerechtfertigt ist. Passwort eingeben lassen, Hash Bilden, vergleichen, wegwerfen. Wobei es Kryptobibliotheken gibt, die Passworteingaben wieder sicher aus dem dem Speicher löschen können.

[cookie22]

Ich will mir 100% sicher sein, dass da nix im Page File landet. Das sind zwei Zeilen Code. Den Aufwand halte ich für vertretbar.

Klar wird das Passwort im Speicher so schnell wie möglich geburnt, aber man weiß ja nie, was da einer mit seinem Rechner veranstaltet während er meine Software nuzt.

[himitsu]

Zitat von cookie22:

In welcher Hinsicht?

Siehe Teil 2 meines Posts?

PS: Beim Ruhezustand und diesem hybriden Standbymodus, wird dennoch alles auf die Festplatte geschrieben.

[cookie22]

Ja, stimmt schon. Aber Konkurenz hat das auch, darum brauch ich das auch. Ob es jetzt viel bringt oder nicht.

PS: Das ist dann aber nicht mehr mein Bier.

[Dalai]

Zitat von himitsu:

PS: Beim Ruhezustand und diesem hybriden Standbymodus, wird dennoch alles auf die Festplatte geschrieben.

Stimmt, allerdings ist das Hibernation-File ab Vista standardmäßig auf 75% der (nutzbaren) RAM-Größe komprimiert. D.h. man müsste erstmal den Inhalt dekomprimieren (und dafür etwas über die Kompressionsmethoden wissen) und kann erst danach etwas damit anfangen. So denke ich mir das jedenfalls.

MfG Dalai

[jaenicke]

Gar nicht im Speicher geht gar nicht, es sei denn du benutzt ein eigenes Control für die Eingabe. Denn ein Standardeingabefeld wie TEdit hat das eingegebene Passwort ja trotz der maskierten Zeichen im Hintergrund zusammenhängend im Speicher.

Zitat von cookie22:

Ja, stimmt schon. Aber Konkurenz hat das auch, darum brauch ich das auch. Ob es jetzt viel bringt oder nicht.

Wenn es darum geht, leg das Passwort doch gar nicht erst als Ganzes ab, sondern verarbeite es nach der Eingabe des Benutzers zeichenweise wobei die Zeichen nie hintereinander im Speicher liegen. So hat er nur den gespeicherten Hash, aus dem er aber nie das Passwort im Klartext herausbekommt und auch das eingegebene Passwort nicht zusammenhängend.