Passwortabfrage mit Datenbank abgleichen

[Sir Rufo]

@nahpets

Dein Vergleich mit dem Forum ist das was @jobo mit Mittelschicht meinte.

[nahpets]

Zitat von Sir Rufo:

@nahpets

Dein Vergleich mit dem Forum ist das was @jobo mit Mittelschicht meinte.

Jain, die Form der Anwendung schon, wäre dann aber kein Fatclient.

Die Anwendung hier könnte quasi die Grundlage liefern, damit die Mittelschicht die Möglichkeit bekommt, Benutzernamen und Passwörter abzugleichen.

Die Mittelschicht muss nicht unbedingt selbst eine Option enthalten, mit deren Hilfe sie sich quasi selbst verwaltet.

Hier dürfte es sich eher um eine Verwaltung für Benutzernamen und Passwörter handeln, die halt zufällig die Daten in irgendeiner Tabelle irgendeiner Datenbank speichert.

Aber eigentlich egal: Die Informationslage ist wohl nicht aussagekräftig genug, um hier auf eine konkrete Anwendung schließen zu können

[jobo]

Zitat von Sir Rufo:

@nahpets

Dein Vergleich mit dem Forum ist das was @jobo mit Mittelschicht meinte.

Ja, so meinte ich das.

Es kann natürlich sein, dass der TE eine Passwortverwaltung schreibt. Da kann man sich immer noch fragen, ob es Sinn macht in der Form.
Ich vermute eher, dass gemäß Selbstauskunft des TE hier noch einige Verständnisschwierigkeiten bestehen. Aber das kann er ja selbst fragen.

[haentschman]

Moin...
[mein Senf am Rande]
... man speichert keine Passwörter im Klartext in der Datenbank sondern nur dessen Hash z.B. Damit geht auch kein Klartext über die Leitung.
[/mein Senf am Rande]

[Thieon]

Wie kann ich den Ein Passwort als Hash speichern? Und meinst Du mit "über die Leitung" das Internet bzw, Netzwerk? Weil Das Programm soll lediglich lokal auf einer Maschine verwendet werden.

Zitat von haentschman:

Moin...
[mein Senf am Rande]
... man speichert keine Passwörter im Klartext in der Datenbank sondern nur dessen Hash z.B. Damit geht auch kein Klartext über die Leitung.
[/mein Senf am Rande]

Danke für den Hinweis.

MfG

René

[mjustin]

Zitat von Thieon:

Wie kann ich den Ein Passwort als Hash speichern? Und meinst Du mit "über die Leitung" das Internet bzw, Netzwerk? Weil Das Programm soll lediglich lokal auf einer Maschine verwendet werden.

Auch wenn es eine lokale Datenbank ist, ist die Speicherung der Passwörter im Klartext unvorsichtig. Ein Grund: viele Benutzer verwenden aus Bequemlichkeit das gleiche Passwort auch an anderen (eventuell erheblich 'wertvolleren') Systemen. Damit hat ein Angreifer, der in den Besitz der Benutzernamen/Passwortkombination gelangt, ideale Voraussetzungen, um andernorts erfolgreiche Anmeldungen durchzuführen.

Es ist eine Grundregel: vertraue keiner Webseite (oder Anwendung), die dein Passwort im Klartext speichert. Firmen, die es dennoch tun, werden zum Beispiel unter http://plaintextoffenders.com/ genannt. Eine "Hall of Fame" ist das nicht

[haentschman]

Moin...

Zitat:

Und meinst Du mit "über die Leitung" das Internet bzw, Netzwerk?

...ja das meinte ich. Wie aber schon gesagt gehört Klartext nie in egal welche Datenbank.

Zitat:

Wie kann ich den Ein Passwort als Hash speichern?

* man verwende die angehängte Unit (Freeware) Copyright © 2002 by Dimka Maslov

Delphi-Quellcode:

procedure TLogin.Login(aUserName, aPassword: string); // aPassword = Klartext direkt ohne Umwege aus dem Eingabeedit
var
  MD5Password: string; // Hash
begin
  MD5Password := MD5DigestToStr(MD5String(aPassword));
  aPassword := '';
// Pseudocode: 
// Query... frage die Datenbank ob es einen Benutzer(aUserName) mit dem MD5Passwort gibt.
// !!! Werte immer als Parameter der Query mitgeben.
// Hat die Query eine Antwort (Resultmenge = 1) ist der Benutzer gültig
// fertsch...
// Mach was mit dem User
end;

Beim Speichern des neuen Paßwortes erzeugst du auch den MD5, setzt die Paßwortvariable auf '' und speicherst den MD5 ab. Mit obiger Methode hast du im Programm keinen Vergleich der Paßwörter. Dieser läuft quasi schon in der Datenbank. Wenn du im Programm vergleichen willst dann nur die Hashes.

PS: Das ist eine einfache Variante aber ausreichend. Sicherer geht es immer...

[Thieon]

Erstmal möchte ich mich für deine Hilfe bedanken... und selbstverständlich auch bei allen anderen, denen ich noch nicht geantwortet habe... Aber leider hatte ich heute dafür keine Zeit, da ich den ganzen Tag auf einen blöden BOS Lehrgang bin. ...

Zitat von haentschman:

* man verwende die angehängte Unit (Freeware) Copyright © 2002 by Dimka Maslov

Delphi-Quellcode:

procedure TLogin.Login(aUserName, aPassword: string); // aPassword = Klartext direkt ohne Umwege aus dem Eingabeedit
var
  MD5Password: string; // Hash
begin
  MD5Password := MD5DigestToStr(MD5String(aPassword));
  aPassword := '';
// Pseudocode: 
// Query... frage die Datenbank ob es einen Benutzer(aUserName) mit dem MD5Passwort gibt.
// !!! Werte immer als Parameter der Query mitgeben.
// Hat die Query eine Antwort (Resultmenge = 1) ist der Benutzer gültig
// fertsch...
// Mach was mit dem User
end;

Beim Speichern des neuen Paßwortes erzeugst du auch den MD5, setzt die Paßwortvariable auf '' und speicherst den MD5 ab. Mit obiger Methode hast du im Programm keinen Vergleich der Paßwörter. Dieser läuft quasi schon in der Datenbank. Wenn du im Programm vergleichen willst dann nur die Hashes.

PS: Das ist eine einfache Variante aber ausreichend. Sicherer geht es immer...

Das sieht erstmal interessant aus, auch wenn ich es noch nicht so ganz verstanden habe aber ich werde mich morgen Abend mal daran setzten und versuchen den Code und die .pas Datei einzubinden und hoffentlich klappt es dann auch...

Aber eine Frage noch vorweg, muss das LoginFenster in der der Unit DelphiMD5 eingebaut werden oder wird die "procedure TLogin.Login..." in meiner eigentlichen Login Unit (in meinem Fall die Unit 1) mit dem Befehl "uses DelphiMD5;" automatisch abgearbeitet?

MfG und einen schönen rest Samstag

René

PS: Bitte denkt daran, ich bin erst seit ca. einer Woche mit dem Programmieren am Gange und zuvor hatte ich keinerlei Erfahrungen bzw. Kenntnisse im Bereich der Programmierung. Das einzige was ich bisher gemacht habe, ist die Homepage unseres Ortsvereins...

[himitsu]

Nur noch was Grundsätzliches zu "Passwörtern".

Zitat:

Delphi-Quellcode:

if
  (Benutzer.text = form3.Dbf1.FieldByName('Ben').AsString)
and
   (Code.Text = form3.Dbf1.FieldByName('Code').AsString)

Passwörter NIEMALS im Klartext speichern, sondern nur "verschlüsselt", bzw. besser gehasht mit Salt (nicht entschlüsselbar).

[DeddyH]

Seit #11 geht es ja genau darum