Editfeld vor Keylogger schützen

[OlliWW]

Hallo,

Ich möchte die Passworteingabe für Benutzer meiner Software besonders sicher machen. Dazu zählt auch, dass ich gern das Editfeld, in das das Kennwort eingegeben wird, vor Keyloggern schütze. Gibt es in Delphi irgendwelche Ansätze, oder ist die Anwendungsschicht schon "zu hoch", um noch irgendwie einzugreifen.

[Der schöne Günther]

Ohne ein Sicherheitsexperte zu sein: Wenn du davon ausgehen musst dass dein System bereits mit böswilliger Software kompromittiert ist hast du schon verloren.

Jedes Windows-Tool kann ohne besondere Rechte alle Tastendrücke der Tastatur mitbekommen, egal ob gerade ein Edit-Feld oder sonst etwas den Fokus hat.

[nahpets]

Ich gehe mal davon aus, dass ein KeyLogger alles mitbekommt, was so auf der Tastatur "veranstaltet" wird. Wo das dann letztlich in 'ner Applikation landet, Edit, Memo, Datenbankkomponente, ... dürfte irrelevant sein.

https://de.wikipedia.org/wiki/Keylogger

Zitat von de.wikipedia.org/wiki/Keylogger:

Software-Keylogger schalten sich zwischen Betriebssystem und Tastatur, lesen die Tastendrucke und geben sie an das Betriebssystem weiter.

Das Edit dürfte (in Bezug auf den Empfang von Tastatureingaben) deutlich dahinter liegen.

[Neutral General]

Kurz gesagt: Du kannst nichts dagegen machen

[JasonDX]

Einen reinen Keylogger kannst du damit umgehen, indem du die Eingabe per Tastatur verhinderst. Bspw. eine eigene Bildschirmtastatur wäre eine Option, für die dich deine Kunden hassen werden.
Sicher bist du damit aber trotzdem nicht. Die Eingabe wird dann vllt. nicht mehr vom Keylogger abgegriffen, aber ein Angriff ist trotzdem möglich. Der Text steht im Editfeld, steht danach wahrscheinlich im Speicher deines Programms, wird dann mit einem vllt. schwachen Hash verglichen oder zum Abgleich auf einem Server unverschlüsselt in die Welt posaunt.

Kurzum: Ein Keylogger ist ein potentieller Angriffsvektor, der aus Angreiferperspektive sehr unpraktikabel ist (Software muss auf dem System laufen, den Benutzer beim eintippen erwischen, und dann das PW aus dem ganzen Tasten-Strom rausfiltern). Als Angreifer ist das quasi eine Holzhammermethode - andere Ansätze sind meist erfolgversprechender.
Deswegen gleich mal die Frage: Was passiert nach der Eingabe mit dem Passwort? Wo wird es gespeichert, wie wird es gesichert, wo wird es hingeschickt?

[mjustin]

(Man kann z.B. ein virtuelles Keyboard verwenden, auf dem mit der Maus die Buchstaben des Passworts angeklickt werden müssen) sorry, zu langsam

[Dalai]

Auch wenn ich keine Ahnung von der Materie habe, so erinnerte ich mich gerade an Total Commander und dass selbiger genau das macht. Mal ein Zitat aus der englischen Hilfe:

Zitat von TC help, Settings in wcx_ftp.ini:

Allowhook=2

This option controls the keyboard input in the master password dialog:
0: Don't allow a keyboard hook to be set, show warning icon
1: Allow a keyboard hook to be set, show icon to indicate it
2: Allow a keyboard hook to be set, don't show icon to indicate it (default)
Explanation: Total Commander reads key presses via a system-wide keyboard hook and then clears the key, so simple keyloggers cannot read the keys with the same method. This can be disabled because some antivirus programs may complain about the hook.

Offenbar müsste man also einen globalen Hook einrichten; ob und wie das dann mit dem Editfeld zusammengeht, lass ich mal offen (mangels Kenntnis).

Grüße
Dalai

[mjustin]

Zitat von Dalai:

Zitat von TC help, Settings in wcx_ftp.ini:

Explanation: Total Commander reads key presses via a system-wide keyboard hook and then clears the key, so simple keyloggers cannot read the keys with the same method. This can be disabled because some antivirus programs may complain about the hook.

Hardware-Keylogger sind durch Hooks nicht zu beeindrucken, Total Commander meint offensichtlich nur Software-Keylogger.

[Dalai]

Nun, es hat keiner behauptet, man könne mit Software(mechanismen) irgendwas gegen Hardwareangriffe tun. Wie sollte das auch funktionieren, wenn nicht einmal das OS etwas davon mitbekommt? Die Formulierung "simple keyloggers" ist IMO eindeutig.

Grüße
Dalai