Rijndael verschlüsselung mit Delphi 7 Pers.

[Yan]

Guten Abend!

Ich bin gerade dabei von Delphi6 Personal auf Delphi 7 Personal zu wechseln und versuche alle meine Kompos wieder zu installieren.
Ich hatte bis jetzt eine Verschlüsselungs-Kompo die problemlos lief. Aber in Delphi 7 lässt die sich garnicht installieren...
Bei Torry.net habe ich auch schon geguckt: Da gibt es die "AecRijndael v.1.16"-Kompo aber sogar nur bis Delphi 4!

Kennt jemand vielleicht eine Rijndael oder Blowfish Komponente für Delphi 7?
Danke für jeden Vorschlag!!

[mirage228]

Such mal nach dem DEC von Hagen Reddmann. Da ist Rijndael dabei.

mfG
mirage228

[Yan]

Hab' ich schonmal von gehört... Ich guck mal nach.
Ist das eine Delphi Kompo?? In den vielen Suchergebnissen kann ich die irgendwie nicht finden (den download)...

Über einen Link wäre ich sehr dankbar. THX.

[Yan]

Hat sich schon erledigt. Ich habe ein bisschen gesucht und es auch gefunden
ich probiere es mal aus. Danke für den Tipp!

[negaH]

Und suche hier im Forum, denn für Delphi7 musste du exakt 2 Source-Stellen im DEC abändern.

Gruß Hagen

[Yan]

Guten Abend Hagen!

Das habe ich auch schon gefunden (http://www.delphipraxis.net/internal...ct.php?t=10646) . Aber installieren kann ich es trotzdem nicht.
Da ist ja auch kein Package dabei, das man installieren könnte... Hab' auch schon versucht diverse Units in ein Package zu packen und dieses dann tz installieren. Ohne Erfolg.

Kannst du (oder jemand anders) mir da helfen?

[supermuckl]

LockBox 2

alles drin incl sourcen und pakete für D6,7 und C++ usw

( blowfish, rijndael, rsa, hashes usw.. )

[negaH]

die Unit DECReg.pas einfach in Borland Benutzer Komponenten installieren. Also Delphi\IDE\Menu\Komponenten\Komponente Installieren... und dort dann DECReg.pas auswählen.

Sorry, aber das ist Grundwissen im Umgang mit seinen Programmierwerkzeugen.

Die Algorithmen im DEC spricht man direkt an, also OHNE Komponenten oder so'n Quatsch. Jedes Komponentenorientierte Konzept verlängert die Lebenszeit der benutzten Algorithmen und verringert somit dramatisch die Sicherheit des Gesamtsystemes !!

Um also mit AES Rijndael eine Datei zu verschlüsseln geht man so vor:

Delphi-Quellcode:

with TCipher_Rijndael.Create('Passwort hier', nil) do
try
  EncodeFile(SourceFileName, DestFileName);
finally
  Free;
end;

Generell ist eine Kryptographische Bibliothek nur so sicher wie auch das Konzept der Library, die Sauberkeit im Source, die Selbstüberprüfung der Algorithmen mit annerkannten Testvektoren und auch die Verfügbarkeit von Anfang an als OpenSource, ist. Ausgehend von diesen Punkten kann ich leider nur sehr wenige Crypto-Libs empfehlen, leider. Einige der obigen Punkte bestimmen ganz entscheidend die Zielsetzung des Systemes. Eine kommerzielle Library die im späteren Verlauf frei verfügbar ist, bedeutet das sie nicht mehr vermarktbar war und somit nicht mehr den Zielsetzungen der kommerziellen Unternehmung entsprach. In diesem Punkt müsste man von vornherein ein "Misstrauensvotum" aussprechen.

Nur ein OpenSource erreicht soviel Klientel die auch ein Interesse an eine Verifikation der Funktionsfähigkeit der Source haben, das es fast ausgeschlossen ist das Fehler im Kryptosource nicht gefunden werden. D.h. die Verbreitung der Library ist ein entscheidender Punkt. Ein kommerzielles Projekt hat immer den Nachteil das nur eine sehr kleine Gruppe von Entwicklern bescheid weiß und die Interessenlage stark einseitig verzehrt wird.

Da eine Kryptolib auch immer kompliziertere mathematische Verfahren umsetzt ist man selbst mit öffentlichen Source als Laie garnicht in der Lage eventuelle Schwachstellen oder sogar Backdoors zu erkennen. Exakt diesen Punkt habe ich zB. mal ausgetestet. Dabei habe ich einen RSA Algo. entworfen der eine Backdoor enthält und einigen Cryptokameraden als Source vorgelegt. Die Backdoor wurde nicht entdeckt !! Als OpenSource Entwicklung besteht aber nicht das Interesse solche Backdoors zuzulassen, ein kommerzielles Produkt dagegen kann dieses Interesse sehr wohl enthalten.

Gruß Hagen

[Yan]

Guten Abend Hagen!

Vielen Dank für deine ausführlichen Informationen über die Open-Source und kommerzielle Algo-Entwicklung! Und natürlich für den Hinweis zur Installation.
Nachdem ich das Topic das ich oben schon angegeben habe durchgelesen hab', dachte ich es würden irgendwelche nicht visuellen Komponenten installiert. Hast aber recht, mit dem Argument gegen die Kompos.

Nochmal danke für den Tipp!

[negaH]

Es werden auch tatsächlich 2 solche Komponenten installiert. Der THashManager und TCipehrManager. Beide dienen als Designtime-Kontainer zur Auswahl der installierten Hash & Verschlüsselungsalgorithmen.
Allerdings sind diese beiden Kompos. nur entwickelt worden um in der DEMO zum DEC benutzt zu werden und die Registrations-Features der DEC Klassenhierarchie zu demonstrieren.

Mit Nutzung dieser Komponenten entstehen in echten Anwendungen drei gravierende Probleme:

1.) unter Delphi 7 arbeiten sie nicht sauber

2.) sie erstellen das ausgewählte Krypto-Objekt eben zur Erstellungszeit des Formulares und verbleiben bis zur Zerstörung des Forms im Speicher. Dies ist im Vergleich zur realen Nutzungsdauer ein zu langer Zeitraum und gibt einem Angreifer genügend Zeit zur Analyse und Angriff. Kurz gesagt: die Lebenszeit ist überdimensioniert und kann die Sicherheit damit reduzieren.
Sicherheitstechnisch ist es doch so daß die beste Strategie eines Angreifers darin besteht das System so zu patchen das der Anwender glaubt alles wäre noch sicher. Die Sicherheit der Algorithmen anzugreifen ist dazu im Vergleich für einen Angreifer unpraktisch und grenzt an Dummheit. Die Algos. als solche sind anerkannte und kryptoanalysierte Verfahren die mit heutiger Technik nicht gebrochen werden können. Somit wäre es am besten vor oder nach der Verschlüsselung einen Angriff zu starten und den Anwender sozusagen zu täuschen. Dies ist am erfolgsversprechensden. Nun, in diesem Punkt spielt eben die Lebensspanne der Crypto-Objecte eine entscheidende Rolle. Je länger um so besser für den Angreifer auszuhebeln.

3.) damit zur Designzeit viele Algos auswählbar sind müssen diese Algos im System registriert werden. Nun DEC enthält über 50 verschiedene Krypto-Algos und ALLE werden zur Designzeit UND Laufzeit als Code in die Anwendung eingelinkt. Normalerweise selektiert man aber zur Projektierungsphase nur 2-3 der verfügbaren Algos. nach Sicherheitsbedürfnis. D.h. die Komponenten erzwingen einen enormen Überhang an unbenutzten und meist inaktivem Code. Der Überhang kann bis zu 1.5Mb betragen, obwohl nur wenige Kb's benötigt werden.

Wird aber, wie oben, direkt die entsprechende Klasse direkt benutzt entfallen all diese Aspekte.

Gruß Hagen