Schwere Sicherheitlücke in idHttp? DRINGEND!

[richard_boderich]

moin jung,

ich hab in ungefaehr 2 h release termin, und steh jetz schon bis zum hals im wasser.
idHttp speichert die angaben zu username und passwort voellig unverschluesselt!
die daten stehen im klartext in der Programm.exe. jeder kiddi der schon mal spielstaende
getunt hat kann das sehen. ich hab auch schon im forum gepostet. da warn dann hinweise wie

idhttp.request.password:=chr(12)+chr(86) usw.

das is voelliger quatsch. nach dem compilieren stehen die passwoerter bei mir trozdem im klartext drin.
jetz hab ich die exe schon mit upx gepackt und man kann den passwortstring immer noch sehen.
brauche schnellstens hilfe. biete auch ein kleines Honorar wenns sein muss
10-20 euros oder so, aber es muss schnell gehen und funktionieren.

[Catbytes]

Hallo,

was spricht gegen XOR?

[brechi]

vielleicht gehts damit wenn das nicht in der resource drinsteht, ansonsten mussu bei onreate die daten in IDHTTP packen dann sieht man das auch nicht direkt

crypter im anhang (ist von mir in delphi geproggt)

[jim_raynor]

Zitat von richard_boderich:

das is voelliger quatsch. nach dem compilieren stehen die passwoerter bei mir trozdem im klartext drin.
jetz hab ich die exe schon mit upx gepackt und man kann den passwortstring immer noch sehen.
brauche schnellstens hilfe. biete auch ein kleines Honorar wenns sein muss
10-20 euros oder so, aber es muss schnell gehen und funktionieren.

Wenns so dringend ist, darfst du das nicht im Forum fragen, sondern musst selber aktiv werden.

Vielleicht solltest du dich fragen, warum das Passwort überhaupt fest in der Exe sein muss. Eine Usereingabe oder verschlüsselte Datei wäre vielleicht wesentlich sinnvoller.

Und es ist kein Sicherheitsproblem von idHTTP sondern ein generelles von Delphi dass Strings im Klartext dastehen. Und wenn es jemand drauf anlegt, kommt er immer an das Passwort ran, wenn es direkt in der Exe drin steht (in welcher Form auch immer).

[Speedmaster]

Schwerer machen kannst du es indem du es Vorher verschlüsselst, und nacher wieder entschlüsselst beim vergleichen!

[bigg]

Was heisst: "steht in programm.exe"?
Wenn du das Passwort in deinem Programm fest integrierst, bist du selber schuld.

[marabu]

Hier noch mein bescheidener Beitrag.

marabu

Professioneller wäre die Verwaltung des Kennwortes im protected storage oder etwas vergleichbarem - aber das geht bei mir nicht in ein paar Minuten - sorry.

[shmia]

Zitat von richard_boderich:

da warn dann hinweise wie

idhttp.request.password:=chr(12)+chr(86) usw.

das is voelliger quatsch. nach dem compilieren stehen die passwoerter bei mir trozdem im klartext drin.

Dann machs halt so:

Delphi-Quellcode:

// das Passwort soll "geheim" lauten
function GetPW:string;
begin
   // Verschleierungstaktik
   result := 'NULLg';
   result := Result +'mBartwurst';
   Insert('ehei', result, 6);
   result := Copy(result, 5, 6);
end;

Ohne Dissassembler geht dann nichts.

[brechi]

oder so

Delphi-Quellcode:

var bla: array[0..5] of byte =
 (byte('g') xor 12,
  byte('e') xor 12,
  byte('h') xor 12,
  byte('e') xor 12,
  byte('i') xor 12,
  byte('m') xor 12);

procedure TForm1.FormCreate(Sender: TObject);
var i: integer;
    s: string;
begin
  s := '';
  for i := 0 to 5 do
    s := s+char(bla[i] xor 12);
  form1.caption := s;
end;

[bigg]

Wenn es halbwegs sicher sein soll, musst du dir eben etwas einfallen lassen.
Eine Chip-Karte, ein spezielles Lesegerät oder ähnliches könnten dein problem lösen.

Ich würde in keinem Fall, das Passwort im Programm ablegen, auch nicht verschlüsselt.

PS: Es kann im prinzip auch eine eingelegte Diskette / CD-ROM / ein angeschlossener USB-Stick sein.