![]() |
PassList Generator
Liste der Anhänge anzeigen (Anzahl: 3)
Hallo,
ich habe aus Spaß einen kleinen Passwort Generator programmiert. Werde mich freuen wenn ihn jemand testen würde. Danke für Euer Feedback. :-D Jeder der mit machen möchte, bitte schön. :-D 11.02.2014 Version 0.1 - Veröffentlicht 12.02.2014 Version 0.2 - Benutzerfreundlichkeit etwas verbessert 17.02.2014 Version 0.3 - Einstellungen werden autom. in eine .xml-Datei gespeichert - "Generieren"-Button wird Zufällig x-Mal im Hintergrund betätigt - das Passwort wird am Ende nach Zufall gemischt - die ausgewählten Anforderungen an das Passwort werden immer erfüllt (vorher waren sie optional, obwohl ausgewählt) - Bug aus der Antwort #61 beseitigt 18.02.2014 Version 0.4 - Name geändert - Quellcode etwas optimiert - im Google Code gehostet -> ![]() 24.03.2014 Version 0.5 - Generieren mehrerer Passwörter möglich - Liste der Passwörter druckbar - Exportieren der Liste in Aussicht 25.03.2014 Version 0.6 - Exportieren der Passwortliste - kleine Korrekturen am Code |
AW: PassGenerator
[QUOTE=AlexII;1247397Werde mich freuen wenn ihn jemand testen würde. Den Quellcode lade ich später hoch, weil ich erst mal sehen möchte, ob der Generator in Sachen Sicherheit was taugt bzw. ob jemand dessen Passwörter knacken kann.[/QUOTE]
Ohne Source wirst du gerade bei Crypto-Geschichten kaum sinvolles feedback bekommen. Crypto ohne Source = Zeitverschendung. |
AW: PassGenerator
Zitat:
|
AW: PassGenerator
Hä?
Was hat der ganze Kram mit Kryptographie zu tun? Da werden nur zufällige Zeichenketten erstellt anhand einiger vorgegebener Parameter. Da gibts nichts zu knacken. Was soll man da bzgl. Sicherheit testen? PS: Nichts gegen das Programm selbst aber ich verstehe das mit dem Knacken nicht und was cookie22 auch mit seinem Crypto-Kram meint. Sehe da nämlich nichts kryptographisches |
AW: PassGenerator
Zitat:
|
AW: PassGenerator
Hallo AlexII,
wenn Dein Passwort in einem Wörterbuch oder einer rainbow-table auftaucht ist es sehr leicht zu knacken. Du erhöst die Sicherheit eines Passwortes in dem Du bestimmte Kriterien festlegst die das Passwort erfüllen muss. Das macht Dein Programm. Ob dahinter dann ein hoch-komplexer Zufallszahlengenerator steckt ist primär erst einmal egal. So ein Passwort kann ich auch ohne Programmunterstützung erstellen wenn es den gegebenen Kriterien entspricht ist es genauso sicher wie eines von Deinem Programm generiertes. Grüße Klaus |
AW: PassGenerator
Dein Passwort-Generator ist, ohne dass ich ihn deswegen testen müsste, bestimmt sicher, denn ein Angreifer hat ja keine Ahnung wann, wie oft und wofür Du daraus Passwörter generierst. Wie sicher das Passwort das generiert wurde ist, kann man auf verschiedenen Internet-Seiten testen, Google spuckt sehr viele Seiten dazu aus.
|
correct horse battery staple
Ich komme nicht ganz hinterher. Es geht, ohne das Wort "Passwörter" zu benutzen nur darum, ob jemand den Algorithmus, mit welchem die Zeichenketten erzeugt werden, erraten/rekonstruieren kann, oder?
|
AW: correct horse battery staple
Zitat:
* - ich übertreibe ein bisschen. |
AW: correct horse battery staple
Zitat:
|
AW: PassGenerator
Zumindest der Thread Ersteller (ggf. noch einige andere hier) haben eine falsche Vorstellung.
Wie schon gesagt wurde. Du generierst ein Passwort. Wenn du nur Zahlen einstellst und 3 Ziffern und daraus kommt dann "123" dann ist das Passwort wahrscheinlich ziemlich schlecht. Allerdings ist das Passwort "123" genauso schlecht wenn ich es mir selbst ausdenke. Das Passwort "§=$DShf242JKL§" ist nicht ganz so einfach zu knacken weil es recht lang ist und viele verschiedene Zeichen beinhaltet und nur "Zeichensalat" ist und keinem (deutschen) Wort entspricht. Aber dieses Passwort ist ganz egal ob es von deinem Programm oder von mir ausgedacht wurde so sicher wie es eben ist. Der Algorithmus der hinter diesem Programm steht ist vom Prinzip her mega einfach. Was nicht einfach ist, ist vorherzusagen welches Passwort er als nächstes ausspucken wird - aber das ist im Falle deines Programms auch sch... egal. Edit: Ich habe EINES der generierten Passwörter für meinen Was-auch-immer-Account benutzt. Wenn Person X den Algorithmus deines Programms nun rausgefunden hat - Wen interessierts?: Dadurch weiß Person X noch lange nicht welches Passwort ich gewählt habe. |
AW: PassGenerator
Zitat:
Du hast wesentlich mehr Phantasie als so ein Programm, da ist die Anzahl der möglichen unterschiedlichen Passwörter , vor allem über einen längeren Zeitraum, wesentlich größer. Gruß K-H |
AW: PassGenerator
Das Programm kann (und wird) wenn es richtig programmiert ist jeden möglichen String generieren können der die eingestellten Bedingungen erfüllt. Von daher hat das Programm in dem Sinne um einiges mehr "Fantasie" als jeder Mensch.
Und selbst wenn das nicht so wäre ist das auch egal. Ich stelle Parameter ein, ich drücke 5x auf generieren und nehme für meinen DelphiPraxis Account das generierte Passwort. Ich gebe dir den Code des Programms. Wie willst du jetzt herausfinden welches Passwort ich habe? Gar nicht.... |
AW: correct horse battery staple
Zitat:
Schau dir doch ![]() |
AW: correct horse battery staple
Zitat:
1. Welche Parameter habe ich eingestellt 2. Wie oft habe ich auf "Generieren" geklickt 3. Was war mein Seed 4. Er müsste wissen dass ich mein Passwort mit diesem Programm erzeugt habe glaube kaum dass das alles (so einfach) herauszufinden ist. Und wenn ja dann ist ein Bruteforce Angriff im Durchschnitt wahrscheinlich einfacher als an all diese Infos zu kommen. |
AW: PassGenerator
Zitat:
Ich verweise hier mal auf die EE: ![]() Zitat:
Der Aufwand für ein 20-stelliges Passwort ist also nicht mehr 62^20 sondern nur 62^6 * 15. (Bei alphanumerischen Passwörtern. Ich muss 6 Zeichen cracken und kann dann die Passwörter mit 6-20 Zeichen schnell checken) |
AW: correct horse battery staple
Zitat:
Fazit: Für unsereins, die wir keine Kryptographie-Experten sind, ist so gut wie jedes Passwort unknackbar. |
AW: correct horse battery staple
Zitat:
|
AW: correct horse battery staple
Zitat:
@jfheins: Welcher Generierungszeitpunkt steht denn in der DP Datenbank? Doch nicht der Zeitpunkt an dem ich mein Passwort mit dem Programm des TEs generiert habe. Man kann maximal den Generierungszeitpunkt des Hashs herausfinden. Klar wenn man den Generierungszeitpunkt auf die ms genau kennt und dazu alle von mir im Programm eingestellten Randbedingungen dann hat man es zumindest um einiges leichter das PW zu knacken. Aber an diese Infos dran zu kommen ist quasi unmöglich falls man nicht eh schon einen Trojaner vom Angreifer auf dem PC hat. Oder seh ich das falsch? |
AW: PassGenerator
Es reicht eine Sekundengenaue Angabe. Ich gehe dann einfach davon aus, dass du das Passwort wohl maximal 1h vorher generiert hast. Typischerweise vergeht bei mir keine Minute zwischen Generierung und Festlegung.
Du kannst es auch so sehen: Du hinterlegst ein Passwort mit einer gewissen Menge an Entropie. Einmal hast du ein 12-stelliges Passwort mit 71 bits Entropie (echter Zufall) und einmal mit 26bit. Warum solltest du das schlechtere nehmen und es dem Angreifer potenziell einfacher machen als du müsstest? "Ich wähle ein schlechtes Passwort, weil es für mich genauso schwer zu knacken ist wie ein gutes" ist auf dem Niveau von "Für meine 102-jährige Großmutter reicht eine Zimmertür als Haustür vollkommen aus, weil sie beide nicht eintreten kann." In der Kryptographie geht man grundsätzlich davon aus, dass der Angreifer fast alle Informationen hat. In deinem Fall also auch alles was du in #15 aufgezählt hast. Helfen dem Angreifer diese Informationen nicht weiter, ist es ein gutes Verfahren. Helfen Sie ihm, ist es ein schlechtes Verfahren. Sie es so: Einmal musst du das Passwort geheim halten. Das andere mal auch noch den Entstehungszeitpunkt usw. |
AW: correct horse battery staple
Zitat:
Man braucht also schon einen PNRG mit entsprechend grosser Periodenlänge. Zum Beispiel Well-1024a oder Mersenne-Twister: ![]() |
AW: correct horse battery staple
Zitat:
|
AW: PassGenerator
![]() |
AW: correct horse battery staple
Zitat:
Zu guterletzt bringt dir das aber alles nichts, weil du den Source noch nicht veröffentlicht hast. Wie gesagt, Crypto ohne Source ist Käse, weil selbst der kleinste Fehler fatale Auswirkungen haben kann. |
AW: correct horse battery staple
Zitat:
Dann kann der Angreifer nämlich Rückschlüsse auf den inneren Zustand des PRNG ziehen und die weitere Zufallsfolge berechnen. Da aber Passwörter doch relativ kurz sind ist der Rückschluss auf den inneren Zustand nicht möglich. Wichtig bei jedem Zufallsgenerator ist natürlich das Seeding; aber das gilt ganz unabhängig davon ob der PRNG als kryptographisch sicher gilt oder nicht. Würde man mit einem nicht kryptographisch sicheren PRNG sehr viele Passwörter erzeugen und der Angreifer hätte einige aufeinanderfolgende Passwörter in die Finger bekommen dann bestünde die Gefahr, dass er auch die nachfolgenden Passwörter errechnen kann. |
AW: correct horse battery staple
Zitat:
|
AW: PassGenerator
Klasse.
Der beste Passwortgenerator, den ich kenne, ist 32cm lang und nennt sich "meine Katze". Die lasse ich einfach über meine Tastatur laufen. Aus dem Kauderwelsch nehme ich mir dann einen Teil, der möglichst bescheuert ist, und beim Aussprechen Kiefern- und Zungenkrämpfe verursacht. Alternativen? Mein Sohn ist zu alt, da würde die Tastatur zerbröseln. Ach, ich kann auch drei Schnäpse trinken und dann versuchen, das Ave Maria abzuschreiben, oder Tastaturschlagzeug spielen. Ziemlich schwer zu knacken, so ein Kennwort, solange man nicht die Sequenz à la 'asdfasdfasd' extrahiert. Wozu sollte ein Kennwortgenerator bloß gut sein? Eine Kennwortdatenbank macht da schon viel mehr Sinn, denn wenn man es richtig machen will, müsste man ja für jeden Account ein eigenes Kennwort haben. Das kann sich nur keine Sau merken, denn jede Eselsbrücke wäre ja auch knackbar. Hach, es ist schon ein Kreuz mit der paranoiden Störung. Kann Einem ganz schön den Tag versauen. Das Blöde an jeder Sicherung ist ja, das man auch daran vorbeilaufen kann. Ist die Tür doppeltgesichert und mit Panzerstahl versehrt? Breche ich die Wand auf oder gehe gleich durchs Fenster. Ist das Kennwort oberkryptisch? Greife ich das über die Tastatur ab. Leute, solange man nicht '12345' oder 'Kennwort' verwendet, ist das doch vollkommen Wurscht. Die Gefahr geht in erster Linie von den nicht 100% sicheren Websites aus. Das ist so, als ob man sein Geld auf eine Bank bringt, deren Tresorraum mit einer Holztür verschlossen ist und der Safe hat die Form, Haptik, Gewicht und das Aussehen eines Schuhkartons. Ok, und die großen Websites bauen eine mächtige Stahlbetonwand davor, damit wir uns sicher fühlen. Von hinten betrachtet ist das aber trotzdem nur eine Bruchbude mit Schuhkarton. Wobei ich nichts gegen die rein technisch-mathematischen Aussagen bezüglich potentieller Angriffe gesagt haben will. Aber -bitte- die NSA, BND u.a. gehen doch nicht so vor. Brauchen die nicht. Die gehen durch den Personaleingang. Und so manche Bande von Kriminellen gleich mit. |
AW: PassGenerator
So... hab jetzt eine etwas verbesserte Version hoch geladen und den Quellcode. )))
Geschrieben wurde die Anwendung in Lazarus mit dem Mersenne-Twister Zufallszahlengenerator. Warte auf Euer Feedback. ))) |
AW: PassGenerator
Hat es einen besonderen Grund, dass du Application.Terminate benutzt anstatt Close?
|
AW: PassGenerator
Zitat:
|
AW: PassGenerator
Liste der Anhänge anzeigen (Anzahl: 1)
Zitat:
Mir noch ne Art Minibug aufgefallen, wenn man keine Checkbox angehakt hat dann wirft dein Programm eine Fehlermeldung mit Titel 'Warning' nimm am besten die Standartdialoge die sich mit dem Titel an der Systemsprache festhalten. |
AW: PassGenerator
Zitat:
|
AW: PassGenerator
Zitat:
Stell doch dein Projekt auf GitHub 8-) |
AW: PassGenerator
Zitat:
|
AW: PassGenerator
Zitat:
Das mit GitHub ist so eine Sache... ich bin in einem Land aufgewachsen, wo weit und breit nur Deutsch die Fremdsprache war. Deswegen kann ich kaum Englisch. :( Aber ich überlege es mir. :thumb: |
AW: PassGenerator
Zitat:
![]() Ich meinte
Delphi-Quellcode:
mit der Flag mtWarning :)
MessageDlg('Hier kann ein beliebiger Text angegeben werden.', mtWarning, [mbOK], 0);
Zu Git schau dir das mal an. Empfehle dir als Windows Client Sourcetree von Atlassian. ![]() Und falls du Fragen zu Git hast kannst das entweder im Forum machen oder per PM bei mir :). |
AW: PassGenerator
Zitat:
Zitat:
|
AW: PassGenerator
Zitat:
|
AW: PassGenerator
MessageDlg ist doch dieses selbstgebaute Gedöns noch aus Borland-Zeiten. MessageBox hingegen kommt von Windows selbst und verwendet daher AFAIK die Systemsprache.
|
AW: PassGenerator
Zitat:
|
Alle Zeitangaben in WEZ +1. Es ist jetzt 12:29 Uhr. |
Powered by vBulletin® Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024-2025 by Thomas Breitkreuz