Организация файла настроек: безопасное хранение пароля?

[Grayscale]

Не нашел более подходящего раздела. Надеюсь, не доставлю неудобств модераторам и форумчанам
Пишу небольшую ерунду для себя. Встал вопрос, как хранить введенный мною пароль в окошко программы. Решил посмотреть, как это реализовано у других программ - у Pidgin все пароли лежат как обычный текст в файле /.purple/accounts.xml
Вопрос: это безопасно?

[Self-Perfection]

Не очень. Допустим даже чтение хомяка данного пользователя не доступно другим пользователям (если соответствующим образом выставлены права), остаётся возможность, что пользователь запустит злонамеренное приложение от своего имени. + не спасает от чтения из другой ос при физической доступности устройства.

Гуглить:
GNOME keyring
KDE wallet
AppArmor
SELinux

[Yurror]

AppArmor SELinux точно не в тему

Гугли шифрованные ФС.

Раздел кстати самый неподходящий

[Protopopulus]

Шифрованные ФС тоже не самый подходящий вариант - как из пушки по воробьям. Лучше всего gnome keyring или kde wallet, как уже было сказано. Описание API можно легко нагуглить.

[viktand]

просто перед сохранением поменяйте местами символы в строке пароля по одному вам известному принципу или  добавьте лишних символов и все. Для "небольшой ерундны для себя" сойдет.

[Sly_tom_cat]

viktand, зачем нужен велосипед? 
Для любого языка можно найти библиотеки криптования вот и воспользоваться любым нормальным шифром.

Я считаю лучше сразу делать все нормально чем потом латать дыры и перекраивать велосипеды в тракторы напильником.
Да и опыт освоения библиотек шифрования - вполне может пригодиться в будущем.

Хотя шифрование тут - тоже отчасти велосипед... Кейринги всякие - уже готовое решение.

[Чистый]

Раздел кстати самый неподходящий

Ну я вообще слабо представляю куда эту тему, пусть тут висит
В принципе, хранить пароль на локальной машине уже не безопасно, если доступ к ним имеет человек то и подменить их  не составит труда, т.е. Не надо будет подбирать пароль, достаточно будет просто заменить отпечаток неизвестного пароля на отпечаток известного, самое безопасное это вообще не хранить пароли! Касательно хранения в keyring и им подобным то это привязка в DE что тоже не правильно, как по мне, так как поступил pidgin проще всего, по причине того что если уже получен физ доступ к машине то получить пароли уже не есть большая проблема, особенно если эти пароли хранят очень вкусную информацию.

[Self-Perfection]

AppArmor SELinux точно не в тему

Почему же? В тему самым непосредственным образом! Просто нужно понимать, что это не серебряная пуля, а возможность повысить безопасность не ухудшая удобство использования.

[viktand]

viktand, зачем нужен велосипед?  ....

Знаете в чем проблема любого стандартного шифра? В том что всем известен его алгоритм. Это и есть самое слабое место вынуждающие применять многибитные ключи, чтобы увеличить число вариантов.

Вот например "123" - это пароль. Я возьму и увеличу все цифры на 8 и добавлю еще парочку случайных для "шума". Получится "94016". Попробуйте отгадать пароль не зная алгоритма и его (пароля) длины. Это на грани реальности.  И ничего сложного.

[ArcFi]

А потом эти недопрограммисты, не умея делать правильно, начинают лисапедить в продакшене.
Код превращается в натуральный ппц, который при всём желании невозможно развидеть.
Так что поддерживаю

GNOME keyring
KDE wallet

[viktand]

Почему цеплять к обычному бытовому проекту библиотеку, которая сделает его в разы объемнее и неповоротлевее, потребует изучения функций, которые возможно больше никогда не понадобятся, которые поставят под вопрос переносимость кода из-за всяких зависимостей это правильно? Потому что так гуру сказал? Проходите мимо таких гуру. Каждая задача достойна своего решения. Не надо тянуть все в одну сторону. Еще раз повторю, даже тот алгоритм, который я не задумываясь предложил выше, будет абсолютно недоступен 99,99% желающих его взломать. В программе он поместится в десяток строк, его реализация займет несколько минут и не потребует сопровождения в дальнейшем.
 

[Protopopulus]

viktand, изучайте теорию. Например, почитайте что такое динамическая и статическая линковка библиотек.

[viktand]

Ладно, раз меня не слышат и не хотят отвечать по существу, а цепляются за отдельные фразы, то и нет смысла обсуждать.

Автор все-таки пишет "ерунду для себя", а не интернет-банк.

[Grayscale]

Ладно, раз меня не слышат и не хотят отвечать по существу, а цепляются за отдельные фразы, то и нет смысла обсуждать.

Автор все-таки пишет "ерунду для себя", а не интернет-банк.

ваш ход мысли мне понятен, и он мне нравится
Однако, буду вынужден использовать что-нибудь из

GNOME keyring
KDE wallet
AppArmor
SELinux

Потому что

опыт освоения библиотек шифрования - вполне может пригодиться в будущем

[Sly_tom_cat]

viktand, пароль 123 подобрать проще перебором чем ломать ваш "скрытый" алгоритм. Кроме того - будет не один а 5 паролей и по ним уже можно будет провести анализ и с очень большой вероятностью восстановить "скрытый алгоритм". Против атаки когда для известных паройей есть представения - предложеный вами алгоритм обладает стойкостью бесконечно мало отличной от нуля.

Для самообразования - есть замечательный курс (анг) на courcera.org - Cryptography - очень рекомендую хотябы превью посмотреть если с языком проблемм нет. Или хотябы первое упражнение сделать - там по набору коротких писем (десяток или чуть боольше) закадированных XOR-ом с длинным (длиннее самого длинного письма) ключем. Но ключ один и тот же. Так зная, что это писма и что там есть приветсвие - ключ (и с-но все письма) восстанавливаются черезвычайно быстро (у меня вручную на это ушло около полутора часов).

Так вот я еще раз повторю - если хотите скрыть информацию - не придумывайте велосипедных алгоритвом - воспользуйтесь известной библиотекой.

По поводу того что все знают алгоритм - давайте я вам даже коротким ключем закодирую короткое сообщение известным алгоритмом и вы мне его взломаете (т.е. восстановите текст), вот тогда и поговорим - зачит ли знание алгоритма, что этот алгоритм обладает слабой криптостойкостью....

А по поводу "ерунду для себя" так с такой ерунды, напомню, начинался Linux и еще куча огромнейших проектов, которые сейчас (по прошествии времени) никому и в голову не придет назвать "ерундой"....