Форум русскоязычного сообщества Ubuntu


Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

Автор Тема: Организация файла настроек: безопасное хранение пароля?  (Прочитано 1515 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Grayscale

  • Автор темы
  • Активист
  • *
  • Сообщений: 573
    • Просмотр профиля
Не нашел более подходящего раздела. Надеюсь, не доставлю неудобств модераторам и форумчанам
Пишу небольшую ерунду для себя. Встал вопрос, как хранить введенный мною пароль в окошко программы. Решил посмотреть, как это реализовано у других программ - у Pidgin все пароли лежат как обычный текст в файле /.purple/accounts.xml
Вопрос: это безопасно?
В мире столько разнообразной фигни.. И в каждой найдется специалист
ASUS K46CB(S46CB) i7-3537U @ 2.0GHz 8Gb RAM + SSD 64 Gb + Manjaro Linux

Оффлайн Self-Perfection

  • Активист
  • *
  • Сообщений: 331
  • Arch linux, KDE
    • Просмотр профиля
Не очень. Допустим даже чтение хомяка данного пользователя не доступно другим пользователям (если соответствующим образом выставлены права), остаётся возможность, что пользователь запустит злонамеренное приложение от своего имени. + не спасает от чтения из другой ос при физической доступности устройства.

Гуглить:
GNOME keyring
KDE wallet
AppArmor
SELinux
Читайте документацию, наставницу вашу!
Памятка по описанию проблем:
Для решения [такой-то задачи] делаю [такие-то действия], но вместо [ожидаемый результат] получаю [описание отличий].

Оффлайн Yurror

  • Старожил
  • *
  • Сообщений: 1966
    • Просмотр профиля
AppArmor SELinux точно не в тему

Гугли шифрованные ФС.

Раздел кстати самый неподходящий

Оффлайн Protopopulus

  • Старожил
  • *
  • Сообщений: 1690
  • А чего вы так смотрите?..
    • Просмотр профиля
Шифрованные ФС тоже не самый подходящий вариант - как из пушки по воробьям. Лучше всего gnome keyring или kde wallet, как уже было сказано. Описание API можно легко нагуглить.
Если ты владеешь знаниями, то и знания владеют тобой. (с) Protopopulus

Оффлайн viktand

  • Участник
  • *
  • Сообщений: 190
    • Просмотр профиля
просто перед сохранением поменяйте местами символы в строке пароля по одному вам известному принципу или  добавьте лишних символов и все. Для "небольшой ерундны для себя" сойдет.

Оффлайн Sly_tom_cat

  • Don't worry, be happy!
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 12130
  • Xubuntu 22.04
    • Просмотр профиля
    • Github
viktand, зачем нужен велосипед?  :idiot2:
Для любого языка можно найти библиотеки криптования вот и воспользоваться любым нормальным шифром.

Я считаю лучше сразу делать все нормально чем потом латать дыры и перекраивать велосипеды в тракторы напильником. :D
Да и опыт освоения библиотек шифрования - вполне может пригодиться в будущем.

Хотя шифрование тут - тоже отчасти велосипед... Кейринги всякие - уже готовое решение.
« Последнее редактирование: 17 Мая 2013, 08:21:52 от Sly_tom_cat »
Индикатор для Yandex-Disk: https://forum.ubuntu.ru/index.php?topic=241992
UEFI-Boot - грузимся без загрузчика: https://help.ubuntu.ru/wiki/uefiboot

Оффлайн Чистый

  • Почётный модератор
  • Старожил
  • *
  • Сообщений: 3473
  • nix - вот оно счастье...
    • Просмотр профиля
Раздел кстати самый неподходящий

Ну я вообще слабо представляю куда эту тему, пусть тут висит :)
В принципе, хранить пароль на локальной машине уже не безопасно, если доступ к ним имеет человек то и подменить их  не составит труда, т.е. Не надо будет подбирать пароль, достаточно будет просто заменить отпечаток неизвестного пароля на отпечаток известного, самое безопасное это вообще не хранить пароли! Касательно хранения в keyring и им подобным то это привязка в DE что тоже не правильно, как по мне, так как поступил pidgin проще всего, по причине того что если уже получен физ доступ к машине то получить пароли уже не есть большая проблема, особенно если эти пароли хранят очень вкусную информацию.
Тестовый репозиторий kdeNeur ppa:devcode/kdeneur
各々が死ぬことをどのように決定する

Оффлайн Self-Perfection

  • Активист
  • *
  • Сообщений: 331
  • Arch linux, KDE
    • Просмотр профиля
AppArmor SELinux точно не в тему
Почему же? В тему самым непосредственным образом! Просто нужно понимать, что это не серебряная пуля, а возможность повысить безопасность не ухудшая удобство использования.
Читайте документацию, наставницу вашу!
Памятка по описанию проблем:
Для решения [такой-то задачи] делаю [такие-то действия], но вместо [ожидаемый результат] получаю [описание отличий].

Оффлайн viktand

  • Участник
  • *
  • Сообщений: 190
    • Просмотр профиля
viktand, зачем нужен велосипед?  ....

Знаете в чем проблема любого стандартного шифра? В том что всем известен его алгоритм. Это и есть самое слабое место вынуждающие применять многибитные ключи, чтобы увеличить число вариантов.

Вот например "123" - это пароль. Я возьму и увеличу все цифры на 8 и добавлю еще парочку случайных для "шума". Получится "94016". Попробуйте отгадать пароль не зная алгоритма и его (пароля) длины. Это на грани реальности.  И ничего сложного.

Оффлайн ArcFi

  • Старожил
  • *
  • Сообщений: 15189
    • Просмотр профиля
    • aetera.net
А потом эти недопрограммисты, не умея делать правильно, начинают лисапедить в продакшене.
Код превращается в натуральный ппц, который при всём желании невозможно развидеть.
Так что поддерживаю
GNOME keyring
KDE wallet

Оффлайн viktand

  • Участник
  • *
  • Сообщений: 190
    • Просмотр профиля
Почему цеплять к обычному бытовому проекту библиотеку, которая сделает его в разы объемнее и неповоротлевее, потребует изучения функций, которые возможно больше никогда не понадобятся, которые поставят под вопрос переносимость кода из-за всяких зависимостей это правильно? Потому что так гуру сказал? Проходите мимо таких гуру. Каждая задача достойна своего решения. Не надо тянуть все в одну сторону. Еще раз повторю, даже тот алгоритм, который я не задумываясь предложил выше, будет абсолютно недоступен 99,99% желающих его взломать. В программе он поместится в десяток строк, его реализация займет несколько минут и не потребует сопровождения в дальнейшем.
 





Оффлайн Protopopulus

  • Старожил
  • *
  • Сообщений: 1690
  • А чего вы так смотрите?..
    • Просмотр профиля
viktand, изучайте теорию. Например, почитайте что такое динамическая и статическая линковка библиотек.
Если ты владеешь знаниями, то и знания владеют тобой. (с) Protopopulus

Оффлайн viktand

  • Участник
  • *
  • Сообщений: 190
    • Просмотр профиля
Ладно, раз меня не слышат и не хотят отвечать по существу, а цепляются за отдельные фразы, то и нет смысла обсуждать.

Автор все-таки пишет "ерунду для себя", а не интернет-банк.

Оффлайн Grayscale

  • Автор темы
  • Активист
  • *
  • Сообщений: 573
    • Просмотр профиля
Ладно, раз меня не слышат и не хотят отвечать по существу, а цепляются за отдельные фразы, то и нет смысла обсуждать.

Автор все-таки пишет "ерунду для себя", а не интернет-банк.
ваш ход мысли мне понятен, и он мне нравится :)
Однако, буду вынужден использовать что-нибудь из
Цитировать
GNOME keyring
KDE wallet
AppArmor
SELinux
Потому что
опыт освоения библиотек шифрования - вполне может пригодиться в будущем
В мире столько разнообразной фигни.. И в каждой найдется специалист
ASUS K46CB(S46CB) i7-3537U @ 2.0GHz 8Gb RAM + SSD 64 Gb + Manjaro Linux

Оффлайн Sly_tom_cat

  • Don't worry, be happy!
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 12130
  • Xubuntu 22.04
    • Просмотр профиля
    • Github
viktand, пароль 123 подобрать проще перебором чем ломать ваш "скрытый" алгоритм. Кроме того - будет не один а 5 паролей и по ним уже можно будет провести анализ и с очень большой вероятностью восстановить "скрытый алгоритм". Против атаки когда для известных паройей есть представения - предложеный вами алгоритм обладает стойкостью бесконечно мало отличной от нуля.

Для самообразования - есть замечательный курс (анг) на courcera.org - Cryptography - очень рекомендую хотябы превью посмотреть если с языком проблемм нет. Или хотябы первое упражнение сделать - там по набору коротких писем (десяток или чуть боольше) закадированных XOR-ом с длинным (длиннее самого длинного письма) ключем. Но ключ один и тот же. Так зная, что это писма и что там есть приветсвие - ключ (и с-но все письма) восстанавливаются черезвычайно быстро (у меня вручную на это ушло около полутора часов).

Так вот я еще раз повторю - если хотите скрыть информацию - не придумывайте велосипедных алгоритвом - воспользуйтесь известной библиотекой.

По поводу того что все знают алгоритм - давайте я вам даже коротким ключем закодирую короткое сообщение известным алгоритмом и вы мне его взломаете (т.е. восстановите текст), вот тогда и поговорим - зачит ли знание алгоритма, что этот алгоритм обладает слабой криптостойкостью.... ;)

А по поводу "ерунду для себя" так с такой ерунды, напомню, начинался Linux и еще куча огромнейших проектов, которые сейчас (по прошествии времени) никому и в голову не придет назвать "ерундой"....
« Последнее редактирование: 17 Мая 2013, 21:13:24 от Sly_tom_cat »
Индикатор для Yandex-Disk: https://forum.ubuntu.ru/index.php?topic=241992
UEFI-Boot - грузимся без загрузчика: https://help.ubuntu.ru/wiki/uefiboot

 

Страница сгенерирована за 0.048 секунд. Запросов: 25.