Локальный пароль на вход в программу

Нужно создать пароль на вход в программу.
Вопрос, где лучше хранить пароли?

Вижу это так:
Пользователь скачивает программу, запускает её, заходи в настройки и ставит галочку "Требовать пароль при входе в программу", потом устанавливает свой пароль. При следующем входе, программа требует пароль.

Проблема:
Не знаю где лучше хранить пароль введенный пользователем, чтобы избежать таких ситуаций, как:
-Нашли файл с паролем на компе, удалили его и программа больше не требует пароль на вход. (пароль естественно будет зашифрован)

0

Nalik, хранить в конфиге в зашифрованном виде? при отсутствии/несовпадении паролей/хэша предлагать ввести пароль?

0

Хранить можно где угодно, хоть в реестре, хоть на диске, хоть в облаке.
Главное - надежное шифрование. А шифровать можно так:

Windows Data Protection
https://msdn.microsoft.com/en-... 95355.aspx

ProtectedData Class
https://msdn.microsoft.com/en-... .110).aspx

How to: Use Data Protection
https://msdn.microsoft.com/en-... .110).aspx

Эту же технику используют Google Chrome, Internet Explorer, KeePass и другие
популярные программы.

1

Сообщение от Убежденный Хранить можно где угодно, хоть в реестре, хоть на диске, хоть в облаке. Главное - надежное шифрование. А шифровать можно так:

В шифровании у меня вопрос не стоит. У меня стоит вопрос в том, как выводить предложение ввести пароль.
Вариант с облаком идеальный. Но тогда отсутствие интернета станет проблемой.
Вариант с реестром неплохой. Но тогда при переносе программы с компа на комп является проблемой.
Вариант с хранением на диске. Не безопасный, т.к. файл который отвечает за появление предложения ввести пароль могут найти и попросту отредактировать таким образом, что программа перестанет запрашивать пароль.

Добавлено через 2 минуты
Вообще программа такая:
Программа сохранения паролей.
Пользователь заходит в программу и вбивает свои пароли. Пароли сохраняются в корневые подпапки в виде файлов, в зашифрованном виде. Через программу можно открыть любой файл в расшифрованном виде. Собственно теперь стоит задача защитить сам вход в программу. Может быть имея эту информацию будет понятнее то что мне требуется.

Добавлено через 2 минуты

Сообщение от Cupko хранить в конфиге в зашифрованном виде? при отсутствии/несовпадении паролей/хэша предлагать ввести пароль?

Удаляем конфиг и программа снова не требует пароль на вход.

Появилась у меня одна идея, хранить пароль на вход в программу в каждом файле сохраненных паролей.
Но это как-то не правильно. Получается что при уже сохраненных десятков паролей нужно будет все их открывать и дописывать пароль на вход.

0

храни не пароли, а их хэши, соответственно, при вводе пароля проверяй не сам пароль, а его хэш. Это реализуется элементарно.

Добавлено через 1 минуту
удалили пароли - проблема удалившего. Нет пароля - нет входа в программу.

0

Сообщение от aquaMakc храни не пароли, а их хэши, соответственно, при вводе пароля проверяй не сам пароль, а его хэш. Это реализуется элементарно.

Да, да. Скорее всего я буду хранить пароль на вход именно в хеше. Мб в md5, но сейчас не об этом. Тот же хеш пароля нужно куда-то сохранять. И в этом стоит вопрос, как реализовать чтобы программа требовала пароль на вход даже если файл с паролем/хешем или конфигурация программы была полностью удалена.

Добавлено через 1 минуту

Сообщение от aquaMakc удалили пароли - проблема удалившего. Нет пароля - нет входа в программу.

Ага. А как тогда при первом запуске не требовать пароля?

0

зашей в программу аналог домофонного "мастер-ключа", с помощью которого можно зайти даже без твоего хранилища. При запуске программы проверяй своё хранилище. Есть - подгружай в память, нет - сверяй только с зашитым.

1

Нет, всё таки для моей задачи чтобы защитить файлы паролей нужно в каждый файл дописывать хеш введенного пароля.. Ибо так можно будет перекинуть все подпапки к другой программе и получится что сохраненный файлы можно дешифровать. Получается нужная некая уникальная подпись/ключ к каждому файлу.

Добавлено через 1 минуту
Спасибо за помощь! Пойду думать)

Добавлено через 10 минут
Придумал примерно такой алгоритм. Как считаете, годный?

Запускаем программу в первые. Выводим сообщение с просьбой ввести/создать пароль. Пароль введен.
Создаем файл с паролем (например от одноклассников). В первую строчку вводим хеш ключа который ввели при входе в программу. Остальными строчками вводим данные от одноклассников.
Сохраняем файл паролей.
Открытие сохраненного файла с паролем от одноклассников. Сравниваем хеш пароля в файле с паролем введенным при входе в программу.


Последующие открытия программы. Выводим сообщение с простбой ввести/создать пароль. Пароль введен.
Открытие сохраненного файла с паролем от одноклассников. Сравниваем хеш пароля в файле с паролем введенным при входе в программу.

0

нормально. только, теперь усложняем задачу (приводим к нормальному виду). Для начала читаем про сериализацию-десериализацию, как разберёмся - переходим к БД. )

0

Сообщение от Nalik Сравниваем хеш пароля в файле с паролем введенным при входе в программу.

Всплывает проблема, что хеш пароля можно подменить.. на хеш известного пароля.. что делать?

0

Сообщение от Nalik Всплывает проблема, что хеш пароля можно подменить.. на хеш известного пароля.. что делать?

Никому не говорить каким способом ты получаешь хэш ). Как вариант усложнять процесс при расчёте хэша добавлять к введённому паролю дополнительные символы.

0

Сообщение от aquaMakc Никому не говорить каким способом ты получаешь хэш ). Как вариант усложнять процесс при расчёте хэша добавлять к введённому паролю дополнительные символы.

Тоже об этом подумал, что надо бы его разбавить всяким шумом и заныкать в какое нибудь рандомное место в файле. Благо, что уже написан собственный алгоритм шифрования, который в файле такую кашу делает.

Добавлено через 6 минут

Сообщение от aquaMakc Для начала читаем про сериализацию-десериализацию, как разберёмся - переходим к БД.

Да, прикручивать хранение паролей в БД на своем сервере я тоже буду) Спасибо за указанное направление

0

Сообщение от Nalik Вообще программа такая: Программа сохранения паролей. Пользователь заходит в программу и вбивает свои пароли. Пароли сохраняются в корневые подпапки в виде файлов, в зашифрованном виде. Через программу можно открыть любой файл в расшифрованном виде. Собственно теперь стоит задача защитить сам вход в программу. Может быть имея эту информацию будет понятнее то что мне требуется.

В таком случае пароль вообще нигде не стоит хранить.
Ключ шифрования, которым шифруются данные, должен генерироваться
на основе введенного пользователем пароля (например, по стандарту PBKDF2).
Неправильно ввели пароль - получили "мусор" вместо данных.

Хранить хэш пароля - ненадежно. Злоумышленник сможет подменить его на свой и
получить доступ к данным. Добавление соли, прятанье алгоритма защиты и т.п.
принципиально тут ничего не изменит.

0