Добавить файл в ресурсы в готовой программе

Здравствуйте, наверное глупый вопрос, но все таки хотелось бы уточнить.
Можно ли в скомпилированном exe добавить какой либо файл в ресурсы?

P.s. Суть в том, что я написал программу запоминания паролей, шифрованные данные в данный момент хранятся в файлах.
Происходит это так: в программе я нажимаю "добавить" и ввожу какой либо "логин:пароль", потом шифрую этот текст и сохраняю в файл, после чего наименования всех таких сохраненные файлов я отображаю в форме listview. Хотелось бы придать мобильности программке и не таскать за собой кучу файлов с паролями.

Если есть хорошие идеи реализации мобильности, буду благодарен если поделитесь
P.s. В дальнейшем хочу сделать облачное хранилище, чтобы все данные подгружались с сервера, но это уже другая история..

0

Nalik, 1. Похоже что база не шифруется и пароль хранится хоть и не в открытом виде, но найти его несложно. Опираюсь на информацию из http://www.sqlite.org/src/doc/... r-auth.txt

The built-in version of of sqlite_crypt() uses a simple Ceasar-cypher which prevents passwords from being revealed by searching the raw database for ASCII text, but is otherwise trivally broken. For better password security, the database should be encrypted using the SQLite Encryption Extension or similar technology. Or, the application can use the sqlite3_create_function() interface to provide an alternative implementation of sqlite_crypt() that computes a stronger password hash, perhaps using a cryptographic hash function like SHA1.

В тексте упоминается SQLite Encryption Extension. Оно врядли тебе нужно учитывая что ты планируешь хранить уже зашифрованные данные. Тем более что насколько я понял это платное расширение.

Проверка пароля по идее делается при открытии соединения. Это несложно проверить экспериментальным путем.

2. Если я прав насчет слабого уровня защиты, то пароль можно поменять не зная старого.

1

Сообщение от OwenGlendower 1. Похоже что база не шифруется и пароль хранится хоть и не в открытом виде, но найти его несложно.

Значит использовать ключ шифрования как пароль от БД не самая лучшая идея
У меня сейчас в программе данные шифруются хешем от ключа пользователя, т.е. если пользователь ввёл ключ "1234", а данные шифруются md5("1234") - 81dc9bdb52d04dc20036dbd8313ed055,
Как вы думаете, а использовать хеш от хеша ключа как пароль на вход в БД, будет достаточно надежно? Т.е. md5(md5("1234")) - ec6a6536ca304edf844d1d248a4f08dc.

Добавлено через 13 минут
У меня сейчас используется такой подход:
Пользователь вводит секретный ключ:
- БД паролится этим ключом;
- Все данные паролятся этим ключом;
- При следующем запуске программы, она обращается к БД без ключа, если подключение не удалось, то выскакивает окошко, где предлагается ввести секретный ключ.

0

Nalik, провел пару экспериментов с неутешительным результатом. Метод SetPassword только делает вид что ставит пароль потому что я спокойно подключаюсь к такой БД и получаю из нее данные. Похоже нужно ставить расширение для шифрования чтобы от этого метода был эффект.

Сообщение от Nalik Значит использовать ключ шифрования как пароль от БД не самая лучшая идея

Так точно

Сообщение от Nalik У меня сейчас в программе данные шифруются хешем от ключа пользователя, т.е. если пользователь ввёл ключ "1234", а данные шифруются md5("1234") - 81dc9bdb52d04dc20036dbd8313ed055, Как вы думаете, а использовать хеш от хеша ключа как пароль на вход в БД, будет достаточно надежно? Т.е. md5(md5("1234")) - ec6a6536ca304edf844d1d248a4f08dc.

Так делать не надо. Ключ лучше генерировать с помощью класса Rfc2898DeriveBytes. Для создания пароля на SQLite базу он тоже подойдет т.к. у метод SetPassword() есть перегрузка принимающая byte[].

1

Сообщение от OwenGlendower Так делать не надо. Ключ лучше генерировать с помощью класса Rfc2898DeriveBytes. Для создания пароля на SQLite базу он тоже подойдет т.к. у метод SetPassword() есть перегрузка принимающая byte[].

А какая разница? Разве есть разница буду я шифровать данные сразу хешем ключа или сгенерирую ключ на основе хеша ключа. Если в итоге получается тоже самое, пароль от зашифрованных данных и от БД будет один и тот же. И допустим если взломают БД и вытащат от туда пароль установленный на эту БД, то мы получаем зашифрованный ключ который используется для шифрования данных.

Сообщение от OwenGlendower byte[] saltBytes = {236,131,52,67,243,196,235,131,188,19,71 ,157,121,177,209,158,73,165,82,147,38};

А если учесть, что у программы будет исходный код открыт или взломан, разве эти данные безопасно хранить прямо в программе, при условии, что к примеру из базы на SQLite все таки вытащили пароль. С помощью этих данных можно же будет подобрать чистый ключ который используется для шифрования.
--
Наверное в идеальном виде, пароль на БД лучше вообще не ставить, если так или иначе тянется зависимость этого пароля на секретный ключ, зачем лишняя дырка
Просто устанавливать какой-нибудь стандартный для всех пользователей, чтобы в другой программе нельзя его было открыть и посмотреть.
А в своей программе тоже сделать определенную защиту в этом случае. Например заносить в отдельную таблицу зашифрованное слово "True" и при открытии программы пытаться его расшифровать с помощью введенного ключа, если мы получаем слово "True", то считаем, что соединение к БД прошло успешно, если получаем какие либо другие данные, то пишем типа "неверный секретный ключ"

Добавлено через 9 минут
Таким образом мы ограничим доступ к самой БД другим программам и своей в том числе. Правда минус тут тоже имеется, если исходный код будет открыт или взломан, то смысла от этого изврата нету)

0

Сообщение от Nalik если исходный код будет открыт или взломан, то смысла от этого изврата нету

Nalik, я же вам давал проект, там есть защита даже от потери БД, все данные в ней зашифрованы. То есть, не надо хранить в БД данные, а хранить массив байт, представляющий собой блок данных, зашированный ключом (например, сертификатом). Тогда, даже получив исходный код и БД, взломщик, не имея сертификата, ничего не узнает.

0

Сообщение от insite2012 Nalik, я же вам давал проект, там есть защита даже от потери БД, все данные в ней зашифрованы. То есть, не надо хранить в БД данные, а хранить массив байт, представляющий собой блок данных, зашированный ключом (например, сертификатом). Тогда, даже получив исходный код и БД, взломщик, не имея сертификата, ничего не узнает.

У меня так и есть, в данный момент если взломщик получит исходный код и БД, он ничего не узнает. Данные в БД зашифрованы AES, переведенным в строковый модифицированный base64. Однако по мимо самих данных в БД, я хотел бы защитить и саму БД (хотя не понимаю если честно зачем мне это нужно), но хочется. Получается её тоже нужно защищать паролем, но делать пароль на основе ключа шифрования от данных нельзя, т.к. это будет не безопасно. А вводить 2 ключа при входе в программу: от БД и от данных не удобно.

Ни у кого такого не бывало, когда сам не знаешь чего хочешь.. надо больше спать.

0