Jak przechowywać hasło inne niż zwykły tekst?

Question

Znalazłem wiele postów na stackoverflow na temat przechowywania haseł użytkowników. Jednak muszę wiedzieć, jaki jest najlepszy sposób przechowywania hasła, które moja aplikacja potrzebuje do komunikacji z inną aplikacją przez Internet? Obecnie nasza aplikacja internetowa musi przesyłać dane do zdalnej strony internetowej. Aby przesłać dane, nasza aplikacja internetowa odczytuje hasło z pliku tekstowego i tworzy nagłówek z ładunkami i przesyła je przez https.

To hasło w postaci zwykłego tekstu w systemie plików jest problemem. Czy istnieje sposób na bezpieczniejsze przechowywanie hasła?

To jest os Linux i aplikacja jest napisana w python i nie jest skompilowana.

Dzięki!

Dalsze wyjaśnienia: W ogóle nie ma użytkowników w tym procesie. Hasło przechowywane w systemie plików jest używane przez inną aplikację internetową do uwierzytelniania aplikacji internetowej, która wysyła żądanie. Aby umieścić go w słowach komentatora poniżej: "W tym przypadku aplikacja jest klientem do innej aplikacji zdalnej." (Dzięki Joe za pomoc w wyjaśnieniu.)

Answer 1

od kwestii wydaje trzeba przechowywać hasła w taki sposób, że można go odczytać i używane w zautomatyzowanej transakcji z inną witryną. Możesz zaszyfrować hasło i przechowywać je zaszyfrowane w pliku, a następnie odszyfrować je za pomocą klucza przechowywanego w innym miejscu systemu przed jego użyciem. Utrudnia to osobom, które uzyskują dostęp do pliku, korzystanie z hasła, ponieważ muszą one teraz znaleźć klucz i zastosowany algorytm szyfrowania, aby można go było odszyfrować.

Jako obrona, mniejsza obrona jest zawsze lepsza niż jedna silna obrona, która zawodzi w przypadku złamania. Co więcej, zabezpieczyłbym również plik zawierający hasło, a nie samo hasło. Skonfiguruj serwer WWW, aby wyłączyć możliwość wyświetlania pliku zawierającego hasło, i spróbuj ustawić proces wymagający uruchomienia pliku pod oddzielnym kontem, aby ograniczyć dostęp do pliku tylko do konta z uruchomionym kontem i kontami administracyjnymi.

Answer 2

Można go zapisać w wyniku algorytmu skrótu, jest to algorytm jednokierunkowy (np. MD5 lub SHA). Podczas uwierzytelniania kalkuluje się MD5 hasła wpisanego przez użytkownika i sprawdzającego równość z zapamiętanym hash hasła MD5 dla tego użytkownika. Jeśli jest równe, hasło jest w porządku.

Aby uzyskać więcej informacji na temat algorytmów hasing można odwiedzić:

• http://en.wikipedia.org/wiki/Secure_Hash_Algorithm
• http://en.wikipedia.org/wiki/MD5

Answer 3

Można użyć dwukierunkowa kluczowych algorytmy szyfrowania, takie jak RSA, hasło jest przechowywane w postaci zaszyfrowanej (przez klucz, który jest przechowywany w mózgu użytkownika) w systemie plików, ale w celu odkodowania hasła, użytkownik musi wprowadzić klucz.

Answer 4

Przynajmniej powinieneś używać uprawnień (jeśli korzystasz z systemu plików, który je obsługuje), aby upewnić się, że jesteś jedyną osobą mogącą odczytać plik.

Dodatkowo, jeśli twoja aplikacja zostanie skompilowana, szyfrowanie hasła za pomocą zakodowanego hasła nie będzie trudne. Jeśli kod nie zostanie skompilowany, metoda ta nie byłaby pomocna, ponieważ potencjalny napastnik mógłby po prostu odczytać źródło i ustalić szyfrowanie.

Answer 5

Czy Twoja aplikacja internetowa jest hostowana w farmie? Jeśli nie, to taka technologia, jak DPAPI, pozwoli ci zaszyfrować hasło, aby można je było odszyfrować tylko na komputerze, na którym zostało zaszyfrowane.

Z pamięci mogą jednak wystąpić problemy z używaniem go na farmie internetowej, ponieważ trzeba przejść i ponownie zaszyfrować wartość dla każdego serwera.

Jeśli jest to farma internetowa, prawdopodobnie będziesz chciał użyć jakiejś formy szyfrowania RSA, co sugerowano w innych odpowiedziach.

EDIT: DPAPI jest tylko dobra, jeśli jesteś gospodarzem na oknach oczywiście ...

Answer 6

nie sądzę jesteś zrozumienie udzielonych odpowiedzi. Nigdy nie przechowujesz hasła w postaci zwykłego tekstu w żadnym miejscu, ani nie przesyłasz go na inne urządzenie.

Napisałeś: Niestety, ale problem jest przechowywanie hasła w systemie plików ... To hasło potrzebne do uwierzytelnienia przez drugą aplikację internetową.

Nie można liczyć na ochronę systemu plików w celu zachowania czystego tekstu, dlatego inne osoby odpowiedziały, że potrzebujesz SHA lub podobnego. Jeśli uważasz, że zakodowane hasło nie może być wystarczające do uwierzytelniania, nie rozumiesz odpowiedniego algorytmu:

1. dostać p hasło od użytkownika
2. przechowywać zaszyfrowane (np solone hash) hasło Q gdzieś stosunkowo bezpieczne
3. zapomnieć P (nawet jasne bufor Ci wykorzystywane, aby ją przeczytać)
4. wyślij Q do zdalnego hosta H
5. H dostaje p hasło”od użytkownika podczas potrzebne
6. H oblicza Q 'od P', porównuje Q” Q równości

Answer 7

nie sądzę znajdziesz niezawodny sposób to zrobić. Proponuję połączenie rzeczy do osiągnięcia „bezpieczeństwo poprzez ukrywanie”:

• zapisać plik hasło na innym komputerze niż ten, który wykorzysta je
• przechowywać ścieżkę do pliku w osobnym pliku konfiguracyjnego w sprawie app nachine
• uprawnienia użytkowania, aby ograniczyć dostęp do plików konfiguracyjnych i hasło do Twojego procesu tylko
• kontroli dostępu do plików jeśli system pozwala (prowadź dziennik, który dotknął pliki)
• dają foldery i pliki nieszkodliwe nazwy (/usr/joe/kittens.txt?)
• blok fizyczny dostęp do komputera (-ów) (poza siedzibą firmy hostingowej lub zablokowanym szafie, albo coś)

Answer 8

Protecting the Automatic Logon Password

Funkcja LsaStorePrivateData mogą być używane przez aplikacje klienckie serwera do przechowywania haseł i maszynowych.

Tylko system Windows