Chiavi di registro... e password...

di_emme · 30-09-2004, 14:27

...se doveste salvare una password dove la 'imboschereste'?

E' un discorso in generale... non voglio sapere il posto esatto dove avete le vostre password... è che ho bisogno di capire quali punti del registro sono più sicuri di altri...

maxnaldo · 30-09-2004, 14:37

beh, non la imboscherei certamente nel registro di sistema.

e se proprio vuoi farlo almeno prima "cifrala" in qualche maniera.

di_emme · 30-09-2004, 14:45

...of course... logico che la cifro...

l'ho cifrata talmente bene che ho fatto una fatica dannata a decifrarla...

..Scherzi a parte... io ho bisogno di salvare la password per accedere ad un mio pgm da qualche parte a modo che, se l'utente perde la password o la dimentica, dalla mia applicazione mi invia la password criptata per recuperarla... ho bisogno che sta password sia salvata in una posizione fissa a modo che il mio programma la possa rcuperare con certezza!!!

maxnaldo · 30-09-2004, 15:10

mmmm...forse non ho capito il discorso....

se il programma ha bisogno di una password per accedervi vuol dire che vuoi limitare l'uso solo a determinati utenti.

ma se l'utente non sa la password il programma dovrebbe automaticamente recuperarla ?

allora a che ti serve la password se chiunque alla fine riesce ad accedervi ?

Liam Gallagher · 30-09-2004, 15:11

Riesce a recuperarla criptata.... e quindi inutilizzabile a meno che non la invi a lui che la decripta ^_^

di_emme · 30-09-2004, 15:28

Esatto Liam!!!

Il programma ha accesso limitato nel senso che per essere utilizzato l'utente deve inserire una password... Nel caso in cui l'utOntO dimentichi la password il mio programma la recupera criptata a modo che me la possa inviare per decriptarla.

Il problema è: dove mantengo la chiave criptata???

maxnaldo · 30-09-2004, 17:23

ma cosa intendi per "inviare" ?

te la invia via email ? tramite la rete ?

non capisco...

...se stiamo parlando di un programma che gira su una macchina e l'utente sta usando quel programma dov'è che dovrebbe inviare la password ?

o stai pensando di adottare i meccanismi usati nei siti Web anche per dei programmi in locale sul pc ?

di_emme · 30-09-2004, 17:49

La password dovrà essere memorizzata criptata in locale sul pc...

Se l'utente smarrisce la password una procedura del mio programma gli consentirà di inviarmi via mail la chiave criptata (ulteriormente criptata

) cosi da potergli rendere la password...

ma non è quello il problema... il problema è: DOVE SALVO LA PASSWORD??? In un file? Nel registry? Dove???

di_emme · 04-10-2004, 12:37

...nessuna idea???

RaouL_BennetH · 04-10-2004, 13:26

Per il problema tecnico non sono assolutamente in grado di risponderti ma pensavo a questo:

Se fornisci l'utente di una procedura di 'soccorso' che lo autentica in maniera esatta, non faresti prima a farti mandare determinati dati e a fornirgli una password nuova?

di_emme · 04-10-2004, 14:25

no... perchè quello necessiterebbe della memorizzazione di un set fisso di password rendendo il programma più vulnerabile!!!

RaouL_BennetH · 04-10-2004, 14:33

Quote:

Originariamente inviato da di_emme
no... perchè quello necessiterebbe della memorizzazione di un set fisso di password rendendo il programma più vulnerabile!!!

Uhm, non so se è la stessa cosa ma qui in azienda da me, ogni tanto quando il programma di gestione va a rotoli, chiamano l'azienda fornitrice, se non sbaglio devono comunicare il pin di attivazione della prima volta, e viene fornita una password nuova per l'accesso che ogni volta, ovviamente, è diversa.

Per il caso specifico tuo, ripeto, non sono all'altezza di darti una risposta tecnica.

matpez · 04-10-2004, 14:55

Bhe ma scusa, ma se tu per esempio ti crei una falsa DLL o la metti dentro alla tua cartella del programma, la trovi sempre ed è in quella posizione!!

Dentro alla dll usi un file criptato, che tanto essendo criptato a prima vista se uno apre la dll sembra una dll vera (cioè cmq un file compilato) e nn sembra un file che contiene la tua password...

Se usi dei buoni metodi di criptazione anche se uno scoprisse che la dll nn è una vera dll ma un file che contiene la tua password è pur sempre criptata e nn facile da decodificare... se nn ti fidi dei metodi di criptazioni già esistenti potresti sempre inventartene uno tuo... così pochi programma al mondo sarebbero in grado di decifrare il testo!!

Magari questo nn è il metodo 100% più sicuro al mondo, ma nn credo che tu stia sviluppando programmai per la NASA o Pentagno che devono essere a prova di bomba...

Io la penso così...

di_emme · 04-10-2004, 15:00

Quote:

ma nn credo che tu stia sviluppando programmai per la NASA o Pentagno...

...azz...

mi hai scoperto!!!

Effettivamente è buona l'idea della dll... il fatto è che l'utente potrebbe erroneamente rimuoverla... più difficile che cancelli una chiave del registry...

Per l'algoritmo di cifraggio... beh... diciamo che me la sono cavata...

matpez · 04-10-2004, 15:03

Bhe ma siamo sempre li, mettila ovunque nel sistema, tanto lo sai tu dove sta... bho mettila sotto: HKEY_LOCAL_MACHINE\SOFTWARE

di solito è li che che si mettono tutte le info dei programmi...

matpez · 04-10-2004, 15:07

E poi cmq potresti fare che se cacella la dll, dai un msg di errore dicendo di contattarti o reinstallare il programma!!

Al massimo la metti dentro la cartella system32 che c'è ne sono a bizzeffe di dll, uno prorpio deve avere sfiga a cancellare la tua!!

maxnaldo · 04-10-2004, 16:47

io continuo ad essere "dubbioso" su quello che vuoi fare

se parliamo di Clients che si connettono ad un Server allora tutta la gestione della sicurezza accessi risiede sul Server che autorizzerà solo gli utenti con password corrette. Eventualmente fornirà una nuova password a chi se l'è dimenticata.
Se non hai una password non potrai mai accedere alle funzionalità dell'applicazione in quanto si tratta sempre di un Client che dialoga con un server. ( e tu al server non hai accesso)

nel caso di applicazioni "StandAlone" o meglio di programmi che girano in locale su un PC non ha molto senso proteggerne l'accesso con delle password.

puoi inventarti tutti i metodi di cifratura e di sicurezza che vuoi ma rimarrà sempre il problema che tutta la gestione di tale sicurezza è affidata al programma stesso.

se volessi accedere al tuo programma non mi sognerei mai di andare a decifrare la DLL nascosta...mi basterà modificare alcune istruzioni nel codice per cambiare le routine di controllo accesso, facendo credere al programma che gli ho inviato una password corretta. In pratica è molto più semplice "crackare" un programma del genere. qualunque sia la tipologia di gestione sicurezza adottata.

io ti consiglierei di evitare di lavorare giorni e settimane per costruire un sistema di sicurezza che poi potrà essere aggirato sempre e comunque cambiando addirittura un solo byte nel tuo programma.

poi fai te, il mio è solo un consiglio per non lavorare inutilmente.

di_emme · 04-10-2004, 16:57

Il prgoramma non è client-server ma stand alone...
Il fatto è che l'introduzione della password non la faccio perchè mi va ma perchè mi è stato detto di farla... allora cerco di farla nel migliore dei modi... Se il programma viene crackato non è un problema che mi riguarda direttamente... non credo ci sia chi si metta a perdere tempo a crackarlo... Il problema che mi riguarda è quello della sicurezza dell'accesso alla mia applicazione... devo renderla più sicura possibile e l'introduzione di una password di accesso è la cosa più semplice... solo che non è semplice, almeno dal mio punto di vista, trovare un posto sicuro in cui conservarla...

maxnaldo · 04-10-2004, 17:19

allora se proprio devi nasconderla nascondila bene !

uno dei posti più incasinati del pc è proprio la cartella "System32" di windows dove ci sono tutte le DLL e i files del sistema operativo.

io ti consiglio di schiaffarla lì con un nome che la faccia sembrare qualcosa del sistema operativo tipo:

msrip32.dll
msmon32.dll
ecc...ecc...

poi dal programma se non trova questa DLL magari visualizzi un msg di ERRORE generico tipo "DLL mancante. Reinstallare il programma"

ma non dire qual'è il nome della DLL !

non credo che molta gente vada nella System32 a cancellare files senza sapere che cosa sono.

di_emme · 04-10-2004, 17:25

potrebbe essere proprio una buona idea...

Vediamo cosa mi dicono ai piani alti!!!

30-09-2004, 14:27	#1
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	Chiavi di registro... e password... ...se doveste salvare una password dove la 'imboschereste'? E' un discorso in generale... non voglio sapere il posto esatto dove avete le vostre password... è che ho bisogno di capire quali punti del registro sono più sicuri di altri... __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

30-09-2004, 14:45	#3
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	...of course... logico che la cifro... l'ho cifrata talmente bene che ho fatto una fatica dannata a decifrarla... ..Scherzi a parte... io ho bisogno di salvare la password per accedere ad un mio pgm da qualche parte a modo che, se l'utente perde la password o la dimentica, dalla mia applicazione mi invia la password criptata per recuperarla... ho bisogno che sta password sia salvata in una posizione fissa a modo che il mio programma la possa rcuperare con certezza!!! __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

30-09-2004, 15:11	#5
Liam Gallagher Senior Member Iscritto dal: Aug 2004 Città: Milano (MI) - Via Monte Napoleone Messaggi: 590	Riesce a recuperarla criptata.... e quindi inutilizzabile a meno che non la invi a lui che la decripta ^_^ __________________ MacBook Pro 15" \| Core 2 Duo \| 4gb ram \| 8600M GT

30-09-2004, 15:28	#6
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	Esatto Liam!!! Il programma ha accesso limitato nel senso che per essere utilizzato l'utente deve inserire una password... Nel caso in cui l'utOntO dimentichi la password il mio programma la recupera criptata a modo che me la possa inviare per decriptarla. Il problema è: dove mantengo la chiave criptata??? __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

30-09-2004, 17:49	#8
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	La password dovrà essere memorizzata criptata in locale sul pc... Se l'utente smarrisce la password una procedura del mio programma gli consentirà di inviarmi via mail la chiave criptata (ulteriormente criptata ) cosi da potergli rendere la password... ma non è quello il problema... il problema è: DOVE SALVO LA PASSWORD??? In un file? Nel registry? Dove??? __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

30-09-2004, 14:37	#2
maxnaldo Senior Member Iscritto dal: Sep 2004 Messaggi: 2983	beh, non la imboscherei certamente nel registro di sistema. e se proprio vuoi farlo almeno prima "cifrala" in qualche maniera.

30-09-2004, 15:10	#4
maxnaldo Senior Member Iscritto dal: Sep 2004 Messaggi: 2983	mmmm...forse non ho capito il discorso.... se il programma ha bisogno di una password per accedervi vuol dire che vuoi limitare l'uso solo a determinati utenti. ma se l'utente non sa la password il programma dovrebbe automaticamente recuperarla ? allora a che ti serve la password se chiunque alla fine riesce ad accedervi ?

30-09-2004, 17:23	#7
maxnaldo Senior Member Iscritto dal: Sep 2004 Messaggi: 2983	ma cosa intendi per "inviare" ? te la invia via email ? tramite la rete ? non capisco... ...se stiamo parlando di un programma che gira su una macchina e l'utente sta usando quel programma dov'è che dovrebbe inviare la password ? o stai pensando di adottare i meccanismi usati nei siti Web anche per dei programmi in locale sul pc ?

04-10-2004, 12:37	#9
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	...nessuna idea??? __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

04-10-2004, 13:26	#10
RaouL_BennetH Senior Member Iscritto dal: Sep 2004 Messaggi: 3967	Per il problema tecnico non sono assolutamente in grado di risponderti ma pensavo a questo: Se fornisci l'utente di una procedura di 'soccorso' che lo autentica in maniera esatta, non faresti prima a farti mandare determinati dati e a fornirgli una password nuova? __________________ Dai wafer di silicio nasce: LoHacker... il primo biscotto Geek

04-10-2004, 14:25	#11
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	no... perchè quello necessiterebbe della memorizzazione di un set fisso di password rendendo il programma più vulnerabile!!! __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

04-10-2004, 14:55	#13
matpez Senior Member Iscritto dal: Aug 2002 Città: Biella Messaggi: 1882	Bhe ma scusa, ma se tu per esempio ti crei una falsa DLL o la metti dentro alla tua cartella del programma, la trovi sempre ed è in quella posizione!! Dentro alla dll usi un file criptato, che tanto essendo criptato a prima vista se uno apre la dll sembra una dll vera (cioè cmq un file compilato) e nn sembra un file che contiene la tua password... Se usi dei buoni metodi di criptazione anche se uno scoprisse che la dll nn è una vera dll ma un file che contiene la tua password è pur sempre criptata e nn facile da decodificare... se nn ti fidi dei metodi di criptazioni già esistenti potresti sempre inventartene uno tuo... così pochi programma al mondo sarebbero in grado di decifrare il testo!! Magari questo nn è il metodo 100% più sicuro al mondo, ma nn credo che tu stia sviluppando programmai per la NASA o Pentagno che devono essere a prova di bomba... Io la penso così... __________________ "Analizzando e valutando ogni giorno tutte le idee, ho capito che spesso tutti sono convinti che una cosa sia impossibile, finchè arriva uno sprovveduto che non lo sa e la realizza!" A. Einstein

04-10-2004, 15:03	#15
matpez Senior Member Iscritto dal: Aug 2002 Città: Biella Messaggi: 1882	Bhe ma siamo sempre li, mettila ovunque nel sistema, tanto lo sai tu dove sta... bho mettila sotto: HKEY_LOCAL_MACHINE\SOFTWARE di solito è li che che si mettono tutte le info dei programmi... __________________ "Analizzando e valutando ogni giorno tutte le idee, ho capito che spesso tutti sono convinti che una cosa sia impossibile, finchè arriva uno sprovveduto che non lo sa e la realizza!" A. Einstein

04-10-2004, 15:07	#16
matpez Senior Member Iscritto dal: Aug 2002 Città: Biella Messaggi: 1882	E poi cmq potresti fare che se cacella la dll, dai un msg di errore dicendo di contattarti o reinstallare il programma!! Al massimo la metti dentro la cartella system32 che c'è ne sono a bizzeffe di dll, uno prorpio deve avere sfiga a cancellare la tua!! __________________ "Analizzando e valutando ogni giorno tutte le idee, ho capito che spesso tutti sono convinti che una cosa sia impossibile, finchè arriva uno sprovveduto che non lo sa e la realizza!" A. Einstein

04-10-2004, 16:47	#17
maxnaldo Senior Member Iscritto dal: Sep 2004 Messaggi: 2983	io continuo ad essere "dubbioso" su quello che vuoi fare se parliamo di Clients che si connettono ad un Server allora tutta la gestione della sicurezza accessi risiede sul Server che autorizzerà solo gli utenti con password corrette. Eventualmente fornirà una nuova password a chi se l'è dimenticata. Se non hai una password non potrai mai accedere alle funzionalità dell'applicazione in quanto si tratta sempre di un Client che dialoga con un server. ( e tu al server non hai accesso) nel caso di applicazioni "StandAlone" o meglio di programmi che girano in locale su un PC non ha molto senso proteggerne l'accesso con delle password. puoi inventarti tutti i metodi di cifratura e di sicurezza che vuoi ma rimarrà sempre il problema che tutta la gestione di tale sicurezza è affidata al programma stesso. se volessi accedere al tuo programma non mi sognerei mai di andare a decifrare la DLL nascosta...mi basterà modificare alcune istruzioni nel codice per cambiare le routine di controllo accesso, facendo credere al programma che gli ho inviato una password corretta. In pratica è molto più semplice "crackare" un programma del genere. qualunque sia la tipologia di gestione sicurezza adottata. io ti consiglierei di evitare di lavorare giorni e settimane per costruire un sistema di sicurezza che poi potrà essere aggirato sempre e comunque cambiando addirittura un solo byte nel tuo programma. poi fai te, il mio è solo un consiglio per non lavorare inutilmente.

04-10-2004, 16:57	#18
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	Il prgoramma non è client-server ma stand alone... Il fatto è che l'introduzione della password non la faccio perchè mi va ma perchè mi è stato detto di farla... allora cerco di farla nel migliore dei modi... Se il programma viene crackato non è un problema che mi riguarda direttamente... non credo ci sia chi si metta a perdere tempo a crackarlo... Il problema che mi riguarda è quello della sicurezza dell'accesso alla mia applicazione... devo renderla più sicura possibile e l'introduzione di una password di accesso è la cosa più semplice... solo che non è semplice, almeno dal mio punto di vista, trovare un posto sicuro in cui conservarla... __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

04-10-2004, 17:19	#19
maxnaldo Senior Member Iscritto dal: Sep 2004 Messaggi: 2983	allora se proprio devi nasconderla nascondila bene ! uno dei posti più incasinati del pc è proprio la cartella "System32" di windows dove ci sono tutte le DLL e i files del sistema operativo. io ti consiglio di schiaffarla lì con un nome che la faccia sembrare qualcosa del sistema operativo tipo: msrip32.dll msmon32.dll ecc...ecc... poi dal programma se non trova questa DLL magari visualizzi un msg di ERRORE generico tipo "DLL mancante. Reinstallare il programma" ma non dire qual'è il nome della DLL ! non credo che molta gente vada nella System32 a cancellare files senza sapere che cosa sono.

04-10-2004, 17:25	#20
di_emme Senior Member Iscritto dal: Jul 2001 Città: Monza - MI Messaggi: 322	potrebbe essere proprio una buona idea... Vediamo cosa mi dicono ai piani alti!!! __________________ di_emme WEB: TUNING, MODDING, MUSICA, FOTOGRAFIA LET IT BE - When I find my code in tons of trouble/Friends and colleagues come to me/speaking words of wisdom: Write in C. Solo due cose sono infinite: la mia pazienza e la stupidità umana e non sono sicuro della prima (A. Piazzeinstein)

Strumenti
Mostra una versione stampabile Invia questa pagina per email