0

Познакомился с openssl: RSA. Все могло быть проще. Теперь размышляю, где бы применить полученные алгоритмы.

  1. Можно ли сделать авторизацию на сайте с шифрованием логина и пароля? Для передачи через незащищенное соединение? Кажется я где-то видел такую штуку на JS. По идее это делается через https, но для этого надо покупать сертификат.
  2. Какие можно применить способы хранения паролей в программе? Сейчас они хранятся в текстовом файле в открытом виде. Полагаю, что можно вшить в программу два RSA ключа и шифровать при записи на диск. Хотя кто мешает поломать программу и вытащить ключи.
1
  • Не знаком с реализацией RSA в openssl, но как меня учили - никогда не реализовывайте RSA самостоятельно. Существует множество атак, направленных на использованную память, на время, затраченное при шифровке/дешифровке текста и т.д. Кто знает, почему "устанавливался флаг запрета на запись в память" - может быть, как раз это один из инструментов, предотвращающий взлом RSA через память? Если уж и знакомиться с RSA, то точно не на таких статьях. Сейчас, кстати, на coursera.org как раз заканчивается цикл лекций по шифрованию. Скоро вроде начнется новый курс - будет полезно ознакомиться )
    – BOPOH
    27 авг 2014 в 1:33

2 ответа 2

1
  1. Можно, но все равно придется изобретать что-то похожее на проверку сертификатов. Дело в том, что RSA, равно как и любой другой алгоритм асимметричного шифрования, подвержен атаке MItM, то есть нужна уверенность в том, что сайт/сервер есть тот, за кого он себя выдает.
  2. Хранить пароли нельзя - нужно хранить хэш пароля, но если очень хочется, то надо хранить зашифрованный пароль, правда, сразу же возникает коллизия - каким паролем шифровать пароль? Обычно в качестве пароля для шифрования пароля принято использовать некую комбинацию идентификатора устройства: id материнки, MAC адрес сетевой карты, IMEI устройства - в зависимости от задачи. В этом случае при утечке зашифрованного пароля будет некая гарантия невскрытия.
0

1) Ну сертификат можно же самому подписать ) Вызывает некоторые неудобства (особенно когда выкладываете игру на FB и пользователь заходит по https), но на первое время в принципе пойдет. А если дела в гору пойдут - тогда можно будет и нормальный сертификат купить.

Авторизацию сделать-то можно, поиск даже JS-библиотеку какую-то дал. Вот только...

А как вы будете этот ключ клиенту передавать? По http? Ну так никто не мешает вклиниться между клиентом и сервером и отдать клиенту свои ключи. А потом проксировать запросы на оригинальный сервер с перешифрованием своим ключом (т.е. ключом злоумышленника). Одно это уже убивает всю защиту.

И как реализовывать собираетесь? Логин и пароль шифровать отдельно? Ну тогда это ничем от сложных логинов/паролей отличаться не будет. Значит надо будет каким-либо образом объединять логин/пароль в одну строку и шифровать уже результат.

Но здесь тоже проблема: есть же некоторый словарь логинов и паролей, для этих словарей можно будет на основе перехваченного ключа (если вести пассивное наблюдение за клиентом, т.е. не отдавать ему свои ключи, а просто слушать траффик) сгенерировать шифротексты и проверять отправленный логин/пароль на наличие в этом списке. Будет накладно, конечно, но желающие всегда найдутся, хотя бы ради развлечения.

Если же отбросить сомнения и решиться делать, то, возможно, стоит учесть, что 1К-ключи уже не считаются надежными. Мозила даже с начала года реджектит сертификаты с такими ключами.

2) Никто не мешает. Google Play при создании программ даже советует (по крайней мере раньше советовал, сейчас у них способ оплаты вроде поменялся) свой ключ (т.е. один ключ, а не два, второй у них хранится) разбить на несколько частей и разбросать по разным местам, чтобы труднее было ключ выцепить.

Возможно, стоит не вшивать ключи, а генерировать их при установке? Хотя, куда бы вы ключи не засунули - админ всегда сможет посмотреть их.

И может стоит хранить в программе не логин/пароль, а, например, md5 от логина/пароля - т.е. вводится текст, к нему применяется md5 и сранивается с сохраненными данными?

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.