Подскажите, как лучше всего сделать ввод пароля (пароль отображается '*')
до запуска основной программы, т.е. сделать пароль при входе.
И подскажите как и где лучше хранить пароль от лишних глаз?

Пароль лучше хранить в голове, а в программе вычислять хитрым способом. А ввод проще всего сделать в отдельной форме. Создавать ееё на OnCreate главной формы, если условие пройдено то дальше, нет - выход. А вообще в инете много инфы по защите своих программ.

Цитата

Подскажите, как лучше всего сделать ввод пароля (пароль отображается '*') до запуска основной программы, т.е. сделать пароль при входе.

Самый простой вариант:
модифицируй dpr

Код

Application.Initialize;  if InputQuery('Введите пароль','Для продолжения работы необходим пароль')<>'тра-та-та' then application.terminate;  Application.CreateForm(TForm1, Form1);  Application.Run;

PS В uses в dpr должен быть прописан модуль Dialogs

Правильное хранение паролей: пароль хранить хоть в зашифрованном виде, хоть в не зашифрованном виде нельзя - надо хранить хэш пароля, лучше 128 битный, при вводе пароля его тоже "превращают" в хэш по тому же алгоритму и сравнивают хэши. Преимущества - по хэшу практически невозможно восстановить пароль - т.е. криптование идёт только в одну сторону. Хэш - это проще говоря - контрольная сумма. Т.е. для всего текста по особому алгоритму высчитывается более или менее длинное число, которое в очень высокой степенью вероятности уникально. Т.е. вероятность одного и того же числа для 2х разных текстов крайне низкая. Наиболее применяемыми являются 128 битные хэши (например MD5) - когда на каждый текст любой длины генерится 128 битная строка. Эту строку и хранят. По хэшу восстановить исходный текст нельзя, подобрать текст который будет давать тот же хэш можно, но для 128 битного ключа это будет очень долго - я прикидывал для MD5 - если тупым перебором - то годы, есть более быстрые алгоритмы - но всё равно речь идёт о многих днях машинного времени. Сейчас стандартом де-факто является MD5.

Схема проста:

Введенный пароль криптуется MD5 и полученный хэш хранится в базе данных
Повторно введенный пароль тоже криптуется MD5 и сравнивается хэш с хранимым. Восстановить утерянный пароль нельзя - можно лишь его "обнулить" и прописать заново.

Есть библиотека DCP - там реализован MD5 (как и ещё штук 30 алгоритмов криптования

Найди сайт, посвященный этой теме. Вообще скрыть пароль от нежелательных глаз - проблема ещё та!!!

Тема Up.

С хэшем - это само собой, Однако в реальных приложениях приходится предоставлять пользователю возможность "автологина" - то есть чтобы прога сама вводила пароль и ехала дальше. Например, это нормальная практика в ICQ клиентах

У кого есть соображения, как максимально секьюрно обеспечить локальное хранение паролей?

в том-то и проблема ICQ-клиентов -- воруют пароли из всяких .dat-файлов со страшной силой

если система NT ( и под одним логином один пользователь сидит ) можно на уровне системы файл шифровать...

Не, WinAll...

Ввести login и password при старте программы позволяет готовая компонента из JEDI

А как она хранит инфу - известно?

December, юзай DCPcrypt Cryptographic Component Library и тогда ты сможешь облегчить себе жизнь, и затруднить жизнь взломщику А хеш лучше хранить в каком-нибудь dat файле с определенной структурой

Это сообщение отредактировал(а) bartram - 20.3.2006, 20:45

December,
Она не хранит инфу- это просто готовый диалог для ввода логина и пароля при старте программы , а уж сравнивать и хранить инфу нужно самому

Да никак. В любом случае - это большая дыра в безопасности.

После того, как включена опция "автологина", пароль знать необязательно. Достаточно вычислить, куда сохраняется информация и восстанавливать ее при необходимости "автозалогиниться" каждый раз при входе в программу.

Немного усилит безопасность вариант с зависимостью сохраненной зашифрованной информации от даты, например.
Но, как я понимаю, такой вариант не устроит.

где-то во флеме это обсуждалось, и говорилось что на вычисление коллизии MD5 уходи 8 часов, а с современными двух ядерными процессорами + PCI-E на это уйдёт часа 4.

етсь мнение, что лутше всего вместо хранения хэша хранить хэш хэша, что обязательно поставит в тупичёк взломщика.
Добавлено @ 13:45


Я розговаривал с одним похитителем уинов, так вот по его словам пароли ICQ воруются по Вордлисту, или из датников в Internet-cafe.

Это сообщение отредактировал(а) RAdmin - 21.3.2006, 13:46

Я думаю что нужно защитить не только пароль но программу от взлома, в любой подобной системе замена команды
JE xyz
на
JMP xyz
приводит к запуску программы в обход всяких паролей...