17

我需要将数据库密码存储在配置文件中。出于显而易见的原因，我想对它们进行加密（最好使用 AES）。有谁知道一个 Delphi 实现，它很容易引入到具有超过 10,000 行历史增长（URGH！）源代码的现有项目中？

澄清：简单意味着将单元添加到项目中，添加最大值。读取配置文件并使用它完成的 5 行代码。时间不应超过 15 分钟。

另一个说明：需要密码才能创建与数据库的连接，而不是支持应用程序的用户管理方案。所以使用哈希没有帮助。数据库引擎检查密码是否有效，而不是应用程序。

4

15 回答 15

18

我支持 David Barton 的DCPCrypt library的推荐。我已经在几个项目中成功使用过，阅读使用示例后不会超过 15 分钟。它使用 MIT 许可证，因此您可以在商业项目和其他项目中自由使用它。DCPCrypt 实现了许多算法，包括 AES 的 Rijndael。

也有许多可谷歌搜索的独立（单单元）实现 - 问题是您信任哪一个，除非您准备好自己验证特定库的正确性。

于 2008-09-25T13:58:19.717 回答
15

对于典型的身份验证目的，您不需要存储密码，您只需检查用户输入的密码是否正确。如果这是您的情况，那么您可以只存储一个哈希签名（例如 MD5）并将其与输入密码的签名进行比较。如果两个签名匹配输入的密码是正确的。

存储加密密码可能很危险，因为如果有人获得您的“主”密码，他们可以检索您所有用户的密码。

如果您决定使用 MD5，您可以使用 Delphi 附带的 MessageDigest_5.pas（至少它包含在我的 Delphi 2007 副本中）。Delphi 源代码还有其他实现可供您选择。

于 2008-09-25T14:18:50.713 回答
8

我认为 Turbopower LockBox 是一个出色的文字库：

http://sourceforge.net/projects/tplockbox/

我不知道它是否对你的使用来说太大了，但它非常易于使用，你可以用 5 行代码加密一个字符串。这一切都在示例中。

于 2008-09-25T14:08:04.860 回答
3

TOndrej 有正确的方法。您永远不应该使用可逆密码存储密码。正如正确指出的那样，如果您的“主”密钥被泄露，则整个系统都会被泄露。使用不可逆散列（例如 MD5）更加安全，您可以将散列值存储为明文。只需对输入的密码进行哈希处理，然后将其与存储的哈希值进行比较。

于 2008-09-25T16:24:05.420 回答
3

我一直使用 Turbopower Lockbox。它运行良好，而且非常易于使用。我实际上将它用于完全相同的事情，将密码存储在配置文本文件中。

http://sourceforge.net/projects/tplockbox/

于 2008-09-26T23:06:43.767 回答
3

TurboPower LockBox 3 (http://lockbox.seanbdurkin.id.au/) 使用自动加盐。我建议不要使用 Barton 的 DCPCrypt，因为 IV 没有加盐。在某些情况下，这是一个非常严重的安全漏洞。

与之前的评论相反，LB3 的 AES 实现完全符合标准。

于 2010-10-13T02:29:07.230 回答
2

我用过这个库，添加起来很快。但是wiki 显示了更多的解决方案。

于 2008-09-25T13:45:51.510 回答
2

即使您加密了，在我看来，您的解密密钥和加密密码都将在您的可执行文件中，这意味着绝不是默默无闻的安全。任何人都可以获取解密密钥和加密密码并生成原始密码。

你想要的是一个单向哈希。

于 2008-09-25T13:55:14.233 回答
1

只是提醒。

如果您不需要与其他 crypt 库进行互操作，那么 DCP 或 LockBox 就可以完成这项工作。

但

如果您需要它完全符合 rinjdael 规范，请忘记免费组件，它们大多数时候有点“糟糕”。

于 2008-09-26T13:29:28.740 回答
1

正如其他人所指出的，出于身份验证的目的，您应该避免使用可逆加密存储密码，即您应该只存储密码哈希，并根据您存储的哈希检查用户提供的密码的哈希。但是，这种方法有一个缺点：如果攻击者掌握了您的密码存储数据库，它很容易受到彩虹表攻击。

您应该做的是存储预选（和秘密）盐值 + 密码的哈希值。即，连接盐和密码，散列结果，并存储这个散列。进行身份验证时，请执行相同的操作 - 连接您的盐值和用户提供的密码、哈希，然后检查是否相等。这使得彩虹表攻击不可行。

当然，如果用户通过网络发送密码（例如，如果您正在使用 Web 或客户端-服务器应用程序），那么您不应该以明文形式发送密码，而不是存储散列（salt +密码）您应该存储并检查哈希（盐+哈希（密码）），并让您的客户端对用户提供的密码进行预哈希并通过网络发送该密码。这也可以保护您的用户密码，以防用户（许多人）将相同的密码用于多种用途。

于 2008-09-28T08:22:18.757 回答
1

我建议使用某种盐。不要将 crypt(password) 存储在配置文件中，而是插入此存储 crypt(salt + password)。作为“盐”，您可以使用打开数据库所需的东西，例如。db_name+user_name。对于 crypt 函数，您可以使用一些众所周知的算法，如 AES、Idea、DES，或者像将每个字节与其他字符串中的字节进行异或运算一样简单，该字符串将成为您的密钥。为了使其解决起来更加不同，您可以使用一些随机字节并存储它们。

所以要存储：

  1. init_str := 5 个随机字节
  2. new_password := salt + 密码 // salt := db_name + user_name
  3. crypted_pa​​ssword = xor_bytes(init_str + new_password, '我的关键词')
  4. crypted_pa​​ssword := init_str + crypted_pa​​ssword
  5. 将 crypted_pa​​ssword 存储在配置中，因为这将是您可以对其进行 hexify 或 base64 处理的字节

并连接：

  1. 将从配置读取的数据拆分为 init_str 和 crypted_pa​​ssword
  2. new_password = xor_bytes(init_str + crypted_pa​​ssword, 'my keyphrase')
  3. 密码 := 从 new_password 中删除 (db_name + user_name)
于 2008-09-29T05:45:18.657 回答
0

尼克当然是对的——当你说你想花 15 分钟来实施安全解决方案时，我只是假设你知道自己在做什么。如果您决定采用（更好的）路线，DCPCrypt 库还实现了许多散列算法。

于 2008-09-25T14:00:33.037 回答
0

几个解决方案：

  • 根本不存储密码。如果数据库支持集成身份验证，请使用它。该进程可以设置为以特定身份运行，并由数据库自动进行身份验证
  • 使用 Windows 证书存储和证书来加密您的密码。如果您将用于加密密码的密钥存储在您的应用程序中，那么无论如何您的安全性都非常低，您还必须保护密钥。
于 2010-10-13T07:11:13.447 回答
0

您需要将其存储在只有当前用户也可以访问的地方。

基本上有两种方法可以做到这一点：

  1. 将其存储在EFS 加密文件中。
  2. 将其存储在安全的本地存储中。

Internet Explorer 使用 2。但如果您可以获得本地访问权限，则可以解密 1. 和 2. 如果您拥有正确的主密钥和算法（例如，iepv可以获取 Internet Explorer 密码）。

所以：
如果可以，请避免存储密码。
首先寻找替代方案（如 Windows 身份验证、目录服务等）。

——杰伦

于 2010-10-13T10:07:31.277 回答
0

这个 Embarcadero 的演示给出了一个简单但对于大多数应用程序来说足够强大的系统： https ://edn.embarcadero.com/article/28325

于 2017-09-14T11:43:06.750 回答