Das deutsche QBasic- und FreeBASIC-Forum

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

Hallo, da ich lange eine Passwortverschlüsselung gesucht habe, ähnlich wie MD5 oder SHA1 (wobei inzwischen ja beide gehackt wurden) und da ich allerdings nicht fähig bin diese selbst zu portieren habe ich mir selber eine geschrieben.
Es ist eine Mischung aus der "CHEWROUT-Methode", der "XOR Methode" und etwas Eigenentwicklung...

psygate · Verfasst am: 18.05.2005, 17:56 Titel:

Ich würd mal sagen, dass ich meine Bruteforce drüber rattern lassen würde... Aber, leider hab cih nur einen Pseudo-Brüter.... lachen

kann mir mal jemand eine PM schicken, in der er mir erklärt, wie ich eine ECHTE Bruteforce schreiben könnte??

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

also dass es mit Bruteforce zu kacken ist, ist ja wohl klar..

Wie gesagt, ich möchte wissen ob dieser Algorythmus unsicher ist, bzw ob man aus dem Hash das Passwort herauslesen kann...

MisterD · Verfasst am: 18.05.2005, 18:22 Titel:

also bruteforce zum entschlüsseln ist relativ schwierig wenns irgend ein unbekannter verschlüsselungsalgorythmus verschlüsselt hat, du kannst ja schlecht alle möglichen Verschlüsselungsarten der Reihe nach durchprobieren lassen weil du die garnicht alle kennen kannst!

So wie ich das sehe hast du in deinm Algorythmus viele reversible methoden angewendet. aber ich glaub,
CryptedByte% = ASC(MID$(PasswdString1$, v%)) XOR ASC(MID$(PasswdString2$, v%))
ist nicht so einfach zu entschlüsseln. der rest kann einfach rückgängig gemacht werden, das is kein Problem, nur bei dem ding da muss dann wahrscheinlich BruteForce ran..
_________________
"It is practically impossible to teach good programming to students that have had a prior exposure to BASIC: as potential programmers they are mentally mutilated beyond hope of regeneration."
Edsger W. Dijkstra

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

MisterD · Verfasst am: 18.05.2005, 18:37 Titel:

also ich hab noch mal n bisschen überlegt:

Das mit dem Randomize der Summe kann man nicht einfach zurückentschlüsseln, die XOR-Operation auch nicht, da es mehrere Möglichkeiten für die einzelnen Werte gibt. Also von daher: Dein Algorythmus is nur per Bruteforce zu knacken. Könntest höchstens das ganze noch etwas abstrahieren, dass das länger dauert, weil das geht so relativ schnell mit dem ausprobieren.
_________________
"It is practically impossible to teach good programming to students that have had a prior exposure to BASIC: as potential programmers they are mentally mutilated beyond hope of regeneration."
Edsger W. Dijkstra

Dorftrottel · Verfasst am: 18.05.2005, 18:38 Titel:

Nur n kleiner Vorher Nacher Vergleich...
Vorher:

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

Oh

Danke...
Liegt daran dass es mal hies "Bitte geben Sie das zu verschlüsselnde Passwort ein" ...

Dorftrottel · Verfasst am: 18.05.2005, 18:51 Titel:

Coole Signatur...
grinsen

Editiert durch Moderator: Die Masse an Smilies musste nicht sein. Ich hab' mal ein paar rausgenommen... (Sebastian)
_________________
Euer Dorftrottel!
Unser Name ist unser Auftrag! lächeln

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

Leute, mir ist noch was aufgefallen...
Ein Passwort das nur aus zwei Zeichen besteht hat den Selben Hash wie sein "Kehrwert" z.B.

ab & ba haben genau denselben Hash wert, da sie denselben RANDOMIZE Wert haben und per XOR verschlüsselt werden...

Ich denke man könnte das durch eine bessere Berechnung beim RANDOMIZE Wert umgehen. Wüsste jemand wie?

MisterD · Verfasst am: 18.05.2005, 20:12 Titel:

hm mach doch so:

p a s s w o r t

(p+a-s)*(s+w-o)*(r+t[-...])

also immer drei zeichen nehmen, ersten beiden addieren, drittes abziehen und diese Tripel dann multiplizieren.
_________________
"It is practically impossible to teach good programming to students that have had a prior exposure to BASIC: as potential programmers they are mentally mutilated beyond hope of regeneration."
Edsger W. Dijkstra

Quark48 · Verfasst am: 18.05.2005, 20:15 Titel:

Hallo!

Wenn ich mich recht ent-sinne, suchst du nach einer geeigneten Möglichkeit, ein Passwort "verschlüsselt", oder dessen spezifischen Hash-Wert abzuspeichern, dass danach ein Vergleich gezogen werden kann, ob ein eingegebenes Passwort auch wirklich das richtige ist.

Wenn du einen Hash-Wert haben willst, kann ich dir CRC16 oder 32 wirklich allerwärmstens empfehlen. Da haben die Strings "Hallo" und "Hllao" total verschiedene Werte. Die Routine ist nicht groß und passt auf ca. 15-20 Zeilen in eine stinknormale Function rein.

Anwenden könnte man das Ganze dann so:
PRINT CRC32&("Hallo!")
PRINT CRC32&("Haoll!")

Wenn du genau sowas gesucht hast, kann ich dir die Routine(n) per E-Mail oder per PM schicken lächeln

Außerdem kann man solche Prüfsummen auch von großen Dateien, die z.B. 300 KB oder größer sind, erstellen. Funktioniert bei mir jedenfalls prima.
_________________
Grüßle, Stefan lächeln

***
Wenn ein Programm auf nem alten Rechner gut läuft, dann läuft´s auf nem neuen erst recht! happy

Ich habe/hatte keine feste Spange und auch keine Schwester. Der Rest stimmt. Es tut mir leid... :-/

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

mh...
Ja schick sie bitte mal an "gandro ät gmx punkt net", vll.ist es ja wirklich besser...

dreael · Verfasst am: 19.05.2005, 21:09 Titel:

Mein "Senf" zum Titelthema: Um beurteilen zu können, ob dieser Algorithmus sicher oder unsicher ist, braucht es doch etliches an höherer Mathematik. Im Prinzip musst Du beweisen können, dass es zu jedem erzeugten Hash genau ein zugehöriges Passwort gibt, der Hashalgorithmus also eindeutig ist.
_________________
Teste die PC-Sicherheit mit www.sec-check.net

MisterD · Verfasst am: 19.05.2005, 22:03 Titel:

das ist er sicherlich nicht..
_________________
"It is practically impossible to teach good programming to students that have had a prior exposure to BASIC: as potential programmers they are mentally mutilated beyond hope of regeneration."
Edsger W. Dijkstra

gandro · Anmeldungsdatum: 18.02.2005 Beiträge: 108 Wohnort: Schweiz

Jojo · Verfasst am: 21.05.2005, 21:19 Titel:

Um wirklich sicher zu gehen, hier noch ein tipp:

Wenn jemand hart kämpft, um das PW zu ergattern, wird er vielliecht in den RAM schauen (Tools dazu gibts ja)...Also sollte das PW nicht in einer zusmannenhängenden string-variable sein!
_________________
» Die Mathematik wurde geschaffen, um Probleme zu lösen, die es nicht gäbe, wenn die Mathematik nicht erschaffen worden wäre.

MisterD · Verfasst am: 21.05.2005, 22:06 Titel:

ähm nein, es geht ja darum, das PW sicher abzuspeichern um es zu codiert zu vergleichen, das heißt, wenns im Ram unverschlüsselt drin steht hats an genau diesem PC schon mal jemand eingegeben und da wird dann kein anderer drangehen um das ding im Ram zu suchen.. und wenns so wichtig ist kann der User einfach den PC runterfahren und schon existiert nurnoch die verschlüsselte Variante..
_________________
"It is practically impossible to teach good programming to students that have had a prior exposure to BASIC: as potential programmers they are mentally mutilated beyond hope of regeneration."
Edsger W. Dijkstra

code · Anmeldungsdatum: 19.01.2005 Beiträge: 154

dreael

Frisch auf Heise entdeckt:

http://www.heise.de/security/artikel/60711

Dort bietet eine chinesische Firma eine Disk mit Verschlüsselung an und hat dazu das Rad neu erfinden wollen, allerdings mit nur mässigem Erfolg, da es sich relativ leicht knacken lässt.

Dieser Artikel soll nur zeigen, weshalb man möglichst auf bewährte Standard-Verschlüsselungsalgorithmen zurückgreifen sollte. Selbst ein uralter DES wäre für diesen Hersteller immer noch die bessere Wahl gewesen.
_________________
Teste die PC-Sicherheit mit www.sec-check.net