Forenbeiträge von hinrich

Datenbank-Passwort-String verschlüsseln

H

18.11.2008 - 20:27 Uhr

Hallo,

habe nun, nachdem die Suche hier wieder funktioniert, eine Lösung von michIG gefunden, die genau das tut, was ich brauche. Das Ding habe ich in eine statische Klasse verpackt, so dass ich diese im Ergebnis mit einer Befehlszeile verwenden kann (Namespace ggf. anpassen):


using System;
using System.IO;
using System.Security.Cryptography;
using System.Text;

namespace CCRM.Tools.Misc
{
    /// <summary>
    /// Verschlüsselung
    /// </summary>
    /// <remarks>
    /// Source für die String-Verschlüsselung von michIG von myCSharp.de
    /// </remarks>
    static public class TripleDES
    {
        /// <summary>
        /// Diese Methode verschlüsselt den mitgegebenen String
        /// </summary>
        /// <param name="plainMessage">Zu verschlüsselnder String</param>
        /// <param name="password">Passwort mit dem der String verschlüsselt werden soll</param>
        /// <returns>Den verschlüsselten String</returns>
        public static String Encrypt(String plainMessage, String password)
        {
            TripleDESCryptoServiceProvider des = new TripleDESCryptoServiceProvider();
            des.IV = new byte[8];
            PasswordDeriveBytes pdb = new PasswordDeriveBytes(password, new byte[0]);
            des.Key = pdb.CryptDeriveKey("RC2", "MD5", 128, new byte[8]);
            MemoryStream ms = new MemoryStream(plainMessage.Length * 2);
            CryptoStream encStream = new CryptoStream(ms, des.CreateEncryptor(), CryptoStreamMode.Write);
            byte[] plainBytes = Encoding.UTF8.GetBytes(plainMessage);
            encStream.Write(plainBytes, 0, plainBytes.Length);
            encStream.FlushFinalBlock();
            byte[] encryptedBytes = new byte[ms.Length];
            ms.Position = 0;
            ms.Read(encryptedBytes, 0, (int)ms.Length);
            encStream.Close();
            return Convert.ToBase64String(encryptedBytes);
        }

        /// <summary>
        /// Diese Methode entschlüsslt den mitgegebenen String
        /// </summary>
        /// <param name="encryptedBase64">zu entschlüsselnder string</param>
        /// <param name="password">Passwort mit dem der String verschlüsselt wurde</param>
        /// <returns>Den entschlüsslten string</returns>
        public static String Decrypt(String encryptedBase64, String password)
        {
            TripleDESCryptoServiceProvider des = new TripleDESCryptoServiceProvider();
            des.IV = new byte[8];
            PasswordDeriveBytes pdb = new PasswordDeriveBytes(password, new byte[0]);
            des.Key = pdb.CryptDeriveKey("RC2", "MD5", 128, new byte[8]);
            byte[] encryptedBytes = Convert.FromBase64String(encryptedBase64);
            MemoryStream ms = new MemoryStream(encryptedBase64.Length);
            CryptoStream decStream = new CryptoStream(ms, des.CreateDecryptor(), CryptoStreamMode.Write);
            decStream.Write(encryptedBytes, 0, encryptedBytes.Length);
            decStream.FlushFinalBlock();
            byte[] plainBytes = new byte[ms.Length];
            ms.Position = 0;
            ms.Read(plainBytes, 0, (int)ms.Length);
            decStream.Close();
            return Encoding.UTF8.GetString(plainBytes);
        }
    }
}

in der datenbank speichert man normalerweise nur den md5 hash. Somit kann weder Betreiber, noch ein potentieller Hacker das Passwort auslesen, wenn er sich die Daten anschaut. Zum abgleichen bildet man einfach von der User-Eingabe wieder den Hash und prüft diesen.

Nun ist es aber recht unkomfortabel und unsicher, wenn der Benutzer einer Anwendung das Datenbank-Kennwort kennen muss, um das Programm nutzen zu können. Jeder Benutzer hat sein eigenes Kennwort, um die Software bedienen zu können, aber die Software selbst sollte schon ohne äußere Hilfe mit dem Datenbank-Server kommunizieren können. Meiner Meinung nach jedenfalls.

Vielen Dank für die Anmerkungen.

Hinrich

Datenbank-Passwort-String verschlüsseln

H

Forenbeiträge von hinrich Ingesamt 116 Beiträge