Passwörter & Java

[chorris]

Hallo,

hab ein kleines kommandozeilenbasiertes Programm geschrieben in dem es unter anderem auch eine Passwortabfrage gibt.
Das richtige Passwort wird in einer Variablen vom Typ String gespeichert.

Jetzt meine Fragen:
1. Ist es möglich das Passwort so zu "verstecken", dass es in der .class Datei, wenn diese mit einem Texteditor geöffnet wird, nicht mehr leserlich ist?
2. Gibt es eine Möglichkeit das Passwort bei der Eingabe zu maskieren, z.B.mit *** ?
3. Wie sollte generell mit Passwörtern in java verfahren werden?

Bye,

 

[Schandro]

zu 1 und 3:
Es geht nicht. Die absolut einzige sichere Möglichkeit ist es, dass du einen Server bereitstellst mit dem deine Applikation kommunizieren kann um irgendwelche geheimen Informationen zu bekommen. Dieser Server erwartet dann logischerweise ein Passwort von der Applikation, bevor er was zurücksendet.
Alles was der Anwender lokal hat kann er auch benutzen.

 

[Meru]

Zu Frage Nummer 2: JPasswordField

 

[Schandro]

JPasswordField

... kommandozeilenbasiertes ...

.-

 

[Localtime]

Hi,

zu 1.)

Du könntest das Passwort verschlüsselt speichern (Anleitungen dazu gibt es hier genug).

Wird dann das Passwort im JPasswordField eingegeben, verschlüsselst Du es in der selben Weise und vergleichst dann.
So hast Du zumindest einen "Sichtschutz", da das Passwort nirgends im Klartext zu sehen ist.


Gruß Localtime

 

[madboy]

Das hängt meiner Meinung nach davon ab, was mit dem Passwort passieren soll. Willst du nur mit korrektem Passwort Zugang zu deinem Programm erlauben, würde ich eine SHA1 (oder MD5)-Summe des Passwortes in deinem Programm speichern. Willst du das Programm benutzen, berechnest du aus dem eingegebenen Passwort wieder die SHA1 (oder MD5)-Summe und vergleichst diese. Dadurch musst du dein Passwort nicht im Klartext im Programm speichern.

Allerdings gilt, was Schandro schon geschrieben hat: Wenn das Programm erst mal auf dem Rechner eines potenziellen Angreifers ist, hast du schon so gut wie verloren (Stichwort decompiler).
Und wie immer: man kann beliebig viel Aufwand treiben. Die Frage ist nur: ist es das auch wert? Absolute Sicherheit existiert nicht.