Verschlüsselung in Java

[Guest]

Hallo,

ich bin neu im Forum und habe eine Frage bei der ich nicht ganz genau weiß in welches Forum sie am besten passt also schreibe ich sie einfach mal hier rein.
Ich programmiere gerade ein webmail System mit Courier-Imap, Tomcat , Struts und Hibernate. Ich möchte die Passwörter der Benutzer nur verschlüsselt speichen ohne dazu natives SQL zu benutzen. Hibernate 2 ermöglicht es aber wenn überhaupt nur mit sehr unschönen Methoden das Passwort zu verschlüsseln also möchte ich die Verschlüsselung direkt über Java implementieren. Dazu muss Java den Verschlüsselungsalgorithmus des Systems nutzen also den der auch bei der Erstellung einfacher Userpasswörter über passwd genutzt wird. Leider habe ich momentan noch überhaupt keine Ahnung von den Kryptologiebibliothken in Java.

Kann mir vielleicht jemand ein kleines Codestück zur Presäntion posten oder auf ein vorhandenes Tutorial verweisen.
Wäre echt dankbar.

Danke

David

 

[Guest]

package hilde von javax.security ist hilfreich.
willst du die passwoerter auch entschluesseln koennen oder reicht es dir einen hash zu erstellen und dann die passweorter rehashen und gegeneinder zu vergleichen?

 

[mic_checker]

Schau dir mal die JCA/JCE an, wenns um Kryptographie geht.

In der FAQ steht auch was zu Hashfunktionen in Java.

 

[Gast]

wummm. das ging ja richtig schnell. Es wäre natürlich hilfreich die Passwörter im nochmal entschlüsseln zu können aber nicht unbedingt notwendig. Es muss halt nur sicher sein das java den Systemalgorithmus nutzt bei linux ist TRIPLE DES. Glaube ich zumindest.

Wäre echt dankbar wenn Ihr mir ein Stück Code mit nem beipspiel posten könnten. Nichts großes sondern nur wie ich "BLA" verschlüssele.

Danke

David

 

[Guest]

ein schoens beispiel fuer des javaalmanac.com/egs/javax.crypto/DesString.html
ansonnsten auch lesenswert ein hash mit md5
http://javaalmanac.com/egs/java.security/Digest.html

kind regards

 

[Gast]

Okay. Vielen dank. Das hat mir echt weiter geholfen. Ach so, noch eine Frage:

Ich arbeite ja mit Courier-Imap. Manuell benustze ich die mysql funcktion encrypt("bla") um ein neues Passwort einzufügen. Wenn ich nun einfach ein neues Passwort mit DES verschlüssele und in die Datenbank einfüge müsste courier doch eigentlich nicht mehr in der Lage sein die Passwörter zu überprüfen.... es ist ja kein key vorhanden.....wie bewerkstelligt das denn mysql?

Tut mir Leid wenn ich jetzt 'nen Denkfehler habe....aber in Kryptologie bin ich noch ein newbie.

Danke

David

 

[mic_checker]

Schaue zu Hashfunktionen auch in die FAQ

Ansonsten kannst du mit Cipher ver/entschlüsseln. Such ma im Forum.

 

[Gast]

Danke. Ich bin jetzt schon Fan dieses Forums. Super schnelle und gute Antworten.

David

 

[dgarcia]

Okay. Ich muss das Thema noch mal aufgreifen. Habe mir nun alle FAQ's und Beispiele angeguckt. Das Problem was ich jetzt habe ist das Courier die Hashs nicht miteinander verlgleichen kann da Courier einen anderen Algorithmus benutzt, ich habe da keinen Einfluss drauf da er fordert das die Passwörter mit mysql encrypt verschlüsselt werden. Soweit mir bekannt ist ruft Encrypt einfach nur die Unix crypt Funktion auf. Kann mir jemand sagen welchen Algorithmus ich benutzen muss? Bitte steinigt mich nicht für meine Fragen, ich habe noch nicht so viel Erfahrung ................. ich werde dran arbeiten.

Grüße

David

 

[Guest]

tja, warum nimmst du eigentlich nicht die courier authlib? ich kenne das produkt nicht, list sich aber gut klick mich

den weg ueber crypt kannst du vergessen

man:crypt sagt

DESCRIPTION
crypt is the password encryption function. It is based on the Data Encryption Standard algorithm with variations intended (among other things) to discourage use of hardware implementations of a key search.

key is a user's typed password.

salt is a two-character string chosen from the set [a–zA–Z0–9./]. This string is used to perturb the algorithm in one of 4096 different ways.

By taking the lowest 7 bits of each of the first eight characters of the key, a 56-bit key is obtained. This 56-bit key is used to encrypt repeatedly a constant string (usually a string consisting of all zeros). The returned value points to the encrypted password, a series of 13 printable ASCII characters (the first two characters represent the salt itself). The return value points to static data whose content is overwritten by each call.

Warning: The key space consists of 2**56 equal 7.2e16 possible values. Exhaustive searches of this key space are possible using massively parallel computers. Software, such as crack(1), is available which will search the portion of this key space that is generally used by humans for passwords. Hence, password selection should, at minimum, avoid common words and names. The use of a passwd(1) program that checks for crackable passwords during the selection process is recommended.

The DES algorithm itself has a few quirks which make the use of the crypt(3) interface a very poor choice for anything other than password authentication. If you are planning on using the crypt(3) interface for a cryptography project, don't do it: get a good book on encryption and one of the widely available DES libraries.

die opengroup sagt sogar klick mich

es gibt also keine echte standard implementierung.