Wie sicher sind Daten im Java Programm?

[mitse]

Da der Versand von Attachments ja auf diese Art nicht geht: http://www.java-forum.org/java-basics-anfaenger-themen/167202-mailprogramm-aufrufen.html möchte ich das anders lösen.

Dazu möchte ich javax.mail verwenden und dazu noch unseren Mailserver zum Versand der Files ins Programm direkt einbauen. Also sind host, user und Passwort direkt im Code im Jar File enthalten, welches ich dem User zur Verfügung stelle. Er kann dann direkt per Knopfdruck Attachments an mich senden.

Die Frage ist nun, wie sicher ist das?
Können host, user und Passwort aus dem jar File extrahiert werden?

 

[Thallius]

Eine Sache von 5 Minuten

Gruß

Claus

 

[Gucky]

JAR Files sind einfach nur ZIP Dateien mit einer anderen Endung. Mit 7ZIP, WinRar, WinZIP und wie sie alle heißen kann man einfach das JAR öffnen und sich alles darin ansehen. Sogar Java selbst bietet Wege mit den ZipStreams. Wenn die Daten im Code enthalten sind, dann lädst du dir den JDC GUI herunter, ziehst das JAR rein und hast den Code in Klartext.
Die Daten solltest du noch anderweitig sichern.

 

[Flown]

Eine Sache von 5 Minuten

Wenn man noch einen Kaffee holen geht, dann ja.

 

[Thallius]

Ich würde das Ganze über einen Webservice lösen an den sich der User vorher anmelden muss. Dann weißt du zumindest wenn Du Spam bekommst wer seine Login Daten rausgegeben hat und kannst den User sperren.

Anderes Alternative das Ganzein ein C-Tool auszulagern und dort das Passwort über einen RSA key zu sichern welcher in mehreren Strings im Code verteilt ist und noch mit XOR oder ähnliche bearbeitet wird. Das macht es dann schon recht schwer.

Gruß

Claus

 

[dzim]

Ist aber auch nur "Security through obscurity"...

Warum aber soll eigentlich der jeweilige User nicht einfach seinen Nutzernamen/Passwort via irgendeiner Interaktion eingeben können? Das verstehe ich nicht. Oder kennen die Nutzer ihren jeweiligen Login etwa gar nicht oder sollen ihn nicht kennen?

 

[Thallius]

Ich denke mal bisher gibt es noch gar keinen Login in der Software.

 

[dzim]

Ja dann halt richtig und gleich einen Dialog mit der Abfrage. So schön es vielleicht auch ist, jemanden nur ein Tool in die Hand zu drücken und er kann dann einfach loslegen: Bei Nuternamen/Passwörtern wäre ich da immer vorsichtig, die irgendwo einzubetten.

Ja wenn der Zielserver Client-Certificates kann, spricht aber nichts dagegen: Nutzer das Tool geben, Authentisierung via Client-Zertifikat und gut ist. Dann müsste man auch keine Hexerei mit dem Nutzerdaten machen.

 

[mitse]

Es handelt sich nicht um einen Login irgendwo. Der User hat das Programm auf seinem Rechner, erstellt damit eine Datei die per Knopfdruck als Attachment an eine vorgegebene Emailadresse gesendet werden kann.

Naja, ich hatte schon daran gedacht das der User selber seinen Host, Usernamen und Passwort einträgt, aber die wenigsten haben überhaupt einen bzw. wissen ihren Mailhost und den Usernamen und das Passwort dazu. Ich wills halt dem User so einfach wie irgend möglich machen,

Ich habs mit der im ersten Post erwähnten Variante versucht, aber so mancher Testuser hatte gar kein Mailprogramm auf seinem Rechner installiert, geschweige denn, das das Attachment nicht mit dabei ist.

 

[DrZoidberg]

Erstelle einen einfachen Webdienst, an den die Daten gesendet werden. Der Server kann das Ganze dann auf Korrektheit prüfen und an deine email Adresse weiterleiten.