نقاش حول أفضل طريقة للتعامل مع الـ Encryption Key

عادة اقوم بتخزين مفتاح تشفير master password في البرنامج في مكان يصعب الوصول إليه في حال قام أحدهم بعمل هندسة عكسية هذه طريقة ربما تنفعني في برامج مصنوعة بالدالفي أو لازريس حيث يصعب عكس الكود ولكن في الجافا فهو سهل بسيط

يوجد طريقة أخرى وهي استعمال الهاش إما md5 أو SHA

هذه الطريقة آمنة حتى ولو وصل أحدهم إلى الهاش فهو لا يمكن عكسه

بالتوفيق

أهلا أبو عبد البر +1

اقتباس

عادة اقوم بتخزين مفتاح تشفير master password في البرنامج في مكان يصعب الوصول إليه

 

تقوم بتخزينه في البرنامج !! كيف ؟

اقتباس

 

يوجد طريقة أخرى وهي استعمال الهاش إما md5 أو SHA

هذه الطريقة آمنة حتى ولو وصل أحدهم إلى الهاش فهو لا يمكن عكسه

إذا كنت تتحدث عن الهاش الطبيعي (يعني بدون salt) فعملية كسره بسيطة جداً إذا كانت قاعدة البيانات embedded و ليست client-server (كما هو الحال هنا)، كل ما على الـ hacker هو تغيير الهاش و إدخال كلمة المرور الموافقة للهاش الجديد.

إذا كنت تتحدث عن الـ salted hashes فالصعوبة تكمن في كيفية التحقق من الـ encryption key.

اقتباس

 

إذا كنت تتحدث عن الهاش الطبيعي (يعني بدون salt) فعملية كسره بسيطة جداً إذا كانت قاعدة البيانات embedded و ليست client-server (كما هو الحال هنا)، كل ما على الـ hacker هو تغيير الهاش و إدخال كلمة المرور الموافقة للهاش الجديد.

هذا إذا كان الهكر يعرف دالة الهاش التي استخدمتها ولكن إذا لم يعرفها فكيف سيغيره ، إليك مثالا للتوضيح

لتكن هذه دالة الهاش بلغة الجافا

private String hash(String password)
    {
        
        return SHA-3(md5(SHA-3(md5(SHA−3(password)))));
        
    }

فالهكر لا يعرف كيف يضع هاش جديدا إلا إذا عرف طريقة التشفير

في هذه الحالة، هل أنت متأكد أن علاقة الـ composition بين الـ bijective functions تُولّد بالضرورة دالة bijective ؟؟

لم أفهم قصدك

ما هي نسبة حدوث الـ collision في الدالة السابقة ؟

• لا يمكنني البرهنة على ذلك رياضيا ولكن أنا على يقين جازم أن لن يحدث أي تصادم بين الهاشات الناتجة عن هذه الدالة

ok, je vois, je pose ma question autrement : quelle est la probabilité de casser ce hash en utilisant une attaque par force brute ou un dictionnaire de données ?l

هذا يعتمد على مدى تعقيد كلمة السر فكلما كانت أكثر تعقيدا كانت احتمالات brute force أكثر

وفي تعقيد مثل هذا Sdfrt14@"#Opôjvhytg41UH"& سيكون احتمال وصول الهكر إلى كلمة السر واحد من ملايير ملايير ملايير ....

في الأخير يجب أن تعرف أن الهاش ما هو إلا مُصَعِّب  لعملية الاقتحام العنيف فقد تصل مدة التجريب سنين ولكن تنبه... في وجود السوبر كومبيوتر لدى الحكومات الكبرى  أصبح الكسر أسرع  بملايين ملايين  المرات

+1

طيب، لنفترض أن المستخدم أدخل كلمة المرور و تم التأكد منها بنجاح :)

السؤال الموالي الذي يطرح نفسه بإلحاح هو كيف يُمكنني التأكد من أن ملف قاعدة البيانات لم يتعرض للتعديل من قبل أحدهم ؟

il s'agit de l'intégrité de la base de données, je ne sais pas comment on l'appelle en arabe

مرة أخرى استعمل  hash  لملف قاعدة البيانات لإنشاء بصمة إلكترونية

كلما تقوم بتعديل على قاعدة البيانات هشهش الملف واحفظ الهاش في مكان آمن حتى لا تصل إليه أيدي التخريب والعبث

ثم كلما تسجل دخولك إلى البرنامج هشهش ملف قاعدة البيانات ثم قارن الهاش الناتج بالهاش المحفوظ عندك في مكان آمن

على العموم يوجد طريقة أخرى لتأمين embedded database وذلك بإنشاء هارد ديسك افتراضي مشفر ، يوجد أدوات وبرامج تعمل لك ما تريد

اقتباس

 

يوجد طريقة أخرى لتأمين embedded database وذلك بإنشاء هارد ديسك افتراضي مشفر

هل من تفصيل ؟ علما أنني أريد حلولا تعتمد على تغيير الكود فقط، بدون استخدام أدوات خارجية.

اقتباس

 

قارن الهاش الناتج بالهاش المحفوظ عندك في مكان آمن

و أين هو هذا المكان الآمن ؟؟

اقتباس

 

علما أنني أريد حلولا تعتمد على تغيير الكود فقط، بدون استخدام أدوات خارجية

إذاً انس الأمر

اقتباس

 

و أين هو هذا المكان الآمن ؟؟

لو كنت على اللينكس فسيكون الجواب سهلا واما على نظام النوافذ فالمكان الآمن سيكون بالتاكيد خارج جهاز الكمبيوتر وليكن مثلا فلاش ديسك

اقتباس

 

اما على نظام النوافذ فالمكان الآمن سيكون بالتاكيد خارج جهاز الكمبيوتر وليكن مثلا فلاش ديسك

En faisant ceci, l'application perdrait absolument sa portabilité puisque si l'utilisateur voudrait accéder à sa base, il devrait avoir une clé USB !!l

ملاحظة : استعمل اللغة العربية ما استطعت ^_^

انا أعطيتك مثالا إذ يمكن ان تخزن ملف الهاش في السحابة كمثال آخر، المهم دبر حالك

وعلى كل حال هذا الملف ليس اساسي في عمل البرنامج وإنما هو للتأكد فقط من أن قاعدة البيانات لم تصلها أيدي العبث

+1

أشكرك على المتابعة.

بالنسبة لتخزين الهاش، برنامج KeePass مثلا يُمكنه معرفة ما إذا كانت قاعدة البيانات قد تعرضت للتعديل أم لا دون أن يطلب منك تخزين الهاش.

هل لديك و لو فكرة تخمينية عن التقنية التي يستخدمها للتحقق من سلامة و تكامل قاعدة البيانات ؟

معرفة هل هذا الشيء تم تعديله أم لا   ،  لا تتم إلا بالمقارنة مع صفة الشيء من قبل كيف كانت ...هذا أمر منطقي

أنت لو رايت صديقا لك وقلت له قد تغيرت فذلك لأنك قارنت صورته الآن بصورته المخزنة في دماغك فوجدت التغيير

الآن هذا البرنامج لم أطلع على كيفية عمله ولكن هو بالتأكيد سيستعمل طريقة الحفظ والمقارنة لكي يعرف هل حدث تغيير على قاعدة البيانات ، ربما لم يطلب منك ذلك ولكن هو بالتأكيد يقوم بذلك بطرقة خفية

ok, merci pour l'aide

مرحبا وأهلا وسهلا

تذكرت موضوعا مثل موضوعك

Oui, j'ai déjà vu SQLCipher, il représente justement une bonne solution pour le cryptage des bases de données mais malheureusement, il n’existe pas un JDBC pour JavaSE

جرب هذا https://github.com/sjlombardo/sqlitejdbc

أنا أتحدث عن JDBC لـ SQLCipher و ليس SQLIte فقط.

حسب ما قرأت في موقع stackoverflow فإنه لا توجد حتى الآن نسخة مجانية : JDBC for SQLCipher

هذه النسخة من JDBC تدعم الاتصال ب SQLCipher

انظر إلى  ملف الاختبار في نفس المشروع https://github.com/sjlombardo/sqlitejdbc/blob/master/src/test/ConnectionTest.java

انظر إلى القطعة منه

 @Test public void sqlCipherTest() throws SQLException {
File testdb = new File("cipher.db");
if (testdb.exists()) testdb.delete();
Connection conn = DriverManager.getConnection("jdbc:sqlite:cipher.db");
PreparedStatement prep = conn.prepareStatement("pragma key='123';");
prep.executeUpdate();
prep.close();
prep = conn.prepareStatement("create table foo (bar integer);");
prep.executeUpdate();
prep.close();
prep = conn.prepareStatement("insert into foo (bar) values (1);");
prep.executeUpdate();
prep.close();
conn.close();
conn = DriverManager.getConnection("jdbc:sqlite:cipher.db");
ResultSet rs = null;
try {
prep = conn.prepareStatement("select bar from foo");
rs = prep.executeQuery();
assertTrue(false);
}
catch (java.sql.SQLException e)
{
prep.close();
assertTrue(true);
}
conn = DriverManager.getConnection("jdbc:sqlite:cipher.db");
prep = conn.prepareStatement("pragma key='123';");
prep.executeUpdate();
prep.close();
prep = conn.prepareStatement("select bar from foo");
rs = prep.executeQuery();
assertTrue(rs.next());
assertEquals(rs.getInt(1), 1);
prep.close();
conn.close();
}