Isolated Storage Sicherheit

[Guybrush Threepwood]

Wie sicher ist der Isolated Storage vor fremdem Zugriff?

Also zum Beispiel soll der Benutzer in einer Anwendung ein Passwort speichern können welches verwendet wird um ihn an einem Proxy Server zu authentifizieren. Wenn das jetzt von der Anwendung im Isolated Storage abgelegt wird, wer sonst kann da noch alles drauf zugreifen?

[xk4fu]

kannst du das nicht zusätzlich als md5 verschlüsselt abspeichern?

dann wärs doch sicher, oder?

[Guybrush Threepwood]

und wie willst du dich mit dem Hash dann authentifizieren?

[Bubble]

als md5 verschlüsselt abspeichern?

Dies ist kein Verschlüsselungsverfahren, da es nicht eindeutig umkehrbar ist.

Wie sicher ist der Isolated Storage vor fremdem Zugriff?

Wie sicher vor wem?

[xk4fu]

Dies ist kein Verschlüsselungsverfahren, da es nicht eindeutig umkehrbar ist.

Wie sicher vor wem?

wieso?

du wandelst ja nicht von der md5 verschlüsselung wieder zum passwort um, sondern vergleichst die beiden schlüssel:

meinetwegen legst du ein passwort namens test an

md5 verschlüsselt wäre das z.b. 098f6bcd4621d373cade4e832627b4f6

und wenn du das passwort eingibst, verschlüsselt du das eingegebene passwort (test) erneut und vergleichst dann 098f6bcd4621d373cade4e832627b4f6 mit 098f6bcd4621d373cade4e832627b4f6

wenn eine verschlüsselung so leicht umkehrbar wäre, dann wäre sie doch sinnlos, oder nicht

[Guybrush Threepwood]

Wie sicher vor wem?

Vor allem die das Passwort nicht lesen können sollen, also im Prinzip allen anderen Benutzerkontexten

du wandelst ja nicht von der md5 verschlüsselung wieder zum passwort um, sondern vergleichst die beiden schlüssel:

Lies das erste Posting

[xk4fu]

ja, das is mir schon klar...

ich hab ja bubble zitiert und wollte damit nur sagen, dass man einen schlüssel nicht wirklich umkehren kann

[Guybrush Threepwood]

Das ist keine Verschlüsselung sondern ein Hashverfahren, da hat Bubble recht.

Hat aber nichts mit dem Problem zu tun

[Guybrush Threepwood]

Also so wie es aussieht ist das für den oben genannten Anwendungsfall nicht gedacht:

As I stated previously, isolated storage is secured from less-trusted applications, but trusted computer users, administrators, and trusted code have full access to the file system in which isolated storage files are kept.

[Bubble]

Vor allem die das Passwort nicht lesen können sollen, also im Prinzip allen anderen Benutzerkontexten

Aber nicht gegenüber dem Administrator?

Wenn es nur um andere Benutzerkonten geht, müssten richtig eingestellte Dateirechte ausreichen. Vielleicht kannst Du die Daten auch auf einem Server ablegen.

[Guybrush Threepwood]

Doch ich denke auch vor dem Administrator und eigentlich sogar vor anderen Anwendungen im selben Benutzerkontext wenn ich so darüber nachdenke. Weil die Anwendung ist eine ASP.Net Anwendung welche ja auf dem Server dann im Kontext irgendso eines IIS Benutzerkontos laufen würde (standardmäßig) und andere Anwendungen die auf dem IIS laufen ja nicht einfach so das Kennwort auslesen können sollen.

Hmm je länger ich drüber nachdenke desto sicherer bin ich mir das das nicht absolut sicher funktioniert...