Algor�timo de criptografia... qual usar?

Question

Amigos,

H� algum tempo venho pensando em adotar algumas pr�ticas mais profissionais de seguran�a sobre os dados das minhas aplica��es...

Cebikyn · Answer

Depende da seguran�a que vc quer ter... o Rijndael foi adotado como padr�o de criptografia avan�ada (Advanced Encryption Standard - AES), e � bem eficiente, esse algoritmo belga � o mesmo do Winzip 9.0. O Blowfish � r�pido e forte, foi criado por Bruce Schneier, um especialista no assunto bastante conceituado. O 3 DES � um algoritmo do governo americano que foi testado durante anos e n�o apresentou falhas, consiste em usar um mesmo algoritmo (DES) tr�s vezes com chaves diferentes.

A segunda palheta de componentes aparentemente cont�m apenas componentes para estrair o Hash de arquivos, como o MD4, MD5 e SHA, o Hash serve para identificar se o arquivo (ou mesmo um texto) sofreu alguma modifica��o (no caso de textos, � como s�o comparadas as senhas, afinal um programa decente n�o compara a senha digitada com a armazenada, ele armazena o Hash, ou checksum, e compara ele com o hash do que foi digitado). E � claro que n�o � poss�vel gerar o arquivo ou texto a partir do Hash.

Os demais algoritmos eu n�o conhe�o, mas posso assegurar que usando Rijndael ou blowfish seus arquivos estar�o seguros.

Maxadens · Answer

Me interessei pelos componentes. sera que poderia passar o link de onde adquiriu estes componentes?Obrigado!Ronaldo...

Vinicius2k · Answer

Obrigado Cebis ! Estou estudando agora como utiliz�-los.
Vc poderia me explicar apenas mais duas coisas :
[list:0a775ae649][*:0a775ae649]o tamanho do bloco e tamanho m�ximo da chave influenciam diretamente sobre a velocidade de processamento do algor�timo e na seguran�a ? por exemplo o Blowfish tem BlockSize de 64 e MaxKeySize de 448, j� o Rijndael tem BlockSize de 128 e MaxKeySize de 256...

[*:0a775ae649]na mesma linha de racioc�cio da quest�o anterior, por�m sobre os hashes... o tamanho do hash influencia? o HashSize do MD5 � 128, j� o do SHA varia de 160 a 512... de forma leiga suspeito que o SHA seja �melhor�, digamos assim, do que o MD5, mas me parece que o MD5 � mais utilizado...[/list:u:0a775ae649]
Mais uma vez obrigado.

T+

Vinicius2k · Answer

[quote:f1c3fd2ac6=�RonaldoAraujo�]Me interessei pelos componentes. sera que poderia passar o link de onde adquiriu estes componentes?[/quote:f1c3fd2ac6]Claro ! http://www.torry.net/vcl/security/strong/dcpcrypt.zipT+...

Cebikyn · Answer

[quote:99e86371be=�vinicius2K�]...o tamanho do bloco e tamanho m�ximo da chave influenciam diretamente sobre a velocidade de processamento do algor�timo e na seguran�a ? por exemplo o Blowfish tem BlockSize de 64 e MaxKeySize de 448, j� o Rijndael tem BlockSize de 128 e MaxKeySize de 256...[/quote:99e86371be]O tamanho do bloco influencia na velocidade, quanto maior o bloco, mais mem�ria ele vai consumir e mais r�pido vai ser o processamento (e n�o sei se acontece nos seus componentes, mas em algumas implementa��es, pode ocorrer de alguns bytes finais do arquivo n�o serem criptografados por n�o formarem um bloco completo). A chave tamb�m influencia na seguran�a (maior chave -> maior seguran�a). Mas vc n�o precisa se preocupar muito com a velocidade, que na maioria dos algoritmos atuais � muito boa.[quote:99e86371be=�vinicius2k�]...na mesma linha de racioc�cio da quest�o anterior, por�m sobre os hashes... o tamanho do hash influencia? o HashSize do MD5 � 128, j� o do SHA varia de 160 a 512... de forma leiga suspeito que o SHA seja �melhor�, digamos assim, do que o MD5, mas me parece que o MD5 � mais utilizado...[/quote:99e86371be]Influencia, mas � uma coisa com que vc n�o deve se preocupar, a chance de vc achar dois arquivos com o mesmo Hash no MD5 � de 1 em 2^64 (dois elevado a 64, algo da ordem de quintilh�es), j� a de achar um arquivo que tenha um certo hash � de 1 em 2^128 (passa de 30 zeros...). E o SHA � uma varia��o melhorada do MD4, e algumas pessoas n�o confiam muito n...

Vinicius2k · Answer

Mais uma vez, obrigado Cebis !Precisando, pode contar !  :wink: T+...

Edukobra · Answer

Pessoal, baixei os componentes, mas n�o consegui usa-los.Algu�m poderia me dizer um exemplo simples de como criptografar por exemplo um edit, ou dbedit ?Obrigado....

Vinicius2k · Answer

Bem, tbm estou estudando sua utiliza��o e melhor do que me arriscar a lhe dar um exemplo � sugerir-lhe que fa�a como eu...
Leia atentamente a documenta��o (pasta docs no diretorio de instala��o) que tbm conta com alguns exemplos de utiliza��o.
T+

Edukobra · Answer

Vi os exemplos e quando fui rodar percebi alguns bugs, como n�o entendo muito bem pe�o a ajuda de vcs.Vcs detectaram algum bug ?...

Vinicius2k · Answer

Amigos,Passei esta semana fazendo downloads e testando alguns componentes de cryptografia, basicamente, todos os que est�o no Torry e mais alguns... Acredito ter chegado � conclus�o de qual componente usar : LockBox ( http://www.torry.net/vcl/security/strong/tplockbox.zip ) me parece um projeto compentente e est�vel (vers�o 2.07 e OpenSource), e n�o faz os �milhares� de algor�timos que o DCPCrypt (que foi objeto deste t�pico) faz, mas faz o sufiente : Hashes MD5, SHA-1, LMD e ELF , e os Ciphers DES, 3DES, Blowfish, Rijndael e RSA... menos op��es e mais bem feitas, na minha opini�o. � muito simples de utilizar e muito r�pido. Instala sem problemas em todos os Delphi, C++ e Kylix (ao contr�rio do DCPCrypt  que gera v�rios warnings na instala��o no Delphi 7) e � VCL/CLX. Acho que peca na documenta��o, mas os exemplos s�o bem claros.Sobre os bugs encontrados pelo colega edukobra no DCPCrypt, encontrei v�rios e desisti dele logo no in�cio da semana.Espero ter contribu�do com os colegas que pretendem utilizar alguma forma de cryptografia.Abra�os.Vinicius...

Cebikyn · Answer

[quote:91fe36b23b=�vinicius2K�]Acredito ter chegado � conclus�o de qual componente usar : LockBox ( http://www.torry.net/vcl/security/strong/tplockbox.zip ) me parece um projeto compentente e est�vel (vers�o 2.07 e OpenSource)[/quote:91fe36b23b]Eu uso esse, mas ele n�o foi sempre Open Source, ele come�ou como um projeto comercial, da Turbo Power (que fechou...), da� virou Open Source, o site onde pode ser obtida a �ltima vers�o (por enquanto ainda � a 2.07)  e tamb�m onde est�o os f�runs dos componentes �: http://sourceforge.net/projects/tplockbox...

Vinicius2k · Answer

[quote:4f1aada895=�cebikyn�]o site onde pode ser obtida a �ltima vers�o (por enquanto ainda � a 2.07)  e tamb�m onde est�o os f�runs dos componentes �: http://sourceforge.net/projects/tplockbox[/quote:4f1aada895]Obrigado por mais essa dica Cebis ! com ela percebi q falei besteira aqui... [quote:4f1aada895]Acho que peca na documenta��o, mas os exemplos s�o bem claros.[/quote:4f1aada895] Ele tem uma documenta��o excelente... T+...

Anderson_blumenau · Answer

a� cebis, tens algum material bom sobre o assunto pra me disponibilzar?...

Elias Jr · Answer

Sauda��es gente,ol� Vinicius, tamb�m estou partindo pra criptografia em minhas aplica��es e, assim como voc�, estou utilizando a paleta LockBox. Estou realizando testes com os componentes MD5 e RSA (achei o RSA melhor mas � mais complicado). O Hash MD5 � simples, s� estou com problemas para fazer o reconhecimento das senhas (estou testando 20 senhas de tamanhos e caracteres variados numa tabela). Quanto � algum conte�do, achei alguns exemplos legais de MD5 e RSA no site do ActiveDelphi. Basta dar uma procurada por l�. Espero poder contar com voc�s pra tirar qualquer d�vida e ajudar no que for preciso....

Vinicius2k · Answer

T�pico bem antigo esse... :D

Ol� Elias, eu estou trabalhando, ainda com o LockBox, com Hash MD5 e Cipher Rijndael...
Na verdade, pesquisei um pouco na net e fiquei com a indica��o do Cebis pq n�o tive tempo de estudar detalhadamente as outras op��es...

Quais os problemas que vc est� tendo com o Hash MD5 ? Talvez possamos ajud�-lo...

T+

Elias Jr · Answer

Ol� Vinicius,meu �nico problema � que naum estou conseguindo fazer a verifica��o do hash da senha digitada pelo usu�rio. Ap�s cadastrar o usu�rio com a senha j� criptografada, o usu�rio tenta logar-se no sistema mas naum consigo fazer esta confirma��o. Voc� poderia me ajudar nisso? Valeu cara....

Vinicius2k · Answer

Elias,Vc precisa entender bem as diferen�as... um Hash n�o � um Cipher...O Hash obtido de uma string, ou arquivo, etc, n�o pode ser desfeito : o texto nunca volta ao original.Se vc usou um mecanismo de para hashear a senha cadastrada e grav�-la no banco de dados, vc precisa usar o mesmo mecanismo para hashear o a senha informada e comparar os dois hashes : o gravado e o informado... � um tipo de valida��o direfente de quando se usa criptografia...N�o � isso que vc est� se confundindo ?T+...

Elias Jr · Answer

[quote:6cab3fe50e=�Vinicius2K�]Elias,Vc precisa entender bem as diferen�as... um Hash n�o � um Cipher...O Hash obtido de uma string, ou arquivo, etc, n�o pode ser desfeito : o texto nunca volta ao original.Se vc usou um mecanismo de para hashear a senha cadastrada e grav�-la no banco de dados, vc precisa usar o mesmo mecanismo para hashear o a senha informada e comparar os dois hashes : o gravado e o informado... � um tipo de valida��o direfente de quando se usa criptografia...N�o � isso que vc est� se confundindo ?T+[/quote:6cab3fe50e]Ol� cara,compreendo o que vc falou e � justamente isso que eu estou fazendo...primeiro dou um hash na senha ao cadastrar o usu�rio e depois pego a string digitada no edit e dou outro hash pra fazer a compara��o. Vai a� o c�digo (implementado de um exemplo que peguei):[code:1:6cab3fe50e]password := MD5Hash(edsenha.text);   if ds.dataset.locate(�nome�,nome, &#91;&93;) = false then   begin     showmessage(�Registro n�o encontrado�);     exit;   end   else begin     if password = table.FieldByName(�senha�).asstring then     begin       showmessage(�Senha OK!�);       exit;     end     else       showmessage(�Senha Errada!�);       exit;     end;[/code:1:6cab3fe50e] Este � s� um testezinho que fiz......

Gandalf.nho · Answer

Eu uso atualmente um pacote chamado [b:6ef7167d50]Delphi Encryption Compendium Part I[/b:6ef7167d50] que usa apenas um componente para v�rios tipos de padr�es de criptografia (atualmente 40 Ciphers e 23 Hashs) e � freeware. Um dos lugares onde ele pode ser encontrado � no Torry�s [url]http://www.torry.net/vcl/security/strong/chipher.zip[/url]
Ele vem com um demo bem exemplificado.

Vinicius2k · Answer

Elias,Exiba num ShowMessage, por exemplo, o hash da senha digitada e o conte�do salvo no BD... Meu palpite � que o texto que originou o hash salvo � diferente do texto que origina o hash digitado... Propriedades Charcase dos TEdits originais e digitado, por exemplo, pode fazer os hashs serem completamente diferentes...Outra possibilidade � que vc tenha no BD dois nomes iguais, com senhas diferentes... o locate encontrar� o primeiro, ent�o a compara��o pode n�o ser bem sucedida, dependendo da senha digitada...Se n�o for isso, esta fun��o q vc est� utilizando (MD5Hash) eu nunca utilizei... e n�o sei se seria sua, mas esta � a minha fun��o para hashear strings com o MD5, baseada nas units do LockBox :[code:1:4ee6c091ac]function HashMD5Str(S: String): String;var MD5Digest: TMD5Digest;begin  StringHashMD5(MD5Digest, S);  Result:= BufferToHex(MD5Digest, SizeOf(MD5Digest));end;[/code:1:4ee6c091ac]T+...

Cebikyn · Answer

[quote:6cac17db7e=�Anderson_Blumenau�]a� cebis, tens algum material bom sobre o assunto pra me disponibilzar?[/quote:6cac17db7e]Sim. Vc pode visitar a se��o de criptografia do meu LinkBlog, onde vc encontrar� os links com as minhas fontes mais recentes:http://www.linkblog.com.br/usuarios/cebikyn/criptografiaOu ainda o meu site sobre criptografia (em constru��o...):http://paginas.terra.com.br/informatica/cebikyn/seguranca/index.htmPrecisando de ajuda � s� pedir!...

Motta · Answer

Gostei deste livro , uma boa literatura inicial

SEGURANCA DE DADOS COM CRIPTOGRAFIA METODOS E ALGORITMOS
DANIEL BALPARDA DE CARVALHO

ISBN: 8586846384
Editora: BOOK EXPRESS
N�mero de p�ginas: 252
Encaderna��o: Brochura
Lan�amento: 11/04/2000

http://www.siciliano.com.br/livro.asp?orn=LSE&Tipo=2&ID=143253

Cebikyn · Answer

Apenas um aviso sobre os Hashes MD:O Hash MD4 foi quebrado, e como o MD5 � da mesma fam�lia, deve ser considerado inseguro. Como alternativa, deve-se usar SHA-1 e RipeMD-160. Sendo que o �ltimo gera hashes de 160bits, contra os 128 do MD5.Nota: 160 bits quer dizer que existem 2^160 (dois elevado � 160� pot�ncia) hashes diferentes. Por analogia, 128 bits representam 2^128 hashes diferentes. N�o h� com o q se preocupar, esses n�meros s�oo bem grandes......

Delphi32 · Answer

Agora eu fiquei com uma d�vida:Imagine que eu queira gravar numa tabela usu�rios do meu banco o nome de usu�rio e senha criptografado. O que seria melhor para isso? Usar um cypher ou um Hash?At�!...

Delphi32 · Answer

sobe......

Vinicius2k · Answer

Para o nome do usu�rio, particularmente, n�o vejo necessidade... mas se quiser use um cypher, pq um hash n�o � recuper�vel, logo, vc n�o vai poder obter uma lista de usu�rios...
Para a senha use um hash, sem d�vida...

T+

Delphi32 · Answer

S� mais uma d�vida: Em qual pacote encontro o RipeMD-160?...

Delphi32 · Answer

ops... encontrei no DCPCrypt...Valeu!...

Delphi32 · Answer

err... s� tem um problema... aparentemente com o RipeMD-160 n�o � poss�vel �hashear� uma string. Ou �?...

Bruno Belchior · Answer

tem um �timo site sobre o assunto que retrata toda a l�gica [url]www.numaboa.com[/url]...

Anderson_blumenau · Answer

muito bom...

Alessandro · Answer

Ol�, sei que o post j� � antigo, mas se desejar c�digos para refer�ncia em C# deixo aqui o link de um reposit�rio meu no GitHub: https://github.com/alecgn/crypthash
O reposit�rio/projeto basicamente possui um Console App feito em .NET Core e uma DLL feita em .NET Standard, com suporte a criptografia sim�trica autenticada (AES 256 bits em modo CBC com autentica��o HMACSHA256) e hash (MD5, SHA1, SHA256, SHA512 e BCrypt), para textos e arquivos, inclusive com funcionalidade de verifica��o de integridade/checksum de arquivos e textos. L� no README do reposit�rio tem links para baixar j� compilado em modo auto-contido, ou seja, executa sem a necessidade de ter o framework instalado... Abra�os!

Alessandro · Answer

Ol�, sei que o post j� � antigo, mas se desejar c�digos para refer�ncia em C# deixo aqui o link de um reposit�rio meu no GitHub: https://github.com/alecgn/crypthash
O reposit�rio/projeto basicamente possui um Console App feito em .NET Core e uma DLL feita em .NET Standard, com suporte a criptografia sim�trica autenticada (AES 256 bits em modo CBC com autentica��o HMACSHA256) e hash (MD5, SHA1, SHA256, SHA512 e BCrypt), para textos e arquivos, inclusive com funcionalidade de verifica��o de integridade/checksum de arquivos e textos. L� no README do reposit�rio tem links para baixar j� compilado em modo auto-contido, ou seja, executa sem a necessidade de ter o framework instalado... Abra�os!