Stellungnahme zum Test in der Computerbild

[sec_freak]

Das ist unmöglich, da es verschlüsselt im Speicher gehalten wird.
Zum Test kann man z.B. den WinHex-Editor nehmen. » http://www.x-ways.net/index-d.html

Tut mir leid, aber ich habe es gerade noch einmal überprüft. Das Datenbank-Passwort taucht machmal als normaler Text und machmal als Unicode im Speicher auf. In seltenen Fällen ist es auch gar nicht zu finden.

Ich habe dazu folgendes gemacht (mit der USB-Version 5.20 unter XP mit SP2):
1. eine neue Datenbank angelegt mit dem Benutzernamen "test" und dem Passwort "%%/ffpp!!gg--"
2. um ein paar Daten zu haben, habe ich den Beispieldatensatz für E-Mail vier mal dupliziert, dann die DB gespeichert und 1PW komplett beendet (Prozess nicht mehr aktiv).
3. 1Pw wieder gestartet, Datenbank "test" geöffnet, Passwort eingegeben
4. Um das Szenario etwas realistischer zu gestalten habe ich dann von einem Eintrag den Schnellzugriff geöffnet und den Benutzernamen und ein Passwort nach Wordpad via Drag&Drop übertragen. Dann wieder den Schnellzugriff-Dialog zu und den Sperren-Button aktiviert.
5. Dann HxD geöffnet und den Speicher von onepwusb.exe geöffnet und nach dem Datenbank-Passwort gesucht und siehe da ab Adresse 0x00B690E0 fand sich das Passwort.

Da das Passwort nicht immer und in der gleichen Form sichtbar ist, tippe ich auf einen Buffer, der nicht vor dem Freigeben gelöscht wurde.

BTW. Heiko, im ersten Posting in diesem Thread schriebst du:

Diese temporäre Variable, die nur beim Anmelden vorhanden ist, wird von Windows nicht zuverlässig freigegeben.

Dir ist schon bewußt, dass Windows beim Freigeben von Variablen diese nicht überschreibt, sondern lediglich als frei markiert. Wenn man Glück hat überschreibt die nächste Speicheranforderung dann die Daten, aber darauf sollte man sich nicht verlassen. Wenn Daten nicht mehr im Speicher auffindbar sein sollen, muss man sie vor dem Freigeben überschreiben.

Gruß sec_freak.

[R.a.l.f.]

Ich habe das mehrmals so durchgeführt und hatte eher inkonsistente Ergebnisse:
Mal war das Masterpasswort überhaupt nicht zu finden (nicht mal im ungesperrten Modus), mal war im ungesperrten Modus sowohl die Text-als auch die Unicode-Version zu finden, dafür aber im gesperrten Modus nur die Unicode Version.
Mein Posting von gestern beruhte auf dem Ergebnis, daß im gesperrrten Modus keinerlei Versionen des Passwortes gefunden wurden, im ungesperrten Modus jedoch schon.

Woran dieses Variieren der Ergebnisse liegt ist mir nicht ganz klar.

[Heiko Schröder]

Tut mir leid, aber ich habe es gerade noch einmal überprüft. Das Datenbank-Passwort taucht machmal als normaler Text und machmal als Unicode im Speicher auf. In seltenen Fällen ist es auch gar nicht zu finden.

Tut mir leid, das kann ich nicht bestätigen. Weder mit WinHex noch mit HxD. Ich habe z.B. zum Test ein Passwort genommen, das definitiv nicht in einem Datensatz vorkommt. z.B. lilakuh.

Nach dem Anmelden ist nichts im Speicher zu finden.

Dir ist schon bewußt, dass Windows beim Freigeben von Variablen diese nicht überschreibt, sondern lediglich als frei markiert. Wenn man Glück hat überschreibt die nächste Speicheranforderung dann die Daten, aber darauf sollte man sich nicht verlassen. Wenn Daten nicht mehr im Speicher auffindbar sein sollen, muss man sie vor dem Freigeben überschreiben.

Dies ist mir bewusst. Deshalb werden die Variablen, die vom Programm her definiert werden, beim Sperren mit der gleichen Länge überschrieben!

Was aber nicht überschrieben werden kann, sind Daten die in ungeschützten Eingabefeldern und Anzeigelisten angezeigt worden sind. Diese können zwar gelöscht/geleert werden. Aber da der genaue Speicherbereich, der für die Anzeige der Daten notwendig ist, nicht ermittelt werden kann, kann dieser auch nicht direkt mit NULL überschrieben werden. Wie richtig bemerkt, ist dafür das automatische Speichermanagement des 32Bit-Systems verantwortlich.

Das Einzige was man noch einbauen könnte, wäre eine Option, bei der die Zugriffssperre als Neustart des Programms festgelegt werden könnte. Dann werden - durch das Beenden des Programms - definitiv alle Daten aus dem Speicher freigegeben und man wäre das Speichermanagement umgangen.

Mal schauen, was ich da machen kann, damit es dem Anwender auch gar nicht auffällt.

[H.eiko]

Auf der Seite http://www.1pw.de/brute-force.html gibt es Tabellen wie sicher ein Passwort ist mit bestimmter Länge und verschiedenen Zeichen. Meine Frage ist wieviel Zeichen ergibt es wenn man nicht nur Groß- Kleinbuchstaben & Zahlen (62 verschiedene Zeichen) sondern noch die Sonderzeichen benutzt. Ich benutze ein 11 stelliges Passwort aber halt mit Groß- Kleinbuchstaben, Zahlen sowie Sonderzeichen. Ist es richtig wenn ich nur die Zeichen über den Zahlen 0-9 + ß also = 11 Zeichen benutze das ich diese dann zu den 62 dazu zähle, somit 73 Zeichen habe.
Dann ein 11 stelliges Passwort also 73 hoch 11 rechne

[Heiko Schröder]

Richtig.

73 Zeichen hoch 11 Stellen

Code: Alles auswählen

73^11 = 313726685568359708377 Möglichkeiten
/ 30 000 000 Keys/sec = 10457556185612 Sekunden
= 174292603094 Minuten
= 2904876718,2 Stunden
= 121036529,9 Tage
= 331606,9 Jahre

Das ist eine 6fach höhere "Probierzeit" gegenüber Klein-/Großbuchstaben und Zahlen. (Ich hoffe, ich habe mich nicht verrechnet

[H.eiko]

...so hatte ich es auch errechnet. Vielen Dank für die schnelle Antwort , sehr nett!