Re: Passwörter sicher speichern

Hi,

-- Oliver Fromme <olli(at)lurza.secnetix.de> wrote:

> Ich kenne den Autor persönlich und arbeite seit mehreren
> Jahren zusammen, und verwende auch sein »note«-Tool inner-
> halb eines größeren Teams.

das sagt ja im Zweifelsfall noch lange nichts über den Code aus ... ;-)

> Ich selbst bin ausdrücklich kein Perl-Freund, im Gegenteil,
> ich finde, Perl ist so ziemlich die schlimmste Skripting-
> Sprache, die nennenswerte Verbreitung gefunden hat, gleich
> nach der (t)csh.

kannst Du das auch irgendwie und vor allem konkret begründen oder ist
das nur ein Bauchgefühl à la "mag ich nicht und hatte nie Lust das
richtig zu lernen"? ;-)

> Aber das »note«-Tool erfüllt zumindest seinen Zweck, und
> ich habe bisher keine gröberen Schnitzer entdecken können.
> Falls Du einen konreten (!) Bug findest, kannst Du ihn
> gerne mir oder am besten direkt dem Autor melden.

da ich es mir nur grob angeschaut habe, habe ich auch keine konkreten
getesteten reproduzierbare Bugs zu melden, sondern nur Problemstellen
gefunden.
Globale Variablen in dem Ausmaß sind Pfusch. Ebenso der direkte Zugriff
auf Devices.

Ich will hier niemandem zu nahe treten, note ist ja nun auch ein paar
Jahre alt. Ich habe vor ein paar Jahren auch Pfusch gebaut, und was für
welchen ;-)

> > NOTE sieht nun nicht vollkommen katastrophal aus, aber wenn ich das
> > richtig sehe werden die Notizen unverschlüsselt im Temp-Ordner
> > gespeichert.
>
> Das siehst Du falsch. Die Notes werden wahlweise per IDEA
> oder DES verschlüsselt; weitere Cryptoalgorithmen lassen
> sich ohne großen Aufwand integrieren.

ja, nur werden die Notizen eben zuvor mit einem Editor in /tmp bearbeitet
und liegen somit unverschlüsselt auf der Platte. Zwar nur kurzzeitig,
aber die entsprechenden Sektoren Platte werden ja auch nicht mit
Zufallszahlen überschrieben ...

Somit ist die Verschlüsselung nicht mehr viel wert, die Daten der
gelöschten Dateien gammeln immernoch herum.

Außerdem wird die Passphrase nicht in einem geschützten Speicherbereich
abgelegt, kann geswappt werden und steht damit u.U. im Klartext auf der
Platte.

Aus diesen und den weiteren bereits genannten Gründen würde ich hier
nicht sehr viel Vertrauen in die Datensicherheit haben. Von
Regression-Tests ist auch weit und breit nichts zu sehen ...

Ciao
  Alvar

-- 
** Alvar C.H. Freude, http://alvar.a-blast.org/
** http://www.wen-waehlen.de/
** http://odem.org/
** http://www.assoziations-blaster.de/

To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message
Received on Thu 09 Mar 2006 - 15:10:24 CET