データベースのパスワードを設定ファイルに保存する必要があります。明らかな理由で、私はそれらを暗号化したい（できればAESで）。10,000行を超える歴史的に成長した（URGH！）ソースコードを使用して既存のプロジェクトに簡単に導入できるDelphiの実装を知っている人はいますか？
明確化：簡単とは、ユニットをプロジェクトに追加し、最大数を追加することを意味します。構成ファイルが読み取られ、それを使用して実行される5行のコード。15分以上かかることはありません。
別の説明：パスワードは、アプリケーションのユーザー管理スキームをサポートするためではなく、データベースへの接続を作成するために必要です。したがって、ハッシュを使用しても効果はありません。dbエンジンは、アプリではなく、パスワードが有効かどうかを確認します。
私は、David Barton のDCPCrypt ライブラリの推奨を支持します。いくつかのプロジェクトで成功裏に使用しており、使用例を読んでから 15 分もかかりません。MIT ライセンスを使用しているため、商用プロジェクトなどで自由に使用できます。DCPCrypt は、AES である Rijndael を含む多くのアルゴリズムを実装しています。
グーグルで検索できるスタンドアロン (単一ユニット) の実装も多数あります。問題は、特定のライブラリの修正性を自分で検証する準備ができていない限り、どれを信頼するかです。
通常の認証では、パスワードを保存する必要はありません。ユーザーが入力したパスワードが正しいかどうかを確認するだけで済みます。その場合は、代わりにハッシュ署名 (MD5 など) を保存して、入力したパスワードの署名と比較することができます。2 つの署名が一致する場合、入力したパスワードは正しいです。
誰かがあなたの「マスター」パスワードを取得すると、すべてのユーザーのパスワードを取得できるため、暗号化されたパスワードを保存することは危険な場合があります。
MD5 を使用する場合は、Delphi に付属の MessageDigest_5.pas を使用できます (少なくとも、私の Delphi 2007 には含まれています)。選択できる Delphi ソース コードを使用した他の実装もあります。
Turbopower LockBox は暗号化のための優れたライブラリだと思います:
http://sourceforge.net/projects/tplockbox/
あなたの用途には大きすぎるかどうかはわかりませんが、非常に使いやすく、5 行のコードで文字列を暗号化できます。それはすべて例にあります。
TOndrejには正しいアプローチがあります。リバーシブルサイファーを使用してパスワードを保存しないでください。正しく指摘されているように、「マスター」キーが危険にさらされた場合、システム全体が危険にさらされます。MD5などの不可逆ハッシュを使用すると、はるかに安全になり、ハッシュ値をクリアテキストとして保存できます。入力したパスワードをハッシュして、保存されているハッシュと比較するだけです。
私はいつもTurbopower Lockboxを使用しています。それはうまく機能し、非常に使いやすいです。私は実際にまったく同じ目的で使用し、パスワードを設定テキスト ファイルに保存します。
TurboPower LockBox 3 (http://lockbox.seanbdurkin.id.au/) は自動ソルティングを使用します。IV はソルト化されていないため、Barton の DCPCrypt には反対することをお勧めします。状況によっては、これは非常に重大なセキュリティ上の欠陥です。
以前のコメントとは対照的に、LB3 の AES の実装は標準に完全に準拠しています。
暗号化したとしても、復号化キーと暗号化されたパスワードの両方が実行可能ファイルに含まれているように思えます。誰でも復号化キーと暗号化されたパスワードを取得して、生のパスワードを生成できます。
必要なのは一方向ハッシュです。
ある種の塩を使うことをお勧めします。crypt（password）を設定ファイルに保存しないでください。ただし、このストアcrypt（salt + password）を挿入してください。'salt'として、データベースを開くために必要なものを使用できます。db_name+user_name。暗号化機能の場合、AES、Idea、DESなどのよく知られたアルゴリズム、または各バイトを他の文字列のバイトとxorするような単純なものを使用できます。その文字列がキーになります。解決方法をさらに変えるために、ランダムなバイトをいくつか使用して保存することができます。
だから保存するには：
そして接続するには：
ただのリマインダー。
他のcryptlibと相互運用する必要がない場合は、DCPまたはLockBoxがその役割を果たします。
しかし
rinjdaelの仕様に完全に準拠する必要がある場合は、無料のコンポーネントを忘れてください。ほとんどの場合、それらはちょっと「お粗末」です。
他の人が指摘しているように、認証目的では、可逆暗号化を使用してパスワードを保存することは避ける必要があります。つまり、パスワードハッシュのみを保存し、保存したハッシュに対してユーザー提供のパスワードのハッシュをチェックする必要があります。ただし、このアプローチには欠点があります。攻撃者がパスワード ストア データベースを入手した場合、レインボー テーブル攻撃に対して脆弱です。
あなたがすべきことは、事前に選択された（そして秘密の）ソルト値とパスワードのハッシュを保存することです。つまり、ソルトとパスワードを連結し、結果をハッシュして、このハッシュを保存します。認証するときも同じことを行います - あなたのソルト値とユーザー提供のパスワード、ハッシュを連結し、等しいかどうかをチェックします。これにより、レインボー テーブル攻撃が実行不可能になります。
もちろん、ユーザーがネットワーク経由でパスワードを送信する場合 (たとえば、Web またはクライアント サーバー アプリケーションで作業している場合)、パスワードをクリア テキストで送信するべきではありません。 password) を保存して hash(salt + hash(password)) に対してチェックし、クライアントにユーザー提供のパスワードを事前にハッシュして、ネットワーク経由で送信させる必要があります。これにより、ユーザー (多くのユーザーがそうであるように) が複数の目的で同じパスワードを再利用した場合に、ユーザーのパスワードも保護されます。
現在のユーザーだけがアクセスできる場所に保存する必要があります。
基本的にこれを行うには2つの方法があります。
Internet Explorerは2を使用します。ただし、ローカルアクセスを取得できる場合は、適切なマスターキーとアルゴリズムがあれば1と2の両方を復号化できます（たとえば、iepvはInternet Explorerのパスワードを取得できます）。
したがって
、可能であれば、パスワードの保存は避けてください。
最初に代替手段（Windows認証、ディレクトリサービスなど）を探します。
--jeroen
Nick の言うとおりです。セキュリティ ソリューションの実装に 15 分間すべてを費やしたいと言うとき、自分が何をしているのかわかっていると思います。DCPCrypt ライブラリは、その (より良い) ルートに進むことにした場合、多数のハッシュ アルゴリズムも実装します。
いくつかの解決策: