Práctica común en relación con las contraseñas en la memoria

Question

Estoy escribiendo una aplicación .NET (C#) de Windows para almacenar contraseñas de usuario en ella, como keypass, LastPass, etc. roboforms

para procesar los datos de usuario que tengo que mantenerlo en memoria esta información también contiene Contraseñas del usuario.

Ahora mis preguntas son:

1. Puede alguien leer los datos de la memoria utilizando alguna herramienta o volcado de memoria?
2. En caso afirmativo, ¿cómo? ¿Alguien puede compartir esa herramienta? Intenté con las aplicaciones CurrProcess, HeapViewer, ProcessExplorer y ProcessView, pero no puedo encontrar ningún dato privado en el volcado de memoria,
3. . Debo aprender algo más para garantizar la protección de las contraseñas en memoria.

Gracias

Answer 1

Sí, existen herramientas que capturan toda la memoria física (y el archivo de paginación) para una mayor investigación. Se llaman "forenses" y puede encontrarlos agregando esta palabra clave a sus búsquedas. Si desea capturar memoria en su código (es decir, escriba ese programa usted mismo), esto es posible utilizando nuestro producto RawDisk.

En cuanto a la protección de sus contraseñas, Kobi mencionó la clase SecureString, que se supone que almacena cadenas de manera segura en la memoria. Si bien esta clase no es 100% de protección (la contraseña se descifra de todos modos cuando la usa), pero hace que la captura de contraseñas sea mucho menos probable.

Answer 2

Tiene usted razón en sus preocupaciones, las cadenas en la memoria no son seguros.
Probablemente estés buscando la clase SecureString.

Answer 3

Sugiero que explore el código fuente de Keepass (versión 2.xx). Está escrito en .NET y trata los mismos problemas que le preocupan.

Answer 4

Mi experiencia es limitada en la seguridad, pero espero que esto será atento

1. Sí, es posible
2. Puede utilizar WinDbg + SOS para conseguir casi cualquier cosa que desee de la representación interna del objeto
3. Hay una clase especial llamada SecureString en BCL que se ajusta a sus necesidades.

Answer 5

Si le preocupa que alguien espíe la memoria RAM para buscar contraseñas, entonces tiene más problemas importantes. Si un usuario malintencionado tiene acceso a la memoria RAM, es trivial dejar caer un keylogger en la máquina, o pasar por alto el lugar donde se utilizan las teclas en el software, o interceptar las claves una vez que se descifran. etc, etc.

La regla general es, si alguien tiene acceso a la máquina, entonces su juego en cuanto a la seguridad.