KWallet
के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) यूनिक्स-स्टाइल ऑपरेटिंग सिस्टम के लिए सी + + में लिखा गया मुफ्त और ओपन-सोर्स पासवर्ड प्रबंधन सॉफ्टवेयर है। के. डी. ई. वॉलेट मैनेजर लिनक्स-आधारित ओएस पर चलता है और इसकी मुख्य विशेषता एन्क्रिप्टेड पासवर्ड को के. डी. ई. वॉलेट में संग्रहीत करना है। के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) की मुख्य विशेषता उपयोगकर्ता की साख जैसे पासवर्ड या आई. डी. एकत्र करना और उन्हें ब्लोफिश सिमेट्रिक ब्लॉक सिफर एल्गोरिदम या जी. एन. यू. प्राइवेसी गार्ड एन्क्रिप्शन के माध्यम से एन्क्रिप्ट करना है। स्थापना के. डी. ई. वॉलेट प्रबंधक (के. वॉलेट) के लिए लिनक्स-आधारित ओएस और के. डी. ई. सॉफ्टवेयर संकलन डेस्कटॉप वातावरण जैसे कि कुबंटू की आवश्यकता होती है। ब्राउज़र एक्सटेंशन के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) को क्रोम, फ़ायरफ़ॉक्स, ओपेरा और एज सहित विभिन्न वेब ब्राउज़रों के साथ एकीकृत किया जा सकता है। गूगल क्रोम या क्रोमियम पर के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) एकीकरण का उपयोग करने के लिए, उपयोगकर्ता को तर्क-- पासवर्ड-स्टोर = के. वॉलेट5 या-- पासवर्ड-स्टोर = डिटेक्ट के साथ एक प्रोग्राम चलाने की आवश्यकता होती है। फ़ायरफ़ॉक्स में एक स्टैंडअलोन ऐड-ऑन भी उपलब्ध है। यह ऐडऑन उपयोगकर्ताओं को डिफ़ॉल्ट फ़ायरफ़ॉक्स पासवर्ड प्रबंधक के बजाय केडीई वॉलेट प्रबंधक (के वॉलेट) के माध्यम से पासवर्ड को आंतरिक रूप से संग्रहीत करने की अनुमति देता है। कॉन्करर, के डेस्कटॉप एनवायरनमेंट (के. डी. ई.) के आधिकारिक वेब ब्राउज़र में संवेदनशील कूटशब्दों को कूटबद्ध रखने के लिए के. डी. ई. वॉलेट प्रबंधक (के. वॉलेट) की सुविधा है। एपीआई केडीई वॉलेट मैनेजर के एपीआई प्रमाणीकरण घटनाओं को ट्रिगर करते हैं जब एप्लिकेशन डेस्कटॉप कम्युनिकेशंस प्रोटोकॉल (डीसीओपी) के माध्यम से अनुरोध करता है, जो केडीई का प्राथमिक इंटरप्रोसेस कम्युनिकेशन (आईपीसी) तंत्र है, जो एप्लिकेशन के लिए एक पासवर्ड डायलॉग बॉक्स प्रदर्शित करने का कारण बनता है। इसके कारण के. डी. ई. डेमन प्रक्रिया द्वारा कूटशब्द संवाद बॉक्स लॉन्च किया जाता है। उपयोगकर्ता या तो डायलॉग बॉक्स को रद्द करने का विकल्प चुन सकते हैं जो एप्लिकेशन को समाप्त कर देगा या पासवर्ड बॉक्स को भर देगा। यदि पासवर्ड बॉक्स भरा जाता है, तो बटुआ अपने आप खुल जाएगा। के. डी. ई. वॉलेट मैनेजर के डेस्कटॉप संचार प्रोटोकॉल (डी. सी. ओ. पी.) को केवल स्थानीय रूप से एक्सेस किया जा सकता है क्योंकि यह एक अंतर-प्रक्रिया संचार (आई. पी. सी.) प्रोटोकॉल है जिसे यूनिक्स स्थानीय साकेट पर संसाधित किया जाता है। जी. यू. आई. के. डी. ई. वॉलेट मैनेजर के जी. यू. आई. पर, उपयोगकर्ता उन्हें सौंपे गए प्रत्येक वॉलेट और पासवर्ड का प्रबंधन कर सकते हैं। केडीई वॉलेट प्रबंधक उपयोगकर्ताओं को वॉलेट को सहेजने या हटाने की अनुमति देता है और उपयोगकर्ता यह पहचान सकते हैं कि संग्रहीत पासवर्ड तक पहुंचने का प्रयास करते समय किन वॉलेट अनुप्रयोगों को देखना चाहिए। ये उन कार्यों की सूची हैं जो उपयोगकर्ता के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) के जी. यू. आई. से मुकाबला कर सकते हैंः नया वॉलेट बनाएँ डिफ़ॉल्ट वॉलेट को बदलें वॉलेट में वॉलेट स्टोर के पासवर्ड को लॉक करें वॉलेट के पासवर्ड को खोलें वॉलेट वॉलेट में संग्रहीत पासवर्ड को वॉलेट व्यू पर जानकारी को अपडेट करें वॉलेट वॉलेट में संग्रहीत पासवर्ड वॉलेट के. डी. ई. वॉलेट मैनेजर सॉफ्टवेयर में उपयोग किए जाने वाले पासवर्ड भंडारण के लिए एक शब्द है। वॉलेट को उपयोगकर्ता द्वारा मैन्युअल रूप से बनाया जा सकता है या जब उपयोगकर्ता किसी के. डी. ई. डेस्कटॉप वातावरण या वेबसाइट पर पासवर्ड दर्ज करता है तो इसे संवाद द्वारा पेश किया जाता है। एक बार बनाए जाने के बाद, वॉलेट विभिन्न पासवर्डों को संग्रहीत कर सकता है और इसे एक मास्टर पासवर्ड द्वारा नियंत्रित किया जाता है। इस तरह से उपयोगकर्ताओं को विभिन्न पासवर्ड याद रखने की आवश्यकता नहीं है, इसके बजाय, वे बटुए के लिए केवल एक मुख्य पासवर्ड याद करके उन्हें प्रबंधित कर सकते हैं। डिफ़ॉल्ट वॉलेट को "kdewallet" नाम दिया गया है और यदि आवश्यक हो तो उपयोगकर्ता अपना खुद का अधिक बना सकते हैं। बटुए का प्रबंधन उपयोगकर्ता अपने स्वयं के केडीई बटुए प्रबंधक विंडो पर बटुए का प्रबंधन कर सकते हैं। बटुए की पैकेजिंग या संयोजन खींचने और छोड़ने से किया जा सकता है। यदि उपयोगकर्ता फ्लैश ड्राइव जैसे अन्य स्थानों पर जानकारी निर्यात करना चाहता है, तो विंडो उपयोगकर्ता को यह चुनने की अनुमति देती है कि एन्क्रिप्टेड डेटा निर्यात करना है या नहीं। मास्टर पासवर्ड प्रदान करते हुए, उपयोगकर्ता इसी तरह एन्क्रिप्टेड डेटा को आयात कर सकता है। बटुए की वरीयता निर्धारित करना भी संभव है, उपयोगकर्ता कुछ बटुए को डिफ़ॉल्ट बटुए के रूप में निर्धारित कर सकता है। क्लोज वॉलेट सेटिंग उपयोगकर्ता को इसके बाद बटुए को बंद करने में सक्षम बनाती हैः क्लोज के लिए अप्रयुक्त होने पर बंद करें जब स्क्रीनसेवर शुरू होता है बंद करें जब एप्लिकेशन इसका उपयोग करना बंद कर देता है पासवर्ड का एन्क्रिप्शन केडीई वॉलेट प्रबंधक द्वारा संग्रहीत डेटा को दो प्रमुख तरीकों से एन्क्रिप्ट किया जा सकता है। यदि उपयोगकर्ता के लिनक्स-आधारित ओएस पर जी. एन. यू. पी. जी. मेड ईज़ी लाइब्रेरी स्थापित है तो जी. एन. यू. प्राइवेसी गार्ड (जी. एन. यू. पी. जी. या जी. पी. जी.) एल्गोरिदम का उपयोग किया जाता है। यदि नहीं, तो ब्लोफिश सममित ब्लॉक सिफर एल्गोरिदम का उपयोग किया जाता है। ब्लोफिश सममित ब्लॉक सिफर एल्गोरिदम केडीई वॉलेट प्रबंधक सीबीसी मोड में ब्लोफिश सममित ब्लॉक सिफर एल्गोरिदम का उपयोग करके बटुए में संग्रहीत डेटा को एन्क्रिप्ट करता है। उपयोगकर्ता की जानकारी की सुरक्षा के लिए, ब्लोफिश एन्क्रिप्टेड डेटा को एसएचए-1 हैशिंग एल्गोरिदम के साथ प्रमाणित किया जाता है। के. डी. ई. वॉलेट मैनेजर का ब्लोफिश एन्क्रिप्शन खुफू, आर. सी. 5, डी. ई. एस., आई. डी. ई. ए. और ट्रिप-डी. ई. एस. की तुलना में तेज एन्क्रिप्शन प्रदान करता है। ब्लोफिश 32-बिट माइक्रोप्रोसेसर में प्रति बाइट 18 घड़ी चक्रों की दर से एन्क्रिप्ट करता है। केडीई वॉलेट मैनेजर के ब्लोफिश एल्गोरिदम को 5k के भीतर मेमोरी में निष्पादित किया जा सकता है, और एक सरल संरचना को लागू करना आसान है और एल्गोरिदम की ताकत को निर्धारित करना आसान है। एल्गोरिथ्म कुंजी लंबाई में परिवर्तनशील है, जो 448 बाइट्स तक लंबा हो सकता है और यह बुनियादी शब्द जोड़ और बिट एक्सओआर संचालन की अनुमति देता है। जी. एन. यू. गोपनीयता रक्षक कूटलेखन उपयोगकर्ता अतिरिक्त संवेदनशील कूटशब्दों को संग्रहीत करने के लिए जी. एन. यू. गोपनीयता रक्षक (जी. एन. यू. पी. जी. या जी. पी. जी.) आधारित वॉलेट बना सकते हैं। इसके लिए उपयोगकर्ताओं को जीएनयूपीजी मेड ईज़ी लाइब्रेरी स्थापित करने की आवश्यकता होती है। यदि पुस्तकालय स्थापित है और एक बार सॉफ्टवेयर को जी. एन. यू. गोपनीयता रक्षक (जी. एन. यू. पी. जी. या जी. पी. जी.) मिल जाता है, तो उपयोगकर्ताओं को एक नए बटुए के लिए उपयोग करने के लिए एक कुंजी चुनने के लिए कहा जाएगा। उपयोगकर्ता अभी भी ब्लोफिश सममित ब्लॉक सिफर एल्गोरिदम के साथ पासवर्ड को एन्क्रिप्ट कर सकता है क्योंकि जीएनयू गोपनीयता गार्ड एन्क्रोटपाइशन लाइब्रेरी में डीएसए/ब्लोफिश सममित ब्लॉक सिफर एल्गोरिदम शामिल है। के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) का उपयोग करके के. डी. ई. वॉलेट मैनेजर की सुरक्षा पासवर्ड के प्रबंधन को आसान बना सकती है लेकिन यह उपयोगकर्ता के सिस्टम को अधिक सुरक्षा शर्तें प्रदान नहीं करता है। उपयोगकर्ता के अन्य पासवर्ड प्राप्त करने के बजाय, हमलावर उपयोगकर्ता के पीसी के माध्यम से उपयोगकर्ता के बटुए के लिए मास्टर पासवर्ड प्राप्त कर सकते हैं। चूंकि के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) की एन्क्रिप्टेड फ़ाइलों की निर्देशिका अनुमानित फ़ाइलों में स्थित होती है, इसलिए यह वायरस या कृमियों के लिए असुरक्षित हो सकती है जिन्हें पासवर्ड प्रबंधन प्रणाली को लक्षित करने के लिए प्रोग्राम किया गया है। ज्ञात कमजोरियाँ एस. एच. ए.-1 हैश फ़ंक्शन जो के. डी. ई. वॉलेट मैनेजर (के. वॉलेट) में उपयोग किया जाता है, क्रिप्टोग्राफिक रूप से टूटा हुआ है। गूगल और सी. डब्ल्यू. आई. एम्स्टर्डम ने साबित किया है कि दो समान एस. एच. ए-1 डाइजेस्ट दो अलग-अलग पी. डी. एफ. सामग्री प्रदर्शित करते हैं। माइक्रोसॉफ्ट सहित विभिन्न कंपनियों ने एसएचए-1 समर्थन बंद कर दिया है, हालांकि केडीई वॉलेट मैनेजर (के वॉलेट) एसएचए512 का उपयोग 4.13 से अधिक संस्करणों में या प्लगेबल ऑथेंटिकेशन मॉड्यूल के साथ करता है या यह एसएचए-1 हैश फ़ंक्शन का उपयोग करता है। "5.12.6 से पहले KDE KWallet में kwallet-pam स्थानीय उपयोगकर्ताओं को एक सिंलिंक हमले के माध्यम से मनमाने ढंग से फ़ाइलों का स्वामित्व प्राप्त करने की अनुमति देता है।" "फिशप्रोटोकॉलः: के. डी. ई. कियो-एक्स्ट्रा में फिश/फिश. सी. पी. पी. में कनेक्शन स्थापित करें 20.04.0 के माध्यम से एक कैश प्रमाणीकरण कॉल करता है, भले ही उपयोगकर्ता ने कीप पासवर्ड विकल्प सेट नहीं किया हो। इससे पासवर्ड का अनपेक्षित के-वॉलेट भंडारण हो सकता है। "KDE एप्लिकेशन 14.12.0 से पहले KWallet में kwallettd पासवर्ड स्टोर को एन्क्रिप्ट करते समय CBC मोड के बजाय ईसीबी मोड के साथ ब्लोफिश का उपयोग करता है, जिससे हमलावरों के लिए कोडबुक हमले के माध्यम से पासवर्ड का अनुमान लगाना आसान हो जाता है।" एस. एच. ए.-1 टक्कर प्रतिरोधी नहीं है, जिससे संदर्भ-निर्भर हमलावरों के लिए स्पूफिंग हमले करना आसान हो जाता है, जैसा कि टी. एल. एस. 1.2 में एस. एच. ए.-1 के उपयोग पर हमलों से पता चलता है। नोटः यह सीवीई इस एसएचए-1 मुद्दे को संदर्भित करने के लिए एक सामान्य पहचानकर्ता प्रदान करने के लिए मौजूद है; एक पहचानकर्ता का अस्तित्व, अपने आप में, एक प्रौद्योगिकी सिफारिश नहीं है। "1.7.2 से पहले सिंपल पासवर्ड स्टोर 1.7. x में पास में password-store.sh में एक समस्या पाई गई थी। हस्ताक्षर सत्यापन दिनचर्या एक अपूर्ण नियमित अभिव्यक्ति के साथ जीएनयूपीजी के आउटपुट को पार्स करती है, जो दूरस्थ हमलावरों को कॉन्फ़िगरेशन फ़ाइलों और एक्सटेंशन स्क्रिप्ट पर फ़ाइल हस्ताक्षर को धोखा देने की अनुमति देती है। कॉन्फ़िगरेशन फ़ाइल को संशोधित करने से हमलावर को अपने नियंत्रण में अतिरिक्त एन्क्रिप्शन कुंजियों को इंजेक्ट करने की अनुमति मिलती है, जिससे हमलावर को पासवर्ड का खुलासा होता है। एक्सटेंशन स्क्रिप्ट को संशोधित करने से हमलावर को मनमाना कोड निष्पादन की अनुमति मिलती है। "जी. एन. यू. पी. जी. 2.2.21 और 2.2.22 (और जी. पी. जी. 4विन 3.1.12) में एक सरणी अतिप्रवाह होता है, जिससे क्रैश या संभवतः अनिर्दिष्ट अन्य प्रभाव पड़ता है, जब कोई पीड़ित हमलावर की ओपन. पी. जी. पी. कुंजी आयात करता है, और इस कुंजी में ए. ई. ए. डी. वरीयताएँ होती हैं। अतिप्रवाह एक जी10/कुंजी-check.c त्रुटि के कारण होता है। नोटः जीएनयूपीजी 2.3. x अप्रभावित है। जीएनयूपीजी 2.2.23 एक निश्चित संस्करण है। एस. एच. ए.-1 एल्गोरिदम में पाए गए टकरावों का उपयोग करके जिस तरह से प्रमाणपत्र हस्ताक्षर किए जा सकते हैं, उसमें एक त्रुटि पाई गई। एक हमलावर इस कमजोरी का उपयोग जाली प्रमाण पत्र हस्ताक्षर बनाने के लिए कर सकता है। यह समस्या 2.2.18 "से पहले के जीएनयूपीजी संस्करणों को प्रभावित करती है। जीएनयूपीजी 1. x 1.4.16 से पहले आरएसए कुंजी उत्पन्न करता है जो कुछ पैटर्न के साथ परिचय के अनुक्रमों का उपयोग करता है जो एक साइड चैनल पेश करता है, जो भौतिक रूप से निकटवर्ती हमलावरों को डिक्रिप्शन के दौरान एक चुने हुए-सिफरटेक्स्ट हमले और ध्वनिक क्रिप्टैनालिसिस के माध्यम से आरएसए कुंजी निकालने की अनुमति देता है। नोटः अनुप्रयोगों से आम तौर पर ध्वनिक साइड-चैनल हमलों से खुद को बचाने की उम्मीद नहीं की जाती है, क्योंकि यह यकीनन भौतिक उपकरण की जिम्मेदारी है। तदनुसार, इस प्रकार के मुद्दों को आम तौर पर सी. वी. ई. पहचानकर्ता प्राप्त नहीं होगा। हालांकि, इस मुद्दे के लिए, डेवलपर ने एक सुरक्षा नीति निर्दिष्ट की है जिसमें जीएनयूपीजी को साइड-चैनल प्रतिरोध की पेशकश करनी चाहिए, और डेवलपर-निर्दिष्ट सुरक्षा-नीति उल्लंघन सीवीई के दायरे में हैं। "1.3.2 से पहले लिब्क्सबा में ksba _ oid _ to _ str फ़ंक्शन में पूर्णांक अधोप्रवाह, जैसा कि जी. एन. यू. पी. जी. में उपयोग किया जाता है, दूरस्थ हमलावरों को (1) एस/एम. आई. एम. ई. संदेश या (2) ई. सी. सी. आधारित ओपन. पी. जी. पी. डेटा में तैयार किए गए ओ. आई. डी. के माध्यम से सेवा से इनकार (क्रैश) करने की अनुमति देता है, जो एक बफर अतिप्रवाह को ट्रिगर करता है।" "जी. पी. जी. एस. एम. में जी. पी. जी. एस. एम. में के. बी. एक्स./कीबॉक्स-blob.c में उपयोग के बाद-मुक्त भेद्यता जी. एन. यू. पी. जी. 2. एक्स. में 2.0.16 के माध्यम से दूरस्थ हमलावरों को सेवा से इनकार (क्रैश) करने की अनुमति देती है और संभवतः बड़ी संख्या में विषय वैकल्पिक नामों के साथ एक प्रमाण पत्र के माध्यम से मनमाने कोड को निष्पादित करती है, जिसे प्रमाण पत्र आयात करते समय या उसके हस्ताक्षर को सत्यापित करते समय एक वास्तविक संचालन में ठीक से नियंत्रित नहीं किया जाता है।" 2. 2. 8 से पहले जी. एन. यू. पी. जी. में <आई. डी. 1. डिक्रिप्शन और सत्यापन कार्यों के दौरान मूल फ़ाइल नाम को गलत तरीके से संभालता है, जो दूरस्थ हमलावरों को उस आउटपुट को धोखा देने की अनुमति देता है जो जी. एन. यू. पी. जी. फ़ाइल डिस्क्रिप्टर 2 पर अन्य प्रोग्रामों को भेजता है जो "-स्टेटस-एफ. डी. 2" विकल्प का उपयोग करते हैं। उदाहरण के लिए, ओपन-पीजीपी डेटा एक मूल फ़ाइल नाम का प्रतिनिधित्व कर सकता है जिसमें गुडसिग या वैलिडसिग स्थिति कोड के संयोजन में लाइन फ़ीड वर्ण होते हैं। "ओपनपीजीपी में इंटीग्रिटी चेक सुविधा, जब एक संदेश को संभालते हैं जिसे साइफर फीडबैक (सीएफबी) मोड का उपयोग करके एन्क्रिप्ट किया गया था, तो दूरस्थ हमलावरों को एक चयनित-साइफरटेक्स्ट हमले के माध्यम से प्लेनटेक्स्ट के हिस्से को पुनर्प्राप्त करने की अनुमति देता है जब एक संदेश ब्लॉक के पहले 2 बाइट्स ज्ञात होते हैं, और यह निर्धारित करने के लिए एक ओरेकल या अन्य तंत्र उपलब्ध होता है कि क्या एक इंटीग्रिटी चेक विफल हुआ है।" "जी. एन. यू. पी. जी. (जी. पी. जी.) 1.4 और 2.0 के लिए openfile.c में आस्क _ आउटफाइल _ नेम फ़ंक्शन में ढेर-आधारित बफर अतिप्रवाह, जब अंतःक्रियात्मक रूप से चलता है, तो हमलावरों को" "सी-एस्केप" "विस्तार के साथ संदेशों के माध्यम से मनमाने ढंग से कोड निष्पादित करने की अनुमति मिल सकती है, जिससे मेक _ प्रिंट करने योग्य _ स्ट्रिंग फ़ंक्शन प्रॉम्प्ट का निर्माण करते समय अपेक्षा से अधिक लंबी स्ट्रिंग वापस कर सकता है।" "जी. एन. यू. पी. जी. 1.4.6 और उससे पहले और 1.1.4 से पहले जी. पी. जी. एम. ई., जब कमांड लाइन से चलाया जाता है, तो ओपन. पी. जी. पी. संदेशों के हस्ताक्षरित और अहस्ताक्षरित भागों को कई घटकों के साथ दृष्टिगत रूप से अलग नहीं करता है, जो दूरस्थ हमलावरों को बिना पता लगाए संदेश की सामग्री को जाली बनाने की अनुमति दे सकता है।" 2. 2. 8 से पहले जी. एन. यू. पी. जी. में <आई. डी. 1. डिक्रिप्शन और सत्यापन कार्यों के दौरान मूल फ़ाइल नाम को गलत तरीके से संभालता है, जो दूरस्थ हमलावरों को उस आउटपुट को धोखा देने की अनुमति देता है जो जी. एन. यू. पी. जी. फ़ाइल डिस्क्रिप्टर 2 पर अन्य प्रोग्रामों को भेजता है जो "-स्टेटस-एफ. डी. 2" विकल्प का उपयोग करते हैं। उदाहरण के लिए, ओपन-पीजीपी डेटा एक मूल फ़ाइल नाम का प्रतिनिधित्व कर सकता है जिसमें गुडसिग या वैलिडसिग स्थिति कोड के संयोजन में लाइन फ़ीड वर्ण होते हैं। "लिबग्रिप्ट में यादृच्छिक संख्या जनरेटर में 1.5.6 से पहले, 1.6.6 से पहले, और 1.7.3 से पहले और 1.4.21 से पहले जीएनयूपीजी में मिश्रण कार्य हमलावरों के लिए पिछले 4640 बिट्स के ज्ञान का लाभ उठाकर 160 बिट्स के मान प्राप्त करना आसान बनाते हैं।" "के. बी. एक्स./कीबॉक्स-search.c जी. एन. यू. पी. जी. में 1.4.19 से पहले, 2. एक्स. में 2.0.27 से पहले, और 2.1.2 से पहले 2. एक्स. बिटवाइज लेफ्ट-शिफ्ट को ठीक से नहीं संभालता है, जो दूरस्थ हमलावरों को साइन एक्सटेंशन से संबंधित एक तैयार कीरिंग फ़ाइल के माध्यम से सेवा से इनकार (अमान्य रीड ऑपरेशन) करने की अनुमति देता है, और" "ओवरलैपिंग रेंज के साथ एम. एम. सी. पी. आई". टिप्पणियाँ संदर्भ निःशुल्क कूटशब्द प्रबंधक केडीई अनुप्रयोग