Проверка памяти для приложений Qt

[WereWind]

Всем доброго дня. Есть некое Qt-шное приложение, в котором есть QLineEdt, в который вводится пароль латиницей+цифры (echomode там, например, password). И требуется чтобы этот пароль для злоумышленников было максимально трудно получить. Считается, что после использования пароля внутри программы он надежно затирается своими средствами, и QLineEdit - это единственное уязвимое место. Вопрос - какими средствами лучше всего проконтролировать использование памяти? Я пробовал ковырнуть программу CheatEngine и GameConqueror, но ни та, ни другая содержимого строки не показали. Сейчас смотрю Gammaray, но пока что не могу найти там, например, стек, вызываемый по Ctrl+z.

Как вообще лучше всего это мониторить?

[Bepec]

Пока пароль в памяти программы его можно получить.
Но можно защитить память, путём проверки памяти с эталоном, защитой от подключения левых библиотек приложением - стражем и постоянным изменением меторасположения пароля в памяти.
Но тут уже надо соизмерять усилия на защиту и оправданность таких усилий.

PS самый простой способ - подгрузку в качестве хука глобальной dll, выход на QApplication, получением всех окон, поиск по окнам lineedit и получение их значений. Даже как то делал такое, когда dll занимался.

[qate]

Но можно защитить память, путём проверки памяти с эталоном, защитой от подключения левых библиотек приложением - стражем и постоянным изменением меторасположения пароля в памяти.

а что такое проверка с эталоном ?

разве можно защититься от подключения библиотек ?

[WereWind]

Пока пароль в памяти программы его можно получить.

Нет, у меня не такой экстрим как защита от взлома в любой момент работы программы. Мне нужна именно надежная зачистка памяти, когда в ней отпадает необходимость - там, оператор ввел пароль, подтвердил, программа отработала, очистила Lineedit и скрыла его. Вопрос в том, как гарантировать исчезновение пароля из памяти в этом случае

[gil9red]

Пока пароль в памяти программы его можно получить.

Нет, у меня не такой экстрим как защита от взлома в любой момент работы программы. Мне нужна именно надежная зачистка памяти, когда в ней отпадает необходимость - там, оператор ввел пароль, подтвердил, программа отработала, очистила Lineedit и скрыла его. Вопрос в том, как гарантировать исчезновение пароля из памяти в этом случае

Например, динамически создавать и удалять QLineEdit после ввода

[GreatSnake]

А зачем тогда вообще хранить в QLineEdit пароль?
Подцепись к QLineEdit::textEdited(), получи от юзера ввод, положи его куда-нибудь к себе и замени его через QLineEdit::setText().

[qate]

Подцепись к QLineEdit::textEdited(), получи от юзера ввод, положи его куда-нибудь к себе и замени его через QLineEdit::setText().

Собери свою либу Qt5Widgets и QLineEdit::setText() может хоть по сети пароль разослать )
Если у злодея есть доступ к программе - я даже не знаю как его можно остановить

[Racheengel]

как вариант, символы можно изменять уже при вводе, так что в поле будут попадать их функции.
правда, для этого свой виджет придется наследовать.

[GreatSnake]

Собери свою либу Qt5Widgets и QLineEdit::setText() может хоть по сети пароль разослать )
Если у злодея есть доступ к программе - я даже не знаю как его можно остановить

Если внимательно прочитаешь мой пост, то поймёшь, что в QLineEdit пароля не будет.

[qate]

Если внимательно прочитаешь мой пост, то поймёшь, что в QLineEdit пароля не будет.

ну ок, при модификации Qt5Widgets учту и этот момент, ведь введенные данные до QLineEdit дошли, а значит с ними можно делать что угодно

[GreatSnake]

ну ок, при модификации Qt5Widgets учту и этот момент, ведь введенные данные до QLineEdit дошли, а значит с ними можно делать что угодно

Вопрос в том, что до QLineEdit дошло на самом деле.
Юзер ввёл 'X', я через сигнал получил этот 'X', положил его куда-нибудь и записал на его место '*'.
Что в итоге будет в QLineEdit и что ты будешь потом делать с этими '*'?

[qate]

Вопрос в том, что до QLineEdit дошло на самом деле.
Юзер ввёл 'X', я через сигнал получил этот 'X', положил его куда-нибудь и записал на его место '*'.
Что в итоге будет в QLineEdit и что ты будешь потом делать с этими '*'?

сигнал ведь испускает QLineEdit ?
значит я перед отправкой сигналом имею "Х"

[AlexEx]

Не знаю, как в других ОС, но в Win пароль в памяти запросто оказывается на диске из-за свопа. Для безопасного ввода используется функция API CredUIPromptForCredentialsW, а для чистки памяти - SecureZeroMemory.

[GreatSnake]

сигнал ведь испускает QLineEdit ?
значит я перед отправкой сигналом имею "Х"

И что тебе даёт это имение?
В UI QLineEdit-ов может быть куча и нужно иметь какое-то неимоверное чутье, чтобы в отдельном виджете фильтровать ввод.
В общем разговор не о чём.
Тем более про замену либ.

[qate]

И что тебе даёт это имение?
В UI QLineEdit-ов может быть куча и нужно иметь какое-то неимоверное чутье, чтобы в отдельном виджете фильтровать ввод.
В общем разговор не о чём.
Тем более про замену либ.

как минимум дает то, что весь ввод пользователя можно залогировать, а уж выделить из этого пароль не составит труда
а подмена либ рушит всю построенную защиту