Schlüssel auf dem Server?

[NobodzZ]

Wenn man den 'Web-Client' sich mal genauer anschaut, ist im lokalen Speicher 'Local Storage' bzw. Session Storage, nach dem ersten Login ein 'privk' abgelegt.
Das soll wohl der private Key sein. Preisfrage, woher kommt dieser, wenn ich alle Browser-Daten lösche. Z.B. im Chrome 'Inkognito' Modus, funktioniert späteres anmelden ebenfalls. Klingt ja auch logisch, sonst hätte man bei der Registrierung irgendwas sichern müssen und bei jedem anderen Browser/Gerät dies ebenfalls mit angeben müssen. Liegt der private Key nun so auf dem Server?
Im besten Fall ist dieser mit dem Benutzerpasswort verschlüsselt. Beim Login wird nicht das eigentliche Passwort übertragen (bei dem was ich bisher so gefunden habe).
Die seite benötigt aber Flash, was das macht, habe ich mir nicht angesehen.
Sehe gerade, das bei einem Logout, der LocalStorgae ebenfalls gelöscht wird.
Also mit User-Passwort verschlüsselter private Key auf dem Server?

[muhzilla]

Andere Beiträge hier im Forum dazu lesen

[NobodzZ]

muhzilla schrieb:
--------------------------------------------------------------------------------
> Andere Beiträge hier im Forum dazu lesen

Zu dem Punkt finde ich nichts! Mir geht es nicht um die Schlüssel beim teilen!

[pythoneer]

NobodzZ schrieb:
--------------------------------------------------------------------------------
> muhzilla schrieb:
> ---------------------------------------------------------------------------
> -----
> > Andere Beiträge hier im Forum dazu lesen
>
> Zu dem Punkt finde ich nichts! Mir geht es nicht um die Schlüssel beim
> teilen!


http://forum.golem.de/kommentare/politik-recht/kim-dotcom-mega-zaehlt-am-ersten-tag-1-million-registrierte-nutzer/wo-liegt-der-key/70193,3234061,3234061,read.html#msg-3234061

[5pl1t]

NobodzZ schrieb:
--------------------------------------------------------------------------------
> Wenn man den 'Web-Client' sich mal genauer anschaut, ist im lokalen
> Speicher 'Local Storage' bzw. Session Storage, nach dem ersten Login ein
> 'privk' abgelegt.
> Das soll wohl der private Key sein. Preisfrage, woher kommt dieser, wenn
> ich alle Browser-Daten lösche. Z.B. im Chrome 'Inkognito' Modus,
> funktioniert späteres anmelden ebenfalls. Klingt ja auch logisch, sonst
> hätte man bei der Registrierung irgendwas sichern müssen und bei jedem
> anderen Browser/Gerät dies ebenfalls mit angeben müssen. Liegt der private
> Key nun so auf dem Server?
Definitiv ja!
Jeder User generiert bei der Anmeldung nicht nur ein RSA-Schlüsselpaar, sondern auch einen symetrischen, von Mega Masterkey genannten (im Code als 'var u_a' zu finden), AES-128 Schlüssel. Während zum Beispiel die Ordnerstruktur über AES verschlüsselt wird, werden Inhalte via RSA verschlüsselt. Der private RSA-Schlüssel liegt verschlüsselt auf dem Server.

> Im besten Fall ist dieser mit dem Benutzerpasswort verschlüsselt.
Es ist noch nicht klar, ob der Masterkey verwendet wird um den RSA-Privatekey zu verschlüsseln oder dein Passwort. (soweit die öffentliche Diskusion in Foren). Der masterkey liegt auch auf dem Server und ist nachvollziehbar mit deinem Passwort verschlüsselt.

> Beim Login wird nicht das eigentliche Passwort übertragen (bei dem was ich
> bisher so gefunden habe).
Soweit ich es im Quelltext nachvollziehen konnte, wird bei der Anmeldung dein passwort AES verschlüsselt und über deine Email-Adresse gehasht.

> Sehe gerade, das bei einem Logout, der LocalStorgae ebenfalls gelöscht wird.
Richtig und wichtig.

> Also mit User-Passwort verschlüsselter private Key auf dem Server?
Direkt oder indirekt ja.