[VB.NET2010] Criptare password usata per connessione a MySql

[tas]

Ormai la tendenza al giorno d'oggi è quella di creare applicazioni web, che a differenza di qualche anno fa, possono avere interfacce utente veramente sofisticate e complete. Così facendo all'utente non devi far scaricare proprio nulla, in quanto sia l'applicazione che il database risiedono sul tuo server web. Hai valutato questa possibilità?

[Løque]

Non è possibile, l'applicazione non può funzionare da web.
Devo iniettare una dll ad un processo..... (non è un virus)

Sennò si potrebbe direttamente fare il login dal browser e una volta fatto aprire il programma.
Però una cosa del genere non l'ho mai fatta, escludo il fatto che qualcuno potrà simulare la risposta del server..

[U235]

Originariamente inviato da Løque
Non è possibile, l'applicazione non può funzionare da web.
Devo iniettare una dll ad un processo..... (non è un virus)

Sennò si potrebbe direttamente fare il login dal browser e una volta fatto aprire il programma.
Però una cosa del genere non l'ho mai fatta, escludo il fatto che qualcuno potrà simulare la risposta del server..

ciao,
piccola nota : in ogni caso, fare quello che dici sopra, non è legale, a meno che non hai il permesso di chi ha creato il "processo", e comunque credo che faresti una violazione nei confronti di Microsoft.
Detto questo, per memorizzare le password in modo pseudo sicuro, devi ricorrere a DPAPI (Data Protection API) su windows.

ora , quello che non mi è chiaro, è come vorresti che queste persone facessero il login, via web ogni volta che aprono il programma, oppure dal programma stesso, tipo una volta scaricato, anche senza connessione possono usare il software che comunque è dotato di login all'apertura? Nel secondo caso il tuo problema sarebbe memorizzare in maniera sicura una password nel pc, nel primo nel server. Per quanto riguarda entrambi i casi, il modo più sicuro attualmente è quello detto sopra (DPAPI), anzi, meglio ricorrere alle chiavi hardware, in quanto, se usi DPAPI, si può ritenere insicuro nel momento che le credenziali utente sono state violate, con le chiavi hw invece, si può ritenere violato solo con il furto fisico della chiavetta.

nome utente e password, non devono essere necessariamente scritte in chiaro sul pc, ma possono essere un digest, che comunque, può essere letto da un hacker, ma è più complessa la sua localizzazione, e in ogni caso converrebbe usare il digest come key per criptare i dati del programma stesso, in modo che non venga scritto nessun confronto (quindi nemmeno digest), ma implicitamente, se non si conosce utente e password da cui creare il digest non si conosce nemmeno il contenuto criptato con quella key. In questo caso, se si smarriscono i dati di login, tutti i dati andranno persi.

tieni comunque presente che un programma in locale è molto più facile violarlo in quanto si è davanti al pc, si ha accesso fisico a tutto... in rete in teoria no, ma li ci sono altri tipi di problemi...