Protection d'une application hors sécurité Access [Résolu]

[Domi2]

Bonjour,

On me demande de réfléchir à la mise en place d'une application avec des contraintes un peu particulières.

L'application en soit est toute simple et ne pose aucun problème de conception (2 tables). Elle devra surtout faire des calculs en fonction de divers paramètres.

Elle doit être installée sur un certain nombre de sites, totalement indépendants les uns des autres (aucune idée du nombre pour l'instant, mais entre 10 et 20 dans un premier temps).

Mon soucis est que suivant les sites, un paramètre ne sera pas forcément identique. De plus, la valeur dudit paramètre pourra (devra ?) être revue toutes les années.

Mon idée est de placer les dates de validité et la valeur du paramètre dans un fichier log sous forme cryptée, et d'interdire le fonctionnement de l'application lorsqu'on est hors des dates de validité.

Ainsi, je n'aurais qu'à envoyer à date fixe un nouveau fichier, que les utilisateurs n'auront plus qu'à installer dans un répertoire précis.

Si l'un d'entres vous à déjà dû installer quelque chose de similaire, je serais content qu'il me fasse part de ses expériences.

Domi2

P.-S Je ne recherche pas des renseignements au niveau technique de programmation, cela devrait aller.

Et une solution Web est prévue à terme (mais quand ?)

[Philippe JOCHMANS]

Bonjour

Je n'ai jamais eut ce cas, mais je trouve ton idée excellente, cependant une petite remarque.

Il faudrait que ton fichier soit crypté et decripté par Access pour éviter que quelqu'un récrée ton Log, et puisse utiliser l'Appli.

Starec

[Domi2]

Bonjour Starec,

Et merci de t'intéresser à mon problème...

Effectivement, dans mon idée j'aurais une petite appli pour générer les fichiers log cryptés (ce qui permettra à d'autres que moi d'en créer de manière simple également).

Et l'application installée sur les sites distants ne pourra pas démarrer sans avoir lu et décrypté les infos du fichier log.

Domi2

[argyronet]

Bonjour,

Humm un fichier crypté ou pas, ça s'efface (par mégarde ou intentionnellement) et puis ça peut se lire (pour les curieux)...

Quelques idées :
1/ Souvent, les postes distants se voient interdire l'accès au Registre...
Tu peux donc écrire tes infos dedans.

2/ Envisager la mise en place des données sur un serveur distant lu après connexion de l'application (Login, MDP) sur un portail web en mode silent...

3/ Si le site est en position de demande vis à vis de toi (ou tes acolytes), tu peux travailler par messagerie avec une sorte de clé indéchiffrable que l'utilsateur au final devra coller dans une zone prévue à cet effet (Lourd et rien oblige le user à effectuer la manoeuvre avec un clé valide)

Voilà ce qui me vient comme ça...

Argy

[Domi2]

Bonjour Argy,

1/ Souvent, les postes distants se voient interdire l'accès au Registre...
Tu peux donc écrire tes infos dedans.

2/ Envisager la mise en place des données sur un serveur distant lu après connexion de l'application (Login, MDP) sur un portail web en mode silent...

3/ Si le site est en position de demande vis à vis de toi (ou tes acolytes), tu peux travailler par messagerie avec une sorte de clé indéchiffrable que l'utilsateur au final devra coller dans une zone prévue à cet effet (Lourd et rien oblige le user à effectuer la manoeuvre avec un clé valide)

J'ai envisagé l'idée de la base de registre... Mais nous n'aurons pas de droits particuliers sur les postes. Donc si les utilisateurs n'y ont pas accès...

Le Web, pour des raisons Politiques, n'est une solution envisageable que pour quelques utilisateurs potentiels dans l'immédiat, malheureusement... Quand ça sera réglé (d'ici à 3-5 ans ???), on pourra se tourner vers une véritable application Web.

J'ai déjà potassé un peu le problème du cryptage et je pense que c'est jouable...

Quelques précisions supplémentaires

L'application, simple au demeurant, doit permettre de calculer des montants de subventions en fonctions de divers critères, pour 5 types d'objets (et pas un de plus), soit des appartements de 1 à 5 pièces.

Un seul de ces critères, soit un prix maximum de loyer par type d'objet n'est pas de la compétence de l'utilisateur final. Par contre, il lui est parfaitement connu.

Mon but est donc essentiellement d'empêcher le fonctionnement de l'application si on a pas de fichier log valide...

Je sais qu'il y'a d'autres possibilités pour sécuriser une appli, mais si on doit se déplacer...

Potentiellement, il y'a 360 utilisateurs possible, disséminé sur 3'200 km2...

En tous les cas, merci pour ton intérêt

Domi2

[argyronet]

Bien effectivement...
Il faut alors que le fichier log, en dehors du contenu crypté, possède une structure bien particulière lisible par ton "vérificateur" afin de s'assurer qu'il n'a pas été modifié, par exemple.
Dans tous les cas, l'appli ne fonctionne que si ce fichier existe d'une part et qu'il contient ce qu'il doit contenir d'autre part.
Là, effectivement c'est jouable.

Bon courage.

Argy

[Domi2]

Merci pour tes encouragements...

Il faut alors que le fichier log, en dehors du contenu crypté, possède une structure bien particulière lisible par ton "vérificateur" afin de s'assurer qu'il n'a pas été modifié, par exemple.

J'ai un peu réfléchi à la structure du fichier log.

Etant donné que je vais passer un nombre fixe de paramètres, 5 + quelques autres (date début, date fin, ce genre de choses), j'avais un peu peur qu'on identifie facilement les 5 montants, car j'imagine que le nombre de caractères sera identiques pour tous.

Le risque est donc grand que par déduction, on retrouve déjà une partie du code de cryptage.

Aussi, j'imaginais "noyer" ces informations dans une chaîne plus grande de longueur fixe, et même découper mon paramètre.

1er paramètre : 1 chiffre position 3 : 1 chiffre position 5...
2ème paramètre : 1 chiffre position 2 : 1 chiffre position 7...

Je pense que c'est faisable. Ca complique un peu le code, mais bon...

Par contre, je ne vois pas comment m'assurer que mon fichier n'a pas été modifié

Une piste, peut-être ?

Domi2

[Philippe JOCHMANS]

Peut-être en récupérant la date de la derniére modif.

Starec

[argyronet]

L'usage de GetPrivateProfileString() associé ou non à GetPrivateProfileSection() peut t'aider à construire quelque chose de structuré et de vérifiable...
La structure est celle des fichiers INI. Donc super simple à manipuler, à lire et de vérifier que le fichier est correcte de part le nombre de sections ou par leur contenu (avec des fonctions comme Len, Left$, Right$, Mid$, Instr, InstrRev etc...) même si le contenu est codé (aussi bien dans les sections que les clés ou encore les données...

Argy

[Domi2]

Merci,

Je vais faire usage de la touche et je reviendrais si je rencontre des problèmes avec ces fonctions.

Merci à tous les deux pour votre aide

Domi2

[argyronet]

F1 et les API windows ne se connaissent pas...
Tu veux un exemple ?

Argy

[Domi2]

F1 et les API windows ne se connaissent pas...
Tu veux un exemple ?

Ben, j'avais un peu zappé, y'a pas que le boulot dans la vie...

Mais c'est pas de refus...

Domi2

[argyronet]

Voui...
Bon, voilà un début très light !

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Private Declare Function GetPrivateProfileString Lib "kernel32" Alias "GetPrivateProfileStringA" (ByVal lpApplicationName As String, ByVal lpKeyName As Any, ByVal lpDefault As String, ByVal lpReturnedString As String, ByVal nSize As Long, ByVal lpFileName As String) As Long
Private Declare Function WritePrivateProfileString Lib "kernel32" Alias "WritePrivateProfileStringA" (ByVal lpApplicationName As String, ByVal lpKeyName As Any, ByVal lpString As Any, ByVal lpFileName As String) As Long
 
Private Sub EcrireLog()
Dim strValeur As String
Dim lngRet As Long
Const CHEMIN As String = "C:\MonFichier.log"
 
    strValeur = String(255, vbNullChar)
    WritePrivateProfileString "Nom de la section", "Nom de la clé", CrypterValeur("La valeur à crypter"), CHEMIN
    lngRet = GetPrivateProfileString("Nom de la section", "Nom de la clé", "Default", strValeur, 255, CHEMIN)
    If lngRet <> 0 Then
        strValeur = Left$(strValeur, lngRet)
        MsgBox strValeur
    Else
        MsgBox "Aucune valeur"
    End If
End Sub
 
Private Function CrypterValeur(ByVal Valeur As String) As String
    CrypterValeur = Valeur
End Function

Argy

[Domi2]

Merci beaucoup Argy,

Le week-end s'annonce pluvieux, ça va me laisser un peu de temps pour regarder ton exemple de plus près.

A+

Domi2