Discussion :

[Anozer]

Bonjour à tous,

Je suis entrain de coder une app qui envoi des fichiers sur un serveur FTP. Cette partie est faite, mais pas la suite.

Pour se connecter au serveur, je souhaite créer une fenêtre de préférences où l'utilisateur rentrera toutes les données du serveur, dont le mot de passe. J'ai pensé à stocker ces données dans un fichier config. Pour cela, il me faut donc crypter le mot de passe. Je me suis donc renseigné sur le cryptage AES. J'ai à peu près compris la démarche en suivant ce tuto.

Ainsi j'obtiendrai deux fonctions : Crypt(String, Key, IV) et Decrypt(String, Key, IV).
La question que je me pose, c'est que faire de la clé et du vecteur d’initialisation ? J'ai lu à plusieurs reprises sur le net que les apps en C# étaient décompilables. Je ne peux donc pas les stocker en dur dans le code, ni dans un fichier. Le cryptage ne servirait à rien... D'après ce que j'ai lu, une des méthode serrait de demander un mot de passe à l'utilisateur (haché en SHA1) afin de décrypter la clé cryptée. Mais je ne souhaite rien demander à l'utilisateur ! N'y a t'il pas un moyen ?

Qu'en pensez vous ? AES n'est peut être pas non plus la meilleure solution.

Merci d'avance.

[tomlev]

Il y a une solution beaucoup plus simple : utiliser la Data Protection API de Windows, via la classe ProtectedData. C'est Windows qui gère les clés automatiquement, soit par machine, soit par utilisateur, selon l'option que tu choisis. Si tu choisis le cryptage par utilisateur, seul l'utilisateur qui a crypté les données pourra les décrypter.

ça donne un code dans ce style :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
using System.Security.Cryptography;
 
...
 
static string ProtectPassword(string clearPassword)
{
    byte[] bytes = Encoding.UTF8.GetBytes(clearPassword);
    byte[] protectedBytes = ProtectedData.Protect(bytes, null, DataProtectionScope.CurrentUser);
    return Convert.ToBase64String(protectedBytes);
}
 
static string UnprotectPassword(string protectedPassword)
{
    byte[] protectedBytes = Convert.FromBase64String(protectedPassword);
    byte[] bytes = ProtectedData.Unprotect(protectedBytes, null, DataProtectionScope.CurrentUser);
    return Encoding.UTF8.GetString(bytes);
}

[Anozer]

C'est encore mieux que ce que je cherchais. Merci infiniment, je vais potasser ça cette semaine. Tu me tire une belle épine du code.

Edit : c'est tellement simple que cela ne m'a pris que quelques minutes pour l'implémenter. Cela marche à merveille. Cependant, j'ai du ajouter une référence à System.Security (Click droit sur les références > ajouter).