Discussion :

[Ralpho]

Bonjour,
J'ai un programme qui se connect a des base de données et a des ftp.
Les login de ces connexion sont visible en clair dans la source.

Comment puis je crypter la source de manière a ce que ces login ne puissent pas être connu ....?

[Manopower]

si tu ne distribue que l'executable de ton application aucun moyen (je crois) de retrouver une chaine de caractère écrite en dur dans les fichiers sources !

[souch]

si tu doit réélement stocker ses infos dans ton executable (ce qui, meme crypté nest pas super niveau sécu), tu peut crypter tes strings user et password, a l'aide d'un algorytme de cryptage.
en cherchant 'delphi md5' (par exemple) sur google ou sur le forum tu trouvera rapidement l'unité md5 et la maniere de l'utiliser pour crypter et décrypter des chaines.
Sinon, tu trouvera d'autres algo de cryptage (blowfish,sha,md5 etc il y en a pleins), sur torry.net, sous forme de compo, certains (et pas les pires) en freewares.
vala monsieur

[souch]

Pour répondre à Sylvain, a part si c'est écrit en tant que commentaires, tout texte compilé est facilement retrouvable dans l'exe ... via un simple éditeur hexadécimal, en faisant un dump, ou encore avec des outils comme reshack, processexplorer etc..

[Ralpho]

Merci les gars.
Je vais tenter un cryptage en md5.

Mais bon pour un prog qui fait de l'upload sur mon ftp, je suis bien obligé de mettre les logins dans le exe.

[cpdump]

Le md5 n'est pas un algo de chiffrement, mais de hachage, cad qu'on ne peut pas récupérer le texte haché par une opération inverse.

[Manopower]

Pour répondre à Sylvain, a part si c'est écrit en tant que commentaires, tout texte compilé est facilement retrouvable dans l'exe ... via un simple éditeur hexadécimal, en faisant un dump, ou encore avec des outils comme reshack, processexplorer etc..

Désolé je suis trop naïf, ça ne me viendrait pas à l'idée d'aller fouiller dans un exe, enfin bon si ça amuse certains : Mais merci, si un jour je fais une appli secret défense, je ne mettrais pas des chaînes en dur !

[souch]

autant pour moi, (on sy perd parfois :p), utilise alors du Blowfish ou Rijndael, c'est assez baleze , j'utilise parfois le compo LockBox, http://sourceforge.net/projects/tplockbox/ qui est pas mal, et simple. il te donne le choix entre plusieurs algo.

une appli secret défense

bha il suffit d'une appli avec un login mot de passe d'une base de donnée ou d'un ftp dont tu n'aimerais pas l'utilisation détournée ....

[Ralpho]

Je fais une connexion avec idFtp
Je suis incapable de la crypter (je recher actuellment sur google)

Par contre j'ai vérifer, un simple sniffer et je récup les logins.


Comment faire une connexion ftp sécuriser ? (merde c'est p-e ds la faq, si oui, réponder pas je vais chercher)

Edit:
---> non rien dans la faq sur le cryptage

[cpdump]

Je fais une connexion avec idFtp
Je suis incapable de la crypter (je recher actuellment sur google)

Par contre j'ai vérifer, un simple sniffer et je récup les logins.

Comment faire une connexion ftp sécuriser ?

Ne pas utiliser le FTP, mais du SFTP.

[souch]

Non, pas dans la faq... si je me souvient bien, on peut faire des connexion ftp sécurisé avec indy, je te conseille de demander sur les newsgroup indy, mais en tout cas, il te faut un serveur SFTP derriere, et pas FTP, sans c'est impossible de sécuriser une connexion FTP, tout passe en clair ... apres, il faut voir le degré de sécurité et le temp de dev. que tu est pret a mettre dans ton projet, et voir si tu a des solutions alternatives (création d'user par utilisateur, restriction des droits de ce user au maximum sur le serveur selon ces besoins etc..

[Ralpho]

Impossible, le ftp en question restera ftp, je n'ai maheureuseument pas le choix

[portu]

Par authentification SSL, je pense que les Indy doivent gérer celà !
Sinon,

un sniffer est capable d'intercepter le login et password !

oui Surement ! Mais bon, si tu vas par là, y aura tj un moyen pour le trouver (Scanner la mémoire de l'application par exemple --> ca doit être aussi possible non ?). Enfin, on ne sera jamais à l'abris de ce cas là !

[Ralpho]

Je suis entrain de voir les ssl, mais faut absolument que ce soit sécurisé, sinon il n'y a aucun interet.

Bon ok, je vais devoir créer mon propre ftp...
C'est pas pratique qd mm...

[souch]

si le serveur FTP reste FTP, tu aura pas moyen de faire qqch de bien ...

(Scanner la mémoire de l'application par exemple --> ca doit être aussi possible non ?).

possible, mais si tu stocke ta variable en crypté, que tu la passe a ta connexion, (via un tidftp par exemle, et dynamique pas posé sur une fiche) et que tu la vide (ou met a nil) des que possible, tu reduit le temp ou elle est en clair dans la mémoire a qqs millisecondes, et c chaud a tracer (mais certe pas impossible), d'ailleur il sera + simple de sniffer en sortie la connexion FTP

Bref, si tu doit utiliser un serveur FTP, je croi que c'est mort !

[Ralpho]

Non c'est bon j'ai trouver comment résoudre mon pb.
Je fait un ftp perso avec un compte qui a comme droit uniquement d'ajouter des fichiers, et je n'aurai uncun risque de supression.

Par contre faire mon propore ftp me soul un peu, mais tan pis.

[souch]

Par contre faire mon propore ftp me soul un peu, mais tan pis.

-> FileZilla Server = petit,rapide,opensource,gratuit, support SSL.

[Ralpho]

Faut encore avoir un ordi allumé 24/24,
j'ai un vieux pc qui pourait faire ça, mais c'est un peu gènant qd mm.

[souch]

ha oui, tu comptait mettre ca sur un hebergeur ...
et bien, si le besoin de sécurité est grand, a part changer d'hebergeur pour un qui te propose le ftps/ssl, ou de prendre un serveur dédié (yen a des virtuels, mi-dédié,mi-mutialisés, pas cher et que tu install a ta sauce), je vois pas ...