Discussion :

[acheo]

Voici ma question. J'ai un exécutable qui roule sur un PC (codé en c#). Lorsqu'on le lance, un fenêtre de login s'ouvre et l'usager doit entrer son nom d'usager et son mot de passe, lesquels ont été préalablement assignés en joignant un site web. Lorsque l'usager clique sur le bouton OK, une requête (accès distant) est envoyée au serveur qui vérifie si cet usager existe dans la base de donnée. Nécessairement, pour faire des requête d'accès distant, je dois intégrer dans le code de l'excécutable le mot de passe et le nom de la base de donnée pour se connecter à celle-ci.

Comment puis-je encrypter ces paramètres sans donner aux usagers la méthode et les paramètres d'encryption. Comme je ne contrôle pas la réception de la requête du côté serveur, je dois désencrypter du côté client et cela rendra visible toute la mécanique d'encryption?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
MySqlConnection connection = new MySqlConnection("server=mysql.xxxxx.com;port=yyyy;database=zzzzzzzzzz;Persist Security Info=no;uid=aaaaaaaaaa;password=bbbbbbb");
MySqlDataReader Reader;
MySqlCommand command = connection.CreateCommand();
command.CommandText = "SELECT * FROM Users WHERE userName='" + userNameTxtBx.Text + "' AND password ='" + passwordTxtBx.Text + "'";
connection.Open();
Reader = command.ExecuteReader();

[Kaidan]

Si tout se passe sur le client, il sera possible de récupérer la méthode et les paramètres qui ont servi à crypter les informations.

C'est d'autant plus facile en C# puisque même compilé dans une assembly, le code est, dans la plupart des cas, facilement récupérable par les désassembleurs disponibles gratuitement sur Internet.

PS : ce message n'aurait pas dû être posté dans le forum ASP.NET puisque tu parles d'application Windows. ll fallait poster soit dans C#, soit dans Windows Forms.

[acheo]

Alors comment procède-t-on avec des applications qui effectuent des requêtes à accès distants?

[Kaidan]

On peut créer un compte sur le SGBD par utilisateur. Ainsi, on passe le login / mot de passe de l'utilisateur dans la chaîne de connexion et c'est le SGBD directement qui vérifie si l'utilisateur a le droit de se connecter ou pas. Un autre avantage de cette méthode est de pouvoir utiliser directement l'infrastructure sécurité du SGBD.