Protéger ou crypter des données

**BatistG** · 17/06/2010, 17h42

Bonjour à tous,

j'aimerais trouver un moyen efficace me permettant de pouvoir crypter des données sensibles (username, mot de passe, adresse IP, ect). Je sauvegarde ces données dans un fichier quelconque. Ces données cryptées doivent pouvoir être utilisables par mon application java.

Une solution consiste à crypter ces données par les divers algorithmes existant. Pour se faire, il faut un "secret" qui permet de crypter/décrypter les données. Mon problème actuellement, c'est que je ne sais pas où stocker ce "secret". En effet, si je le mets en code dure dans mon application java, une personne pourrait décompiler la classe pour y trouver ce secret. Même si j'obfusce le code.

La question est : par quel moyen est-il possible de crypter des données dans un fichier ou les cacher par un autre moyen, sans qu'un "secret" ne se retrouve dans le code?

Merci d'avance pour votre attention,

Jean

**dinobogan** · 17/06/2010, 17h59

Sujet maintes fois abordé...
Il n'y a aucun moyen 100% fiable en local.
Si tu as la possibilité, utilises un serveur distant pour le stockage, même si ce n'est pas non plus LA solution absolue.

Une chose très importante à prendre en compte : ne jamais utiliser toute la flotte nord-atlantique pour tuer un moustique. Tu ne dois pas sur-sécuriser tes données par rapport aux risques de hack car il y aurait perte de temps et complexité de ton application.
Il faut trouver un juste milieu. Tu dois aussi voir à qui s'adresse ton application et quel est l'importance des données à protéger.

Invité · 17/06/2010, 19h56

Salut,

Oui comme dit dinobogan, pourquoi sortir la grosse artillerie si on veut juste protéger des recettes de cuisine personelles.
Le plus simple est bien sûr de demander à l'utilisateur un mot de passe, ce mot de passe permettant de déchiffrer le fichier où sont stockées les données sensibles. Ca ne requiert aucune connexion à un quelconque server et le secret n'est stocké nulle part en dur. Bien sûr comme toujours le mot de passe peut être trop simple, écrit dans un fichier en clair à côté de programme de lancement de l'appli etc. mais là c'est de la responsabilité individuelle des gens et tout dépend de leur "éducation" et sensibilisation aux risques.
Ensuite la question à se poser pour le server est : de qui veux-je protéger ces données ?
D'un utilisateur non autorisé ? dans quel cas le mot de passe de l'utilisateur autorisé est le mieux.
Ou de l'utilisateur. ? Par exemple je ne veux pas qu'il ait accès au mot de passe de la base de données de mon server car il pourrait faire du dégât dedans. Dans un tel cas, l'utilisateur du logiciel ne doit à aucun moment avoir accès au secret, et donc la solution de l'appli qui demande une clef au server est mieux. Avec un bémol : si n'importe quelle appli peut recevoir la clef du server, alors n'importe qui qui prendrait la peine de décompiler ton code pour trouver un mot de passe y aura accés, car il verra l'adresse du server et il lui suffirait de simuler la requête de ton application au server pour recevoir la clef.
Ce problème qui répond à un question toute simple est en réalité très complexe.

Je vais couper court à mpon texte (comme on dit ici "lange Rede, kurzer Sinn"), et il faudrait en fait que tu nous dises de qui tu veux protéger les ressources (mot de passe, adresse IP, etc...), ce qui nous permettrait de mieux t'orienter et t'aider.

A plus