Discussion :

[vegas]

Bonjour,

connaissez vous le pattern à utiliser pour authentifier une application auprés d'un servcie WCF?
L'idée de base étant que l'on ne trust ni la machine, ni le user.

EN gros je veux éviter que quelqu'un developpe une appli qui se connecte à mon service, et je ne fais pas confiance à un user (donc un login/mot de passe ne convient pas) ni à la machine.
Le certificat n'est donc pas bon, puisque l'installation du programme malveillant sur la machine suffirait à donner les droits (si j'ai bien compris).

L'idée est donc de ne faire confiance qu'à une application développée par ma société.
Y at-il possibilité d'embarquer le certificat dans l'application (et non dans le magasin)? ou autre méthode? comme un token application qui serait fourni au service par l'application elle meme??

Merci pour votre aide
Rod

[tomlev]

Tu peux toujours mettre le certificat en ressource dans ton appli, mais dans ce cas n'importe qui peut l'extraire et l'utiliser dans son programme... je ne pense pas qu'il existe une solution simple à ton problème

[Bluedeep]

Bonsoir

Comme le dit Tomlev, il n'existe probablement pas de solution simple au problème.

J'en entrevois néanmoins une (relativement) simple, mais basé sur un concept généralement rejeté en terme de sécu, en l'occurrence l'utilisation d'un "algorithme secret".

L'idée de base :

- une des assembly de ton application coté client, doit être "obfuscated".

- cette assembly (en sus de contenir du code métier critique) contient un algo de transformation "secret" (basé par exemple sur une combinaison d'algo de hash).

- ton programme reçoit du serveur à intervalle régulier une clef aléatoire.
- à l'aide de son "algo secret" il calcul une valeur basée sur cette clef et la renvoi au serveur.

- le serveur possède la même implémentation de l'algo et est donc capable de comparer la valeur transformée par le client à la transfo qu'il a fait subir à la clef aléatoire envoyée (la clef n'a pas besoin d'être vraiment aléatoire : une combinaison de deux ou trois GUID suffit ici).

- tant que ces échanges sont ok, on poursuit.

Bien sur , la sécurité ici est basée sur la capacité que tu as à conserver cet algo secret : et dans l'absolu c'est pas terrible.

En revanche le système est assez insensible à une attaque "man in the middle".

[tomlev]

Bien sur , la sécurité ici est basée sur la capacité que tu as à conserver cet algo secret : et dans l'absolu c'est pas terrible

Effectivement, l'obfuscation rendra le reverse engineering plus difficile, mais pas impossible... un hacker un peu obstiné finira probablement par en venir à bout.

[vegas]

merci pour vos réponses.
Donc si je comprends bien, ce cas ne fait pas partie des cas d'école?
Rien de prévu out-of-the-box?
Mince!

Merci à vous.
Rod

[vegas]

une petite idée comme ca, qui reposerait sur un standard, est ce que je peux configurer WCF-security pour faire un espèce de user authentication.
Je passe comme user le code de l'application, et le serveur vérifie que ce code est autorisée à appeller le service.
L'application ici jouerait le code de user.
Le code est contenu dans l'appli obfusé, et la communication passe par SSL??

qu'en pensez vous?

merci
Rod