améliorer la sécurité de mon application, comment?

Salut,

svp, est ce que vous pouvez m'aider sur la sécurité de mon application, que j'aimerais la partager sur un réseau local.

est ce que je dois crypter les mots de passe des utilisateurs, par sql server ou au niveau de l'application (vb.net), ou dois je crypter la chaîne de connexion?
et comment ?

c'est la première fois que je vais mettre en place une application qui doit etre utilisée par différents utilisateurs via un réseau local, est ce que, au niveau de serveur, que vais installer sql server pour l’accès à la BD, et l’exécutable de l’application sur chaque poste des clients, c'est bien cela?

merci :D

Crypter (ou hasher) les mots de passe. Ne pas les sauver en clair dans la db. Avoir une connections sécurisée entre le client et la db. Et crypter la chaîne de connexion. Avec ça c'est déjà bien. Ça s'arrêtera pas un hacker expérimenté, mais j'imagine que tu n'as pas de secrets d'État.

On peut rajouter qu'il faut utiliser des requêtes SQL paramétrées afin de se prémunir un minimum contre les attaques par injection. Cela dit, ce n'est pas non plus un remède miracle.

Il est aussi recommandé de bien valider les saisies utilisateurs, côté serveur comme côté client.

Il existement beaucoup d'autres conseils à prendre en compte. Microsoft a publié il y a déjà quelques temps un guide appelé "Patterns & Practices" qui recense les best practices...

Bonjour,

je vous remercie beaucoup,

pour le cryptage, j'ai remarqué qu'il existe sur visual studio des méthodes comme
Security.Cryptography.SHA256Managed et Security.Cryptography.MD5CryptoServiceProvider

je les ai testé, on me généré des codes composés de chiffres et de lettres.
lequel à utiliser?

par exemple, lorsqu'un utilisateur crée son compte sur l'application, je vais d'abord le crypter selon une de ces 2 méthodes, puis j'enregistre le texte chiffré sur la base de donnée, dans la colonne dédiée aux mots de passe.
et si l'utilisateur entre son mot de passe pour acceder à son espace dans l'application, je vais crypter le mot de passe saisi et je le compare avec celui qui est sauvegarder dans la base.c'est bien cela?


et comment crypter la chaine de connexion?

est ce que vous pouvez me suggérez des techniques ?

merci

Citation:

---

Envoyé par spring.time

pour le cryptage, j'ai remarqué qu'il existe sur visual studio des méthodes comme
Security.Cryptography.SHA256Managed et Security.Cryptography.MD5CryptoServiceProvider

je les ai testé, on me généré des codes composés de chiffres et de lettres.
lequel à utiliser?

---

Il vaut mieux utiliser SHA256, car il est considéré comme plus fort que MD5. Il suffit d'une petite recherche Google pour s'en rendre compte.

Citation:

---

Envoyé par spring.time

par exemple, lorsqu'un utilisateur crée son compte sur l'application, je vais d'abord le crypter selon une de ces 2 méthodes, puis j'enregistre le texte chiffré sur la base de donnée, dans la colonne dédiée aux mots de passe.
et si l'utilisateur entre son mot de passe pour acceder à son espace dans l'application, je vais crypter le mot de passe saisi et je le compare avec celui qui est sauvegarder dans la base.c'est bien cela?

---

Oui c'est bien ça ! Tu compares les 2 hash, et s'ils sont identiques c'est que c'est le bon mot de passe.

Citation:

---

Envoyé par spring.time

et comment crypter la chaine de connexion?

---

Ce lien te fournira des exemples de ce que tu cherches à faire : http://msdn.microsoft.com/en-us/library/ms254494(v=vs.100).aspx

merci :D

vous avez dit que l'algorithme SHA256 est plus consistant que celui de MD5, mais dans quel cote?
j'ai pu trouvé un bout de code:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13

' Pour convertir le mot de passe en tableau de byte: Dim encoder As New System.Text.UnicodeEncoding ' On obtient un tableau à partir du mot de passe entré: Dim password() As Byte = encoder.GetBytes(T_m.Text) ' Pour crypter le mot de passe: Dim sha As New Security.Cryptography.SHA256Managed 'MD5CryptoServiceProvider ' On obtient le mot de passe crypté: Dim PassSHA() As Byte = sha.ComputeHash(password) ' T_r.Text = CType(PassSHA, String) Dim r As String r = BitConverter.ToString(PassSHA) T_r.Text = r

---

que vous en dites?


lorsque je compare le mot de passe déjà crypté avec ce qui est saisi,est ce qu'il y ' a un risque de le sniffer et de lui appliquer le décryptage avec SHA256?

concernant le chiffrement de la chaine de connexion, que pourriez vous me suggérer?
merci

Citation:

---

Envoyé par spring.time

vous avez dit que l'algorithme SHA256 est plus consistant que celui de MD5, mais dans quel cote?

---

Premièrement, MD5 est sorti en 1991, alors que SHA256 date de 2001. SHA256 est plus sophistiqué et plus "à jour".

MD5 génère un hash sur 128 bits, alors que SHA256 est sur 256 bits. Donc pour SHA256, la probabilité d'une collision (2 messages différents, mais ayant au final le même hash) est beaucoup plus faible que pour MD5.

Au final, cela ne signifie pas qu'il ne faut pas utiliser MD5, mais MD5 pourra être utilisé dans des scénarios où les besoins en sécurités seront moindres. Pour des scénarios où les besoins en sécurité sont plus développés, alors il ne faut pas hésiter à utiliser SHA-256.

Après, je ne suis pas expert en cryptographie, donc je me fie juste à ce que j'ai pu lire sur le sujet sur le web, et à mon expérience personnelle.

Citation:

---

Envoyé par spring.time

j'ai pu trouvé un bout de code:

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13

' Pour convertir le mot de passe en tableau de byte: Dim encoder As New System.Text.UnicodeEncoding ' On obtient un tableau à partir du mot de passe entré: Dim password() As Byte = encoder.GetBytes(T_m.Text) ' Pour crypter le mot de passe: Dim sha As New Security.Cryptography.SHA256Managed 'MD5CryptoServiceProvider ' On obtient le mot de passe crypté: Dim PassSHA() As Byte = sha.ComputeHash(password) ' T_r.Text = CType(PassSHA, String) Dim r As String r = BitConverter.ToString(PassSHA) T_r.Text = r

---

que vous en dites?

---

A vue d'oeil, ça a l'air bon ! As-tu pu tester ce code ?

Citation:

---

Envoyé par spring.time

lorsque je compare le mot de passe déjà crypté avec ce qui est saisi,est ce qu'il y ' a un risque de le sniffer et de lui appliquer le décryptage avec SHA256?

---

La comparaison de Hash est courament utilisée. Il doit forcément exister des risques, dépendant de ton architecture techniques (firewalls, etc.) et de l'architecture de l'application.

Il ne faut pas sombrer dans la paranoïa aigue, même s'il ne faut pas non plus négliger les risques de sécurité...

Citation:

---

Envoyé par spring.time

concernant le chiffrement de la chaine de connexion, que pourriez vous me suggérer?

---

Je te renvoie une nouvelle fois vers ce lien : http://msdn.microsoft.com/en-us/library/ms254494(v=vs.100).aspx#sectionToggle2 (j'ai rajouté une ancre pour te positionner au bon endroit). Ils te montrent comment procéder pour utliser une chaîne de connexion cryptée, que ce soit dans une appli Web ou Win.




Comme je l'ai précisé plus haut, je ne suis pas expert sur ces sujets donc si quelqu'un a des infos complémentaires, n'hésitez pas, ça m'intéresse aussi :)

salut :)

je vous remercie, Matt07, pour cet éclaircissement.

oui, pour le code, je l'ai testé, mais, j'hésite au niveau de la base de données, pour la taille de la colonne qui va accueillir ces mots de passe chiffrés, est ce je met nvarchar(max) ?

excusez moi, mais j'ai pas bien comment crypter la chaine de connexion, dans ce lien :oops:

Citation:

---

Envoyé par spring.time

lorsque je compare le mot de passe déjà crypté avec ce qui est saisi,est ce qu'il y ' a un risque de le sniffer et de lui appliquer le décryptage avec SHA256?

---

Sauf que SHA256 (tout comme MD5 et les autres SHA) sont des algorithmes de hashage. C'est une fonction à sens unique, il n'est pas possible de passer la moulinette à l'envers (sauf cas de force brute). A partir d'un hash, tu ne peux pas retrouver le mot de passe.

d'accord :) est ce qu'on peut dire que c'est un point positif, le fait de ne pas avoir l'origine de mot chiffré ? n'est ce pas?