Questions de sécurité

Version imprimable

27/04/2016, 00h03
MdSonper

Questions de sécurité

Bonjour à tous et à toutes !

Voilà, j'ai plusieurs questions en tête, j'ai bien sûr cherché, mais j'ai pas été entièrement satisfais des réponses trouvées :x

Je compte concevoir un petit programme (login) qui utilisera une base de donnée (MySQL).

Ce programme en question sera installé sur le pc des utilisateurs.

Pour que mon programme accède à la BDD, je vais devoir utiliser le MySQL distant, donc y stocker les identifiants de connexion dans le code (Programme obfusqué).

Voici donc ma première question.

Les identifiants/données peuvent-ils être "sniffer" via un logiciel tel que Wireshark ?

Vu que je n'aime absolument pas mettre des identifiants dans un code, j'ai envisagé une autre solution.

Prendre un VPS, y développer un programme "server" et "client" (mon programme de base).

Le programme "client" enverra les données via sockets au "server" et celui-ci ce chargera de traiter les informations (insert BDD, ect...).

Donc impossible de voler les identifiants SQL.

Je me suis renseigné sur les sockets, je sais qu'on peut les sniffer voir même les modifier.
Pour régler ce problème, je compte utiliser le système RSA (clé publique/privée) pour crypter les échanges.

J'en viens donc à ma seconde question,

Quelles méthodes choisir parmi ces deux là ? Comment bien communiquer avec sa BDD distante ? (sécurité, fluidité)

Je vous remercie d'avance :)
27/04/2016, 09h17
mactwist69

MySQL autorise les connexions sécurisées via SSL.
Ca me parait être le plus simple...
27/04/2016, 11h13
wallace1

Bonjour,

Il n'a pas été nécessaire de poursuivre la lecture de ton message puisque déjà à cet endroit ça coince :

Citation:

Pour que mon programme accède à la BDD, je vais devoir utiliser le MySQL distant, donc y stocker les identifiants de connexion dans le code (Programme obfusqué)

Il ne fait pas croire qu'obfusquer ton programme rendra impossible la récupération des données sensibles.
Il faut effectivement éviter ce point qui vise à stocker "en clair" l'identifiant de connexion à ta DB dans ton programme côté client..... C'est une grosse faille de sécurité.
Concernant la sécurité Server Side, il existe ce vieux projet pour t'en inspirer éventuellement : LiteCode

@mactwist69 : :plusser:

++
27/04/2016, 20h19
MdSonper

Citation:

Envoyé par mactwist69

MySQL autorise les connexions sécurisées via SSL.
Ca me parait être le plus simple...

Simple, mais les identifiants sont stockés en clair :/

Citation:

Envoyé par wallace1

Bonjour,

Il n'a pas été nécessaire de poursuivre la lecture de ton message puisque déjà à cet endroit ça coince :

Il ne fait pas croire qu'obfusquer ton programme rendra impossible la récupération des données sensibles.
Il faut effectivement éviter ce point qui vise à stocker "en clair" l'identifiant de connexion à ta DB dans ton programme côté client..... C'est une grosse faille de sécurité.
Concernant la sécurité Server Side, il existe ce vieux projet pour t'en inspirer éventuellement : LiteCode

@mactwist69 : :plusser:

++

Je savais que l'obfuscation permet en gros de ralentir ou d'éliminer quelques rigolo mais ne protégeait pas à 100%, c'est pour cela que j'ai envisager la deuxième solution.

Merci de ton exemple, je ne connaissais pas du tout :o Pour le moment j'allai utiliser cette exemple. C'est à peu près la même chose si j'utilise le cryptage RSA à chaque échange ?

De plus je maîtrise plus le VB, le C# j'apprend :)
27/04/2016, 21h42
Pol63

le cryptage si tu as la clé dans ton code ca reste moyen aussi ...
27/04/2016, 21h50
MdSonper

Citation:

Envoyé par Pol63

le cryptage si tu as la clé dans ton code ca reste moyen aussi ...

Je ne compte pas stocker de clé dans le code, vu que c'est un système de login, donc chaque utilisateur aura ses clés (public/privée). Encore savoir où les stocker... :D

Quelle méthode est la plus adéquate/sécurisée ?
27/04/2016, 22h22
Pol63

moi je n'y connais pas grand chose en sécurité, je suis toujours parti du principe que rien était sécurisable en .net
il y en a bien qui parlent du fichier de config avec partie sécurisable, mais ca me laisse perplexe (ex: http://www.codeproject.com/Articles/...indows-Forms-A)

après uwp étant compilé en natif d'autres disent que là ca commence à être sécurisable
28/04/2016, 09h51
sinople

Au niveau de l'exécutable il n'y a pas grand chose de sécurisable. L'obfuscation a surtout pour objectif de protéger la logique métier dans ton code et en aucun cas les ressources de type mot de passe. Et ceci concerne aussi bien les applications natives que les .net qui peuvent aussi faire l'objet d'une ingénieurie inverse (c'est juste le niveau de difficulté qui change)

Il est possible par contre d'utiliser les mécanisme de Windows pour stocker un login/un mot de passe entré par l'utilisateur lors de la 1ère utilisation de façon sécurisée.

Si tu considère que l'utilisateur ne doit pas avoir accès à cette information (tu veux pas gérer les droits par utilisateur dans la base de données ou que l'utilisateur ne doit pas avoir accès directement à la base). Ton problème se situe au niveau de ton architecture tels que tu nous la décrite.
28/04/2016, 15h32
MdSonper

Merci de vos réponses.
Après quelques recherches, je pense utiliser cette méthode (via sockets) pour une connexion par exemple :

(le programme client possède la clé public du programme server)

- le programme "client" génère 1 paire de clé, chiffrement asymétrique. (public/privée)
- le programme génère aléatoirement une clé, chiffrement symétrique
- le programme chiffre cette clé avec la clé public du programme "server"
- le programme re-chiffre avec sa propre clé privée
- le programme envoi sa clé public + le chiffrement

- le programme "server" déchiffre avec sa clé privé
- le programme déchiffre avec la clé public du programme "client"
- le programme possède maintenant la clé symétrique du programme "client"

Maintenant les échanges entre server et client seront chiffrés par la clé symétrique.

Est-ce que cette méthode est bonne ? Y-a-t-il des failles ou autres ?

Citation:

Il est possible par contre d'utiliser les mécanisme de Windows pour stocker un login/un mot de passe entré par l'utilisateur lors de la 1ère utilisation de façon sécurisée.

S'agit-il de la classe ProtectedData ?
Si non, est-il possible d'avoir plus de détails ? merci :)
28/04/2016, 18h01
sinople

Citation:

S'agit-il de la classe ProtectedData ?
Si non, est-il possible d'avoir plus de détails ? merci

Gestion des informations d'identification à l'aide du .NET Framework 2.0

Après mes développement utilise l'authentification windows de l'utilisateur pour se connecter à la base de données (SQL Server), donc je peux pas t'aider plus loin.