Version imprimable
Bonjour,
Je suis débutant en c#. Je souhaite réaliser un programme dans lequel je crée des comptes utilisateurs pour les réutiliser une autre fois à l'intérieur de l'application quand nécessaire, ainsi qu'il faut prendre en compte la possibilité de modifier ces données.
Alors, mes questions:
-Comment stocker ces données (D'une manière sécurisée) ?
-Comment récupérer ces données?
Merci!
1) quel methode de sotckage?
- stockage interne => necessite la recompilation du logiciel a chaque modification
- stockage externe => tu choisis un format standard qui seras compris pas ton programme
le plus evolutif reste l'externalisation
2) securiser tes donnees
utilisable sur un fichier externe
le plus simple reste la serialisation binaire
il ni a pas de cryptage a proprement dit mais le fichier obtenu n'est pas lisible pas un humain
après il faut savoir qu'après y avoir reflechi il est plutot dur de vraiment securiser des donnes avec uniquement du C# car tout assembly (.dll, .exe....) est decompilable via Reflector par exemple
ainsi le pirate souhaite decoder tes fichiers pourras connaitre la methode de cryptage utiliser(DES, AES, tripleDES....) après internet fait le reste....
Comptes utilisateurs Windows ou des comptes utilisateurs applicatifs ?Citation:
comptes utilisateurs
TheBlackReverand ne dit pas que des choses justes.
Il est tout à fais possible de protéger des données en .NET, même mieux quand code natif, il faut juste prendre les bon outils et avoir fait une bonne étude de vulnérabilité.
Citation:
Envoyé par bacelar
alors là je veux bien savoir comment tu penses qu'on peut protéger quelque chose en .net ...
(à ma connaissance il y a un moyen, mais c'est hors de prix il me semble)
l'obfuscation par exemple, ca peut ralentir légèrement, mais c'est tout ...
Ofuscation du code qui donne un code aussi difficile que du code natif ofusqué.
De plus, pour les données sensibles, il y a la cryptoAPI.
Pol63, pouvez-vous me données un exemple de code dont la sécurité est mise en cause par le runtime .NET.
Je précise que, pour moi, lire de l'assembleur résultant de la décompilation du code natif est aussi simple que de lire du code C# sortant de Reflector.
Si les solutions d’ofuscation .NET vous semblent hors de prix (il y en a des gratuite en version bridée), en code natif, c’est au moins aussi cher.
par exemple, pour un programme devant se connecter à une base de données sans login utilisateur
il faut stocker le mot de passe de la base quelque part
si le mot de passe est stocké dans le programme directement, avec reflector on le retrouve
si on obfusque, on recréé le projet, certes les noms sont illisibles, mais en mode à pas à pas on fini par retrouver où se fait la connexion, et donc on retrouve le mot de passe
si on met le mot de passe dans un fichier crypté, le code pour décrypter le fichier est obligatoirement dans le programme .net ; voir précédemment, on peut donc obtenir le code de décryptage
quand on installe un exe .net, le code MSIL est forcément présent, meme en passant par ngen.exe
A ma connaissance on ne peut pas obtenir un exe en code natif à partir de l'exe .net pour le déployer, et en plus avec ca on perdrait les optimisatoins liées à la machine faites par le JIT.
j'ai entendu parler d'une solution payante, le programme .net est mis sur un dongle crypté lancé par un exe non .net
lire de l'assembleur étant plutot élitiste, je pense qu'on peut se baser sur le fait que pas grand monde ira sur cette voie (ou alors faut avoir un soft qui intéresse du monde)
si vous avez des solutions répondant au cas que j'expose, je suis tout ouï
question subsidiaire, savez vous si on peut s'accocher à un programme .net pendant qu'il s'exécute pour faire de la reflection dessus ...
C'est beaucoup moins élitiste que de passer à travers une offuscation.Citation:
lire de l'assembleur étant plutot élitiste, je pense qu'on peut se baser sur le fait que pas grand monde ira sur cette voie (ou alors faut avoir un soft qui intéresse du monde)
Vos remarque sont toutes aussi vraies pour du code Natif.
Il est très facile de généré du code Natif via Ngen au moment de l'installation de l'application sur la machine.
Cela donne du code natif. Mais je le répète, le code natif n'est pas plus sécure que du code .NET. Les désassembleurs de code natif sont tout aussi puissants que Reflector.
Faites un dumpbin sur votre exe natif et si vous avez fait l'énorme erreur d'avoir mis le mot de passe dans votre code, vous le verrez apparaître dans les données initialisées.
Oui, comme sur du code natif, on appel cela un débuggeur, comme CDC ou encore NTSD etc..Citation:
question subsidiaire, savez vous si on peut s'accocher à un programme .net pendant qu'il s'exécute pour faire de la reflection dessus ...
Pour votre type de connexion, le plus fiable est l'authentification Windows intégré ou l'utilisation de la CryptiAPI avec challenge, response.
ngen nécessite que l'exe .net soit présent sur la machine quand meme ...
l'obfuscation pose des soucis pour ceux qui font de la reflection dans leur programme, donc pas forcément utilisable
reflector est à la portée de tout le monde et très connu, désassembler du code natif, est pratiqué par beaucoup moins de gens
pas compris tout du reste, mais à priori le résumé c'est que la sécurité est impossible en informatique :lol:
Je pense que SoftIce est bien plus connu par les crackers que Reflector.
Il faut connaître la menace avant de pouvoir si protéger.
On peut se protéger en informatique, mais aucune protection n'est infaillible mais ce n’est pas une raison pour laisser les portent ouvertes.