Безопасное подключение к базе

@Sayanchik777 · Регистрация: 09.05.2015

Author24 — интернет-сервис помощи студентам

какие есть варианты безопасного подключения к базе?Пароль БД с екзешника можно же достать

@IamRain · 29.07.2018, 19:33

Сообщение от Sayanchik777

какие есть варианты безопасного подключения к базе

Обычно логин/пароль хранят в файле конфигурации.
Если не хотите хранить plain текстом, но храните зашифрованный пароль в base64 строке, а перед использованием расшифровывайте на лету.

@Sayanchik777 · 29.07.2018, 20:27 **[ТС]**

Сообщение от IamRain

Обычно логин/пароль хранят в файле конфигурации.
Если не хотите хранить plain текстом, но храните зашифрованный пароль в base64 строке, а перед использованием расшифровывайте на лету.

но это все уязвимо. как зашифровал так само и прочитать можно)))

@IamRain · 29.07.2018, 20:37

Сообщение от Sayanchik777

но это все уязвимо. как зашифровал так само и прочитать можно)))

Да вообщем-то все сломать можно, тем более управляемый код, тема эта заезжена по самое нехочу.
Ваша задача - создать некоторый банальный минимум защиты, чтобы скрыть пароль от обычных пользователей, хотя бы.

Ну тривиально сделать трехзвенку: Client - API - БД. Client в принципе не будет иметь ни строк подключения, ничего. Только лишь ограниченный интерфейс на API, а API уже работает с БД. Очень распространенное решение.

@OwenGlendower · 29.07.2018, 20:42

Sayanchik777, если речь идет о MS SQL, то можно использовать Windows аутентификацию. В этом случае в строке подключения не указыватся ни логин ни пароль, а подключение идет от имени текущего пользователя.

@Sayanchik777 · 30.07.2018, 00:11 **[ТС]**

Сообщение от OwenGlendower

если речь идет о MS SQL

Да речь о MS SQL, Что такое API? Знаю что АПИ это функции которые находятся у файлах операционной системы, который можно вызывать.
А в MS SQL что такое API - дайте пример. только не плите меня на вики

@Usaga · 30.07.2018, 07:58

Sayanchik777, если хранение пароля на клиенте считается небезопасным, а использовать Windows-аутентификацию вы не хотите (или не можно), то это яркий и чёткий признак того, что такому клиенту вообще нельзя напрямую подключаться к СУБД и нужна клиент-серверная архитектура.

Всё остальное - самоудовлетворение и не больше. Хотите обезопасить данные в базе? Прячьте их за собственным сервером.

@insite2012 · 30.07.2018, 08:30

Сообщение от Sayanchik777

Что такое API?

API (программный интерфейс приложения, интерфейс прикладного программирования) (англ. application programming interface, API [эй-пи-ай][1]) — набор готовых классов, процедур, функций, структур и констант, предоставляемых приложением (библиотекой, сервисом) или операционной системой для использования во внешних программных продуктах. Используется программистами при написании всевозможных приложений.

В данном контексте обсуждения API-это ваше приложение (серверная сторона), через которую (как через прослойку) и будут общаться с БД все клиенты. Таким образом, клиенты не будут иметь возможности подключаться к БД (по сути, они вообще ни о какой БД не могут знать, которой может и не быть). Они просто подключаются к вашему API и вызывают его методы. Все, что делают эти методы, с чем соединяются-не их дело.
Способы реализации данного варианта-масса. Начиная с чистых сокетов, далее WCF, SignalR, ASP.NET MVC/WebAPI, ASP.NET Core.
Я бы посоветовал последний вариант.

@Sayanchik777 9 / 9 / 6 Регистрация: 09.05.2015 Сообщений: 529
		1
	Безопасное подключение к базе 29.07.2018, 19:21. Показов 2359. Ответов 7 Метки нет (Все метки) какие есть варианты безопасного подключения к базе?Пароль БД с екзешника можно же достать 0

@IamRain 3462 / 2473 / 695 Регистрация: 02.08.2011 Сообщений: 6,704
	29.07.2018, 19:33	2
	Сообщение от Sayanchik777 какие есть варианты безопасного подключения к базе Обычно логин/пароль хранят в файле конфигурации. Если не хотите хранить plain текстом, но храните зашифрованный пароль в base64 строке, а перед использованием расшифровывайте на лету. 0

@Sayanchik777 9 / 9 / 6 Регистрация: 09.05.2015 Сообщений: 529
	29.07.2018, 20:27 [ТС]	3
	Сообщение от IamRain Обычно логин/пароль хранят в файле конфигурации. Если не хотите хранить plain текстом, но храните зашифрованный пароль в base64 строке, а перед использованием расшифровывайте на лету. но это все уязвимо. как зашифровал так само и прочитать можно))) 0

@IamRain 3462 / 2473 / 695 Регистрация: 02.08.2011 Сообщений: 6,704
	29.07.2018, 20:37	4
	Сообщение от Sayanchik777 но это все уязвимо. как зашифровал так само и прочитать можно))) Да вообщем-то все сломать можно, тем более управляемый код, тема эта заезжена по самое нехочу. Ваша задача - создать некоторый банальный минимум защиты, чтобы скрыть пароль от обычных пользователей, хотя бы. Ну тривиально сделать трехзвенку: Client - API - БД. Client в принципе не будет иметь ни строк подключения, ничего. Только лишь ограниченный интерфейс на API, а API уже работает с БД. Очень распространенное решение. 0

@OwenGlendower Администратор 17019 / 13372 / 5217 Регистрация: 17.03.2014 Сообщений: 27,342 Записей в блоге: 1
	29.07.2018, 20:42	5
	Sayanchik777, если речь идет о MS SQL, то можно использовать Windows аутентификацию. В этом случае в строке подключения не указыватся ни логин ни пароль, а подключение идет от имени текущего пользователя. 1

@Sayanchik777 9 / 9 / 6 Регистрация: 09.05.2015 Сообщений: 529
	30.07.2018, 00:11 [ТС]	6
	Сообщение от OwenGlendower если речь идет о MS SQL Да речь о MS SQL, Что такое API? Знаю что АПИ это функции которые находятся у файлах операционной системы, который можно вызывать. А в MS SQL что такое API - дайте пример. только не плите меня на вики 0

@Usaga 12079 / 8388 / 1281 Регистрация: 21.01.2016 Сообщений: 31,601
	30.07.2018, 07:58	7
	Sayanchik777, если хранение пароля на клиенте считается небезопасным, а использовать Windows-аутентификацию вы не хотите (или не можно), то это яркий и чёткий признак того, что такому клиенту вообще нельзя напрямую подключаться к СУБД и нужна клиент-серверная архитектура. Всё остальное - самоудовлетворение и не больше. Хотите обезопасить данные в базе? Прячьте их за собственным сервером. 0

@insite2012 5534 / 4298 / 1217 Регистрация: 12.10.2013 Сообщений: 12,332 Записей в блоге: 2
	30.07.2018, 08:30	8
	Сообщение было отмечено Sayanchik777 как решение Решение Сообщение от Sayanchik777 Что такое API? API (программный интерфейс приложения, интерфейс прикладного программирования) (англ. application programming interface, API [эй-пи-ай][1]) — набор готовых классов, процедур, функций, структур и констант, предоставляемых приложением (библиотекой, сервисом) или операционной системой для использования во внешних программных продуктах. Используется программистами при написании всевозможных приложений. В данном контексте обсуждения API-это ваше приложение (серверная сторона), через которую (как через прослойку) и будут общаться с БД все клиенты. Таким образом, клиенты не будут иметь возможности подключаться к БД (по сути, они вообще ни о какой БД не могут знать, которой может и не быть). Они просто подключаются к вашему API и вызывают его методы. Все, что делают эти методы, с чем соединяются-не их дело. Способы реализации данного варианта-масса. Начиная с чистых сокетов, далее WCF, SignalR, ASP.NET MVC/WebAPI, ASP.NET Core. Я бы посоветовал последний вариант. 1

Безопасное подключение к базе

Решение