Хранить строку в приложении

Всем привет. Помогите, пожалуйста с курсовой.
Значит задача: Создать приложение с пользовательским доступом (логин/пароль, пользователь может быть пользователем, может быть админом). Значит я делаю следующим образом: В программу уже вшит пользователь "Администратор", при первом запуске предлагается создать ему пароль. Как только пароль создан рядом с приложением создается папка "Users" (по ее наличию, собственно, и проверяется первый запуск), где в файлах в зашифрованном виде хранится информация о пользователе.

Препод говорит, что это не совсем правильное решение, и файла с данными "Администратор" в папке с пользователями быть не должно, так как (цитирую дословно) "Я скопирую пользователей в другое место, прибью папку Users, запущу программу и получу доступ к Администратору, снова введя пароль, потом верну пользователей назад"

Можно ли как то хранить строковую переменную внутри приложения? Или может еще где-то. Или может какой-то другой метод хранения данных о пользователях есть? Буду очень благодарна за советы. Спасибо

0

Сообщение от Pilarentes sqlite

можно подробнее?

0

Сообщение от Kyra90 можно подробнее?

SQLite

0

Сообщение от Kyra90 Препод говорит, что это не совсем правильное решение

Препод какая-то тумбочка: единственное правильное решение, которое нельзя обойти -- клиент-серверное приложение. Все остальное -- до лампочки. Любой заинтересованный за пол дня с гуглом разберется как получить доступ (ну или банально скинет все нужные файлы знакомому "тыжпрограммисту").

А так, просто все содержимое папки шифруется паролем пользователя, и только пользователь сможет прочитать его содержимое. Если предполагается что к данным одного пользователя должен иметь определеный доступ и другие (скажем, только на просмотр без права менять) -- читаем пункт выше. Ну либо SQLite, и сделать вид что все ок.

p.s. вообще какой-то странный преподователь, что приходится ответ на этот вопрос искать на форуме.

Добавлено через 14 минут

Сообщение от Kyra90 Есть основные правила, которые обязательны:

Сразу не обратил внимание. Тут либо SQLite и понимание что "кто захочет, то станет админом, но я научусь работать с БД", либо таки то что я озвучил выше. Ну и на самом деле правильно написанное приложение будет довольно просто переделать под работу с удаленным сервисом.

0

Сообщение от Wolfdp понимание что "кто захочет, то станет админом, но я научусь работать с БД

Говорят, что можно защититься

0

Сделал что-то такое, для начала:


Программа запускается впервые - отсутствует папка Users и файлы в ней.
Кнопка логина подписывается как "Sign Up", т.е. "Создать учетку" с ролью Админа.
После ввода имени пользователя и пароля создается учетная запись админа, создается папка и файл, в который прописывается имя пользователя, роль (int, перечисление) и хешированный пароль.

При повторном запуске программы кнопка логина подписывается уже "Sign In", т.е. "Войти с учетными данными", т.к. в файле users.txt уже есть запись об учетке.

Проверять первичный запуск программы нужно не по наличию/отсутствию папки Users, а по наличию валидной записи учетных данных в файле (БД).

2

Kyra90, а теперь пусть ваш препод пробует получить исходный пароль из файла

0

Сообщение от wizard41 теперь пусть ваш препод пробует получить исходный пароль из файла

Если не посолить, то это не слишком большая проблема)

0

Сообщение от Pilarentes Если не посолить, то это не слишком большая проблема)

Естественно! Но вряд ли он (препод) будет заниматься брутфорсом Даже на стандартном SHA 256.

0

Сообщение от wizard41 лучше думать в сторону создания/чтения зашифрованного файла.

Ага, храните данные локально в зашифрованном виде. А ключ шифрования при этом где должен находится?))
Побольше бы таких подходов к безопасности - поменьше бы с лицензиями приходилось париться)

P.S. Простите, не удержался

0

Сообщение от aenye Простите, не удержался

Нормально )
Ну тут все зависит от реализации. Так как задача учебная, то предложение шифрования файлов не подразумевало асинхронности, т.е. без открытых ключей. Достаточно оформить более-менее легитимный алгоритм в самом коде приложения.
Ну а если делать все "по науке", то.... ТС выйдет из чата раньше, чем мы закончим

0

Сообщение от aenye Побольше бы таких подходов к безопасности - поменьше бы с лицензиями приходилось париться)

Ты шо, если человек придумал алгоритм, который не может взломать сам, то никто его не взломает!

p.s. тоже не удержался...

Сообщение от Pilarentes Говорят, что можно защититься

От того что БД будет запаролена, не избавляет вас от факта, что программа как-то к ней должна уметь обращаться, а значит в ней должна храниться строка подключения, а значит её можно от туда вытянуть. Зашив и обсуфицировав строку только усложняем доступ к ней (к слову, это в определенные моменты может подкинуть неприятности).

Ну либо, админ должен запускать программу, "вылогиниватся" без завершения программы, и только тогда другой пользователь может подключится. Тоже не панацея (технически из рантайма можно вытянуть значение), но уже гораздо сложнее.

Так что повторюсь:
1. 100% защиту обеспечит только отдельный сервис под отдельной учеткой, к которой не имеет доступа пользователь
2. Для учебного примера достаточно научится работать с данными. Если преподователь сам не понимает всех ньюансов обеспечения защиты и главное -- не может/хочет обьяснять как надо, то... печально. Но не смертельно.

0

Сообщение от Wolfdp если человек придумал алгоритм

Какой алгоритм?

0

Сообщение от wizard41 а теперь пусть ваш препод пробует получить исходный пароль из файла

Та мой алгоритм тоже норм шифрует)
пароль
ЖЮ*мtq\8

Сообщение от wizard41 Проверять первичный запуск программы нужно не по наличию/отсутствию папки Users, а по наличию валидной записи учетных данных в файле (БД).

НЕ поняла, в чем разница... Нет папки - значит нет и файла, нет файла - нет и валидной записи.

0

Сообщение от Kyra90 в чем разница... Нет папки - значит нет и файла, нет файла - нет и валидной записи.

Папка и файл могут быть, а записи в файле нет. Что тогда? )
И если это будет БД - БД не может не быть ) А вот валидной записи в ней к этой сессии приложения может не оказаться..
Так мы переходим на БД или остаемся в файле?

0

Сообщение от wizard41 Какой алгоритм?

Закон Шнайера

Добавлено через 1 минуту

Сообщение от wizard41 Папка и файл могут быть, а записи в файле нет. Что тогда? )

Выводить "данные повреждены" и не более. Вся логика программы подразумевает первый "чистый" запуск, который очень часто применим для портабл-приложений.

0

Сообщение от Wolfdp Выводить "данные повреждены" и не более

Согласен. Поэтому и предлагается создать новую учетку, в случае не обнаружения таковой.

Сообщение от Wolfdp Закон Шнайера

Хорошая статейка. Но свой вопрос "Какой алгоритм?" я задал в том свете, что: а какой алгоритм вы там увидели, собственно? Никаких алгоритмов шифрования в представленном примере нет; есть только стандартный хеш SHA256 из .NET'а, но я к его созданию отношения не имею

0

Сообщение от wizard41 Так мы переходим на БД или остаемся в файле?

Пока в файле. с БД еще буду разбираться, пока не учили.

Сообщение от Wolfdp Выводить "данные повреждены" и не более.

Это да, а если папку удалили совсем? При удалении папки мне нужна полностью рабочая учетка "Администратора"

Добавлено через 2 минуты
Была еще идея сохранять учетку Админа в левое место, на диск C:\ например... но могут быть проблемы с доступом, что не есть хорошо. (на компах в универе, например, на диск C:\ записать ничего нельзя, что приведет программу к неработоспособности)

0

Сообщение от Kyra90 При удалении папки мне нужна полностью рабочая учетка "Администратора"

При удалении папки предлагается создать нового Администратора. Этот "новый" администратор все равно не сможет прочесть другие файлы, если их вернуть на место, потому что его хеш пароля не подойдет к "тому хешу".
Понятна идея?
Файл может прочесть только тот, чей хеш пароля совпадает хоть с одним из хешей админов в файле.

0

Сообщение от wizard41 Понятна идея?

Идея понятна, но она не отвечает задаче. Если уже создан пароль для Администратора, то учетка должна оставаться рабочей, даже если папку Users удалили.

Добавлено через 1 минуту

Сообщение от Kyra90 При удалении папки мне нужна полностью рабочая учетка "Администратора"

Сообщение от wizard41 При удалении папки предлагается создать нового Администратора.

Это абсолютно разные вещи Вам не кажется?)))

0

Сообщение от Kyra90 Если уже создан пароль для Администратора, то учетка должна оставаться рабочей, даже если папку Users удалили.

Так она и будет рабочей, т.к. Админ залогиненный висит в памяти. Папка тут уже не при чем, удаляй - не удаляй.
А теперь если выйти из приложения и войти снова при отсутствующей папке - какого админа брать будете и от куда? )
По моему очевидно, что нужно нового регистрировать или говорить "О-па-чки, ошибка! Верните папку!"...

0