Verbindungsdaten verstecken

[Privateer3000]

Hallöchen,
ich hab mal eine allgemeine Frage.
Um die Verbindungsdaten zu einer DB nicht
in einer Textdatei jedermann zugänglich zu machen
welche Möglichkeiten gibt es da?
Jedenfalls sollte es möglichst schwer sein
an die Daten heran zu kommen...

Grüße

[himitsu]

Es ist naturbedingt praktisch unmöglich etwas zu verstecken,
da jeder erstmal an die EXE direkt rankommt, diese debuggen und auf ihren Arbeitsspeicher zugreifen kann. (nötige Rechte vorausgesetzt ... z.B. ein billige Userprogramm kommt nicht so einfach an ein Programm mit hoheren Rechten ran)

Spätestens wenn das Programm eine Verbindung zur DB aufnehmen will, muß es diese Daten lesbar zur Verfügung stellen und schon kommt jeder da ran.



Du kannst gerne jede Menge in Richtung Verschlüsselung, Verschleierung (zwischen vielen Daten verstecken), Antidebugging, Antihacking uvm. unternehmen, aber am Ende kommt man immer daran.



Wenn's nur nicht direkt lesbar in der EXE stehen soll, dann verschlüssle diese Daten schon im Quelltext, aber sowas wie #$48#97#$6C + chr(108) + 'o' kannst'e gleich vergessen, denn da steht ebefalls wieder 'Hallo' in der EXE

z.B. vohrer per XOR verschlüsseln, in den Quellcode kopieren und bei Übergabe an die DB-Komponente entschlüsseln.

[Furtbichler]

Wenn Du ein bischen sicherer sein willst, als die offene Tür, dann verschlüssele die Text-Datei.

Wenn Du die Tür abschließen willst, dann z.b. über einen Server, der die Entschlüsselung erledigt. Na ja, dann kommen sie über die Fenster.

Ich bin ja Laie, aber ich glaube, Du musst die Sicherheit in den DB-Server verlagern, z.b. über Useraccounts oder AD.

[Privateer3000]

Danke für Eure Aussagen.
Das ist mir klar dass nichts wirklich sicher ist.
Ich sagte ja auch "möglichst schwer" machen.
Ich dachte da vllt. an eine (binäre?) unauffällige Datei
die im verzeichnis rumlungert.
Es muss halt editierbar sein, da man die Verbindungsdaten
auch mal ändert. Natürlich mit entsprechener Berechtigung (Anwender/Admin).

[Bummi]

ein verschlüsselter Alternative Data Stream (solange es NTFS noch gibt) ...

[Luckie]

Auch nicht sicherer als eine verschlüsselte Datei. Wenn da jemand wirklich dran will, dann findet er das auch. Hier stellt sich auch die Frage vor wem es sicher sein soll. Vor einem "professionellen" Angreifer oder einfach nur vor Oma Erna.

[p80286]

Zitat von Bummi:

ein verschlüsselter Alternative Data Stream (solange es NTFS noch gibt) ...

die Idee hat was, und dann gab es noch den Admin, der die Daten auf einem (FAT)USB-Stick sicherte und sich nach einer Rückkopie fragte, wo die Daten geblieben waren.

Gruß
K-H

[joachimd]

Zitat von Privateer3000:

Um die Verbindungsdaten zu einer DB nicht
in einer Textdatei jedermann zugänglich zu machen
welche Möglichkeiten gibt es da?

Dazu gab es mal in im Usenet einen netten Beitrag (ich glaube von Marian Aldenhövel): pack die Daten unverschlüsselt in die readme - die liest sowieso keiner.

[Morphie]

Um welche DB geht es denn genau?
Firebird z.B. übermittelt Username und Password sogar im Klartext... Es kann also mit jedem x-beliebigen Sniffer mitgelesen werden.
Das kann Oma Erna natürlich nicht, aber jeder der ein Passwort umgehen muss, kriegt das so leicht hin...
Da kann im Programm noch so viel verschlüsselt werden, das Firebird-Protokoll ist hier die Schwachstelle.

Btw. wäre mal interessant zu wissen, ob das bei anderen RDBMS genau so ist.

[mjustin]

Zitat von Morphie:

Um welche DB geht es denn genau?
Firebird z.B. übermittelt Username und Password sogar im Klartext... Es kann also mit jedem x-beliebigen Sniffer mitgelesen werden.

Laut diesem Post gibt es schon seit Firebird 1.5 Password Hashes anstatt eines Klartext Passworts.