1

Делаю акцент на WPF, потому что обычно кидают статьи по безопасности в ASP.NET, но там вроде своя кухня. Есть база данных, в ней, если грубо округлять, есть 2 таблицы, Users и таблица с данными, в таблице с данными есть столбец UserID и внешний ключ. Клиентская часть представляет собой WPF приложение, есть форма входа и форма создания аккаунта. Интересует где и в каком виде хранить данные пользователя на клиенте, как и чем шифровать, как и по какому протоколу передавать эти данные, непосредственный процесс проверки данных пользователя и.т.д. В первую очередь интересует процесс авторизации через логин и пароль, которые создают сами пользователи.

4
  • Через токены...
    – code211218
    27 мар 2017 в 12:47
  • Ребята с конфы по C# в телеграме предлагали запилить WebAPI на стороне сервера и организовать авторизацию через какой то AccessToken. Загуглил, смысл там следующий. На серверной стороне создаются два сервиса, сервис авторизации и сервис доступа к данным. WPF приложение обращается к сервису авторизации и в зашифрованном виде по защищенному каналу передает логин и пароль, тот в свою очередь сверяет это все с тем что храниться в БД и отправляет клиенту в ответку AccessToken. Клиент этот AccessToken передает сервису доступа к данным и тот в свою очередь уже предоставляет данные. 27 мар 2017 в 13:42
  • Как я понимаю AccessToken в данном случае - это некий паспорт, который дает доступ к пользовательским данным. А теперь кто бы кинул статью (можно и на английском) про это или пример кода. 27 мар 2017 в 13:42
  • AccessToken это для совсем "взрослых" проектов. Можете попробовать поискать на гитхабе примеры.
    – Bulson
    27 мар 2017 в 15:02

4 ответа 4

1

Связанный вопрос.

Хранить учетные данные на клиенте крайне нежелательно! При регистрации пользователя можете сохранять логин и пароль в вашей БД в виде свертки, к примеру MD5. При авторизации берите свертку от логина и пароля и по сети передавайте уже непосредственно их. Соединение с MSSQL поддерживает SSL. Даже если заснифают и будут ломать шифрование, то выловят свертки, а не сами учетные данные. Также можно предусмотреть принудительную смену пароля (раз в неделю, к примеру)

1

У вас толстый клиент. Всевозможные системы авторизации для веб-клиентов вам не подходят. Там свои библиотеки, свои протоколы, для поддержки которых придется сильно усложнить приложение.

Естественно, авторизация должна быть своя, а не базы данных. И дело тут вовсе не в безопасности, а в удобстве управления пользователями и их правами. Что делать если вдруг в таблице хранится несколько сущностей, как дать доступ только на одну из них, если права на уровне БД? Как дать доступ на форму ввода (нет соответствующей сущности в БД) и т.д.

Теперь по поводу алгоритма логина пользователя. Достаточно защищать только пароль. Идея в том, чтобы не хранить пароль в чистом виде ни на клиенте, ни на сервере БД (его тоже можно взломать). Имейте в виду, что существуют сервисы преобразования md5 в строку. Возможно стоит использовать какой-нибудь алгоритм получения хэша посложнее. Но и md5 тоже прокатит.

Конечно можно подслушать хэш с другого компьютера. Но чтобы защититься от этого, можно привязать пользователя к IP-адресу. Т.е. знание логина и пароля от другого пользователя становятся бесполезны. Естественно, этот вариант не подходит, если у пользователей нет фиксированных мест.

0

Для полной безопасности хранить данные при подключении в самом клиенте и конектится на прямую к базам безсмыслено. Я бы делал запрос к какому нибудь скрипту php который лежит на сервере, этот скрипт уже делал бы запрос к бд и полученные данные от бд отправлял клиенту.

0

При регистрации:

  1. Пользователь данные для регистрации
  2. Вычисляют хэш-значение пароля (использовать стоит криптостойкие алгоритмы хэширования).
  3. Передавать следует по любому шифрованному каналу. Можете использовать WCF.

На клиенте хранить учётные данные лучше в зашифрованном виде, так как хранение просто в отдельном файле логина и хэш-значения - большой риск.

В идеале - пользователь сам вводит учётные данные каждый раз в новой сессии.

Работа напрямую с БД - не самый лучший вариант. Лучше всего написать Серверное приложение, которое будет "прослойкой" между клиентом и БД. Это поможет избежать многих проблем и улучшить безопасность.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.