На 7ой делфе написал я программу для работы с базой данных mysql, которая живет на удаленном сервере. логин, пароль, имя базы, почтовые реквизиты хранятся в exe-шнике. распространил программу среди честных юзеров, а одна копия попала к хакеру, которому скучно. и решил этот хакер взломать базу данных. сможет он получить пароли из exe-шника? и вообще как-где-в_каком_виде лучше хранить пароли?

Если они хранятся в открытом виде, то сможет, достаточно легко.


Пароли лучше вообще не хранить, а использовать только их хеши.
один из видов использования:
при регистрации пользователя спрашивают имя, пароль и всё остальное. На их основе формируется хеш, который действует, пока запущена программа. Все данные, все наработки пользователя в этой программе шифруются с использованием полученного хеша.
При последующих запусках программа также спрашивает имя, пароль, вычисляет "по новой" хеш, пытается расшифровать "наработки" пользователя этим хешем и если получилось - продолжает работу. Не получилось - опять спрашивает имя с паролем.

Это сообщение отредактировал(а) kami - 24.4.2010, 22:06

блин... а че такое "открытый вид"?



пользователь пусть делает что захочет. главное чтоб изи экзешника пороли от базы не сперли

Это если в коде нечто подобное:

  

а если у компонента ZConnection (Zeos) пароли вбиты в инспекторе объектов, то можно не волноваться?

Да, можно вообще не волноваться. В этом случае хацкеру даже искать особо не придется - справится любой редактор ресурсов.

   запишу на болванку и положу в стол...
как же тогда защититься?

Это святое право пользователя - делать, что захочет. Если какая-то программа меня в этом праве будет пытаться ущемить, она будет аннигилирована.
А по поводу "сперли-не сперли" - перечитай еще раз то сообщение. Я акцентировал внимание на то, что в приведенном примере никакие пароли и даже их хеши в программе ВООБЩЕ не хранятся.

Переделать то что есть.

Еще раз - никогда не хранить пароли в программе. Пусть лучше пользователь каждый раз их вводит.
В чем проблема-то? Если в программе ничего не хранится, пользователю известны его данные для авторизации, то проблема переходит с уровня программной защиты на административный уровень - запрет разглашения логина/пароля под страхом смертной казни и т.п.

ничего не понимаю. как тогда к базе программа должна подключиться?
создать файл паролей и зашифровать его? ацкий хакер алгоритм расшифровки не сможет получить из экзешника?
другие варианты есть?

Добавлено через 2 минуты и 43 секунды

она в том что пользовательские пароли тут ни при чем. волнуюсь я за пароли ОТ БАЗЫ в которой много интересной инфы.

В том то и смысл, что у каждого пользователя должен быть свой пароль от базы с вытекающими отсюда ограничениями.
А давать каждому пользователю админский пароль к базе - это привилегия 1С.
Они могут себе позволить любому бухгалтеру делать с базой что угодно.
Нормальные люди так не делают...

единственно верное решение - разделить программу на клиентскую и серверную части. серверную закинуть на хост, а клиентскую отдать пролетариату. подскажите где взять инфу о безопасном cgi-программировании на Perl?!   

Не единственно. Можно распространять отдельные кусочки базы данных за отдельные деньги, так чтобы не было смысла ломать - всё что есть физически на машине и так видно.

А информацию про перл можно найти в разделе форума про перл.